Är smarta kameror viktiga produkter under EU:s cyberresiliensförordning?

Medan en uppkopplad brödrost kan följa den grundläggande CRA-efterlevnadsvägen har smarta säkerhetskameror inte den lyxen. EU har uttryckligen placerat dem i Bilaga III som viktiga produkter, klass I, ett steg ovanför de flesta konsument-IoT, med strängare krav på bedömning av överensstämmelse som förändrar spelet för alla som tillverkar, importerar eller distribuerar dessa enheter.

En vanlig missuppfattning är att kameror är "kritiska produkter". Det är de inte. Men Viktig klass I är redan ett avsevärt steg upp.

Vad CRA faktiskt säger om kameror

Det finns mycket förvirring kring CRA:s produktkategorier, så låt oss vara precisa. Förordningen skapar tre nivåer:

Den exakta lagtexten

Bilaga III, Klass I, Post 17 i Förordning (EU) 2024/2847:

"Smarta hemprodukter med säkerhetsfunktioner, inklusive smarta dörrlås, säkerhetskameror, babyövervakningssystem och larmsystem"

Kommissionens genomförandeförordning (EU) 2025/2392 förtydligar ytterligare det tekniska omfånget och använder "kamerasystem", något bredare än moderförordningens "säkerhetskameror".

En viktig kvalificering: produkten måste ha "säkerhetsfunktioner" i ett smart hem-sammanhang. En fristående webbkamera för videosamtal hamnar inte automatiskt i klass I. En uppkopplad övervakningskamera som övervakar ditt hem eller företag gör det.

Varför EU pekade ut kameror

Detta var inget godtyckligt beslut. IP-kameror har förtjänat sitt rykte som den svagaste länken i nätverkssäkerheten, och data stöder det:

• Mirai-botnätet (2016 och framåt) byggde arméer med över 150 000 komprometterade kameror och DVR:er för att starta massiva DDoS-attacker (ENISA Threat Landscape 2020: Botnet Report)
• DDoS-attacker utgjorde 77 % av alla rapporterade cyberincidenter 2024-2025, många drivna av kapade IoT-enheter (ENISA Threat Landscape 2025)
• Mirai-varianter är fortfarande aktiva och hittades utnyttja GeoVision-kameror så sent som i april 2025
• Ungefär 7,7 miljoner nya IoT-enheter kopplas upp varje dag, bara 1 av 20 sitter bakom en brandvägg

Mönstret är tydligt: kameror är alltid på, alltid anslutna, ofta dåligt säkrade och de sitter på känsliga data (dina videoflöden). Det är exakt den riskprofil som CRA riktar in sig på.

Vad klass I innebär för bedömning av överensstämmelse

Under Artikel 32.2 får klass I-tillverkare två vägar, och vilken du kan ta beror på något som fortfarande är i förändring.

Väg 1: Självbedömning (Modul A)

Du kan göra intern självbedömning, men bara om du tillämpar harmoniserade standarder som täcker alla väsentliga säkerhetskrav. Partiell täckning duger inte. Missa ett krav, och du är på väg 2.

Haken: per februari 2026 håller de harmoniserade standarderna under CRA fortfarande på att slutföras av CEN/CENELEC. Tills de publiceras i EUT kan de flesta tillverkare inte använda den här vägen.

Väg 2: Tredjepartsbedömning

Utan fullständig täckning av harmoniserade standarder behöver du antingen:

• Modul B + C: EU-typprovning av ett anmält organ, sedan överensstämmelse mot typen
• Modul H: fullständigt kvalitetsförsäkranssystem certifierat av ett anmält organ

Båda alternativen kostar mer och tar längre tid än självbedömning. Och kapaciteten hos anmälda organ kommer att stramas åt när vi närmar oss december 2027. Alla kommer att rusa på samma gång.

Väsentliga krav för smarta kameror

Alla uppkopplade kameror måste uppfylla CRA:s väsentliga säkerhetskrav (Bilaga I), oavsett vilken väg för bedömning av överensstämmelse du tar. De som drabbar kameratillverkare hårdast:

1. Inga standardlösenord

Artikel 13 och Bilaga I, Del I kräver "säker som standard"-konfiguration. I klartext:

• Inget mer admin/admin eller admin/password skickat med varje enhet
• Varje enhet behöver ett unikt lösenord, eller måste tvinga säker inloggningsinställning vid första användning
• Multifaktorautentisering där det är tekniskt genomförbart

Detta ensamt kommer att tvinga fram omdesign i ett stort antal kameraproduktlinjer.

2. Sårbarhetshantering (minst 5 år)

Bilaga I, Del II innebär att tillverkare måste:

• Upprätta en policy för samordnat sårbarhetsavslöjande (CVD)
• Ge säkerhetsforskare ett tydligt sätt att rapportera problem
• Patcha sårbarheter utan dröjsmål under hela supportperioden
• Stödja produkten i minst 5 år från marknadsplacering
• Rapportera aktivt utnyttjade sårbarheter till ENISA inom 24 timmar (detta börjar 11 september 2026)

Fem år av obligatorisk patchning är en stor förändring för kameratillverkare som är vana vid "skicka och glöm".

3. Software Bill of Materials (SBOM)

Varje programvarukomponent i din kamerafirmware måste dokumenteras: Linux-kärnan, RTSP-streamingbibliotek, webbgränssnittsramverk, TLS-stack, allt. SBOM:en måste:

• Använda ett maskinläsbart format (CycloneDX eller SPDX)
• Täcka minst beroenden på toppnivå
• Ingå i den tekniska dokumentationen
• Hållas uppdaterad under hela supportperioden

4. Säker uppdateringsmekanism

Kameror behöver säkra, autentiserade firmware-uppdateringar:

• Levererade via krypterade kanaler
• Firmware-integritet verifierad innan installation
• Automatiska säkerhetsuppdateringar aktiverade som standard (användare kan välja bort)
• Återställningsförmåga rekommenderas

5. Dataminimering och integritet

Kameror som samlar in videodata måste:

• Bara bearbeta data som är nödvändig för produktens funktion
• Kryptera lagrad och överförd data
• Låta användare säkert radera sin data
• Skydda data i vila mot fysisk åtkomst

Importörers och distributörers roll

Importörer: Du är EU:s grindvakt

Om du importerar kameror från utanför EU (och låt oss vara ärliga, de flesta smarta kameror tillverkas i Asien) lägger Artikel 19 ansvaret på dig. Du är personligen ansvarig för att verifiera att tillverkaren gjort sitt efterlevnadsarbete innan produkten går in på EU-marknaden.

Din verifieringschecklista innan du placerar en kamera på EU-marknaden:

• [ ] Tillverkaren har genomfört lämplig bedömning av överensstämmelse (klass I)
• [ ] EU-försäkran om överensstämmelse (DoC) finns och refererar till CRA
• [ ] CE-märkning är korrekt applicerad
• [ ] Teknisk dokumentation är tillgänglig och tillräcklig
• [ ] Tillverkarens kontaktinformation finns på produkten eller förpackningen
• [ ] SBOM är tillgänglig som del av den tekniska dokumentationen

Om någon kontroll misslyckas kan du lagligen inte sälja produkten. Punkt slut. Du måste informera tillverkaren, och om det finns en cybersäkerhetsrisk, notifiera tillsynsmyndigheterna.

Böter för importörer: Upp till 10 miljoner EUR eller 2 % av global årlig omsättning (Artikel 64).

Distributörer: Lättare skyldigheter, verkliga konsekvenser

Distributörer har mindre att verifiera under Artikel 20, men skyldigheterna är fortfarande bindande:

• CE-märkning finns på produkten
• Tillverkarens och importörens namn och kontaktuppgifter är synliga
• Lagrings- och transportförhållanden äventyrar inte efterlevnad
• Sälj inte produkter som du har anledning att tro är icke-konforma

Böter för distributörer: Upp till 10 miljoner EUR eller 2 % av global årlig omsättning (Artikel 64.3, skyldigheterna för distributörer enligt Artikel 20 faller inom intervallet för Artiklarna 18-23).

Omärkningsfällan

Var uppmärksam: om du importerar en kamera och säljer den under ditt eget varumärke, eller om du gör väsentliga modifieringar av firmware eller digitala element, behandlar CRA dig som tillverkaren. Det innebär hela uppsättningen tillverkarskyldigheter: bedömning av överensstämmelse, SBOM, 5 års sårbarhetshantering, allt.

Efterlevnadstidslinje

SMART KAMERA CRA-TIDSLINJE

11 sep 2026 ─── Skyldigheter för sårbarhetsrapportering börjar
                (24h-rapportering av aktivt utnyttjade sårbarheter till ENISA)

11 dec 2027 ─── Fullständig CRA-efterlevnad krävs
                (Alla väsentliga krav, bedömning av överensstämmelse,
                 CE-märkning, SBOM, teknisk dokumentation)

Om du tillverkar eller importerar smarta kameror och ännu inte börjat ditt efterlevnadsarbete, ligger du redan efter. Harmoniserade standarder är fortfarande under utveckling, platser hos anmälda organ fylls upp, och december 2027 är närmare än det ser ut.

Checklista

• Klassificera din produkt mot Bilaga III post 17. Smart hem-sammanhang med säkerhetsfunktion innebär klass I, professionell CCTV kan falla under CRA:s allmänna omfång i stället.
• Ta bort standardlösenord över hela din kameralinje. Varje enhet levereras med en unik inloggningsuppgift, eller tvingar säker inställning vid första användning.
• Generera en CycloneDX- eller SPDX-SBOM för din firmware. Täck minst beroenden på toppnivå och håll den uppdaterad under hela den 5-åriga supportperioden.
• Publicera en policy för samordnat sårbarhetsavslöjande och en security.txt med en kontakt som går att nå.
• Bestäm din väg för bedömning av överensstämmelse. Om CEN/CENELEC:s harmoniserade standarder inte blir klara i tid, kontakta ett anmält organ nu.
• Om du importerar kameror som tillverkats utanför EU, granska varje leverantörs bevis på överensstämmelse innan marknadsplacering.

Officiella källor

• Förordning (EU) 2024/2847: Cyberresiliensförordningen (fulltext)
• Kommissionens genomförandeförordning (EU) 2025/2392: Tekniska beskrivningar av Bilaga III/IV-kategorier
• CRA-bedömning av överensstämmelse: EU Digital Strategy
• ENISA Threat Landscape 2020: Botnet Report
• ENISA Threat Landscape 2025