Inför införandet av Cyber Resilience Act : Aktörers förståelse av regelverket

Sammanfattning

Cyber Resilience Act (CRA) är ett EU-regelverk som syftar till att stärka cybersäkerheten för produkter med digitala element på marknaden. Regelverket börjar tillämpas den 11 december 2027 och kommer att påverka många företag runt om i Europa, vilket innebär att verksamheter behöver förbereda sig för att uppfylla kraven. I litteratursökningen identifierades ingen forskning som undersöker CRA utifrån distribuerad kognition eller sociotekniska system. Studien syftar därför till att undersöka CRA utifrån dessa perspektiv, men även hur olika aktörer förstår CRA samt om det finns utmaningar eller osäkerheter kring regelverket. Studien avser även att bidra med kunskap till forskningsområdet och besvara forskningsfrågorna. Studien genomfördes som en kvalitativ studie i samband med Sigma Technology, där data samlades in via semistrukturerade intervjuer med olika aktörer både inom och utanför verksamheten. Materialet analyserades genom en tematisk analys efter transkription av det inspelade materialet. Studiens teoretiska utgångspunkt bygger på distribuerad kognition och sociotekniska system, där kognition ses som något som uppstår mellan flera aktörer, resurser och miljöer istället för enbart hos individen. Även ett makrokognitivt perspektiv används, där arbete och kognition studeras i verkliga miljöer istället för laboratoriemiljöer. Resultatet visar att förståelsen av CRA varierar mellan olika aktörer och att det finns en osäkerhet kring ansvarsfördelning och implementering av regelverket. Samtidigt visar studien att CRA-arbetet kan ses som ett distribuerat system där kunskap, ansvarsfördelning och informationsflöden är beroende av flera aktörer.