Krav som gäller Xertified
Lagar och standarder som gäller oss
Här visar vi vilka lagar och standarder som gäller Xertified som företag och XoT som produkt. Vi skiljer på det som är certifierat och det som gäller oss.
Läget i korthet
Läget i oktober 2026
Certifierat betyder att en oberoende part har granskat oss eller produkten. Att en regel gäller oss betyder att vi har skyldigheter som vi uppfyller.
XoT-S1 är CE-märkt, och vi rapporterar enligt Cyber Resilience Act. Vi har ingen annan certifiering från en oberoende part i dag.
| Regelverk | Xertified som företag | XoT som produkt | Läge |
|---|---|---|---|
| NIS2 och cybersäkerhetslagen | Omfattas inte, eftersom företaget är för litet | – | Vi uppfyller kundernas krav på leverantörer genom avtal |
| Cyber Resilience Act | Gäller oss som tillverkare | Gäller. XoT-Lock och XMS hör till klass I | Vi rapporterar sedan 11 september 2026. Alla krav gäller från 11 december 2027 |
| CE-märkning | Gäller | XoT-S1 | CE-märkt. EMC-provad enligt EN 55032 klass B och EN 55035 |
| Maskinförordningen | Gäller inte | XoT är ingen maskin | – |
| GDPR | Gäller | XMS hanterar identiteter och loggar över åtkomst | XMS finns i Sverige som standard |
| ISO 27001 | Inte certifierat | Gäller inte produkter | Vi planerar att certifiera oss |
| IEC 62443 | Del 4-1 är vår referens för utvecklingen | Inte certifierat | Vi påstår ingen nivå |
| FIPS 140 | – | WireGuard är inte validerat | Inte validerat |
| GMP bilaga 11 och 21 CFR Part 11 | Gäller inte | Inget GMP-system. Kvalificeras som infrastruktur | Underlag för leverantörsbedömning på begäran |
NIS2
NIS2 och cybersäkerhetslagen
I Sverige gäller NIS2 genom cybersäkerhetslagen (2025:1506) och cybersäkerhetsförordningen (2025:1507). Båda gäller sedan 15 januari 2026.
Omfattas Xertified?
Nej. Tillverkning av elektroniska produkter är en av de sektorer som omfattas. Men det gäller bara företag med minst 50 anställda eller en omsättning över 10 miljoner euro. Xertified är mindre än så.
Vi följer ändå åtgärderna i artikel 21 i vår egen verksamhet. Våra kunder är beroende av dem.
Det här får du av oss som leverantör
Punkt d i artikel 21.2 handlar om säkerheten i leverantörskedjan. Som leverantör ger vi dig det här:
- vår beskrivning av kvalitetsarbetet, en förteckning över programvarans delar (SBOM) och rapporter från penetrationstester
- samordnad hantering av sårbarheter och rapporter enligt Cyber Resilience Act
- besked om sårbarheter och incidenter i våra produkter som berör dig
- avtal om krav på säkerhet, besked vid incidenter och rätt till revision, om du vill
Cyber Resilience Act
Cyber Resilience Act
Förordningen gäller oss som tillverkare av XoT. Skyldigheten att rapportera har gällt sedan 11 september 2026, och den uppfyller vi. Övriga krav gäller från 11 december 2027. Vi arbetar för att uppfylla dem.
| Datum | Det här gäller |
|---|---|
| 10 december 2024 | Förordningen (EU) 2024/2847 träder i kraft. |
| 11 juni 2026 | Regler för de organ som bedömer produkter. |
| 11 september 2026 | Tillverkare rapporterar sårbarheter som utnyttjas och allvarliga incidenter. Det gäller även produkter som redan säljs. |
| 11 december 2027 | Alla andra krav, till exempel CE-märkning enligt förordningen och EU-försäkran om överensstämmelse. |
XoT-Lock och XMS hör till klass I
Förordningen räknar upp viktiga produkter i en bilaga. Det är produktens huvudsakliga funktion som avgör. Genomförandeförordning (EU) 2025/2392 beskriver produkterna närmare.
Vår bedömning är att XoT-Lock och XMS hör till klass I i bilaga III. XoT-Lock har en VPN-funktion. XMS hanterar identiteter och åtkomst och styr nätverk.
I oktober 2026 finns ingen harmoniserad standard för förordningen. Utan en sådan standard måste ett anmält organ bedöma produkter i klass I. Ett anmält organ är en oberoende part som granskar produkter. Vilken väg vi väljer anger vi i vår EU-försäkran senast 11 december 2027.
Det här lovar vi
- Säkerhet från början och säkra standardinställningar.
- En supportperiod på fem år med gratis säkerhetsuppdateringar.
- Gratis byte till en långtidsversion med rättelser, för alla kunder.
- En förteckning över programvarans delar (SBOM) för varje version. Den omfattar minst de direkta beroendena.
- En policy för samordnad hantering av sårbarheter och en kontaktadress: security@xertified.com.
- Rapport till ENISA inom 24 timmar och besked till berörda användare.
- Teknisk dokumentation och EU-försäkran om överensstämmelse senast 11 december 2027.
Läs om uppdateringar och support
Så rapporterar vi
Vi rapporterar via ENISA:s gemensamma plattform för rapporter. ENISA är EU:s myndighet för cybersäkerhet. Rutinen är dokumenterad, och personalen utbildas i den varje år. Vår CTO är kontaktperson.
| Händelse | Tidig varning | Anmälan | Slutrapport |
|---|---|---|---|
| Sårbarhet som utnyttjas | 24 timmar | 72 timmar | 14 dagar efter att en rättelse finns |
| Allvarlig incident som påverkar produktens säkerhet | 24 timmar | 72 timmar | 1 månad |
Vi informerar också berörda kunder och partner. Vi berättar hur de kan begränsa skadan.
CE-märkning
CE-märkning och andra regler
| Regel | Läge |
|---|---|
| EMC-direktivet 2014/30/EU | XoT-S1 klarade EN 55032:2015 klass B, EN 55035:2017, EN 61000-3-2:2014 och EN 61000-3-3:2013. Provningen gjordes i december 2020 på ett laboratorium som är ackrediterat av tyska DAkkS. Klass B betyder att XoT-S1 passar både i bostäder och i industrin. XoT-S1 är CE-märkt. |
| Lågspänningsdirektivet | Gäller inte XoT-S1, som drivs med 5 V likström. |
| Radioutrustningsdirektivet | Gäller inte, eftersom XoT-S1 saknar radio. När XoT-Lock körs på en router från Teltonika är Teltonika tillverkare av hårdvaran. |
| Maskinförordningen | Gäller inte, eftersom XoT inte är en maskin. Maskinbyggare som bygger in XoT får en produktbeskrivning till sin tekniska fil på begäran. |
| Cyber Resilience Act | Från 11 december 2027 omfattar CE-märkningen även förordningen. |
| GDPR | XMS hanterar användarnas identiteter och loggar över åtkomst. När vi driver XMS åt er är vi personuppgiftsbiträde. Data finns i Sverige som standard. |
| EUCC | EU:s system för certifiering enligt Common Criteria är frivilligt. XoT är inte certifierat enligt EUCC. |
| FIPS 140 | Algoritmerna i WireGuard är inte validerade enligt FIPS 140. Har ni krav på FIPS? Kontakta oss då innan ni väljer XoT. |
Certifieringar
ISO 27001 och IEC 62443
ISO 27001
Xertified är inte certifierat enligt ISO 27001 i dag. Vi planerar att certifiera vårt ledningssystem för informationssäkerhet. Standarden certifierar organisationer, inte produkter.
IEC 62443
XoT är inte certifierat enligt IEC 62443. Vår utveckling följer arbetssätten i del 4-1, som handlar om säker produktutveckling. Vi påstår ingen mognadsnivå och ingen säkerhetsnivå.
Life science
Leverantör till life science
XoT skapar och lagrar inga GMP-data och inga journaler som FDA kräver. Därför är XoT varken ett GMP-system eller ett system som omfattas av 21 CFR Part 11. Ni kvalificerar XoT som en del av infrastrukturen. Ni validerar det inte som ett datoriserat GMP-system.
Till er leverantörsbedömning får ni Quality at Xertified, en SBOM och rapporter från penetrationstester. Ni får också en beskrivning av loggar och telemetri i XMS.
En långtidsversion per år gör det lättare att planera ändringar och ny kvalificering. XMS sparar loggarna över anslutningar och ändringar i upp till 36 månader. För längre lagring skickar ni loggarna till ert SIEM-system eller arkiv.
Vi följer nya och ändrade regler som kan påverka oss. Sidan uppdateras när vårt läge ändras. Det vi skriver här är vår tolkning av reglerna. Det är inte juridisk rådgivning.
Behöver du underlag?
Vi skickar gärna det underlag du behöver för att bedöma oss som leverantör.