Küberkerksuse määrus.
Arendage digielementidega tooteid turvaliselt, käsitlege turvanõrkusi ja valmistage ette sobiv vastavustõend.
- Määrus (EL) 2024/2847
- Autor: Derya Altinay
- Seisuga: 22.10.2026
- Lugemisaeg: 6 min
Lühivastus.
Küberkerksuse määrus on ELi määrus hõlmatud digielementidega toodete küberturvalisuse kohta. Tootjad vastutavad turvalisuse eest arendamisel, kättesaadavaks tegemisel ja toe pakkumisel. Tootjate teavitamiskohustused kehtivad alates 11. septembrist 2026; üldised tootekohustused alates 11. detsembrist 2027. Aluseks on määrus (EL) 2024/2847.
Küberkerksuse määrus ja CRA tähtajad.
Cyber Resilience Act ehk CRA või küberkerksuse määrus reguleerib toodete küberturvalisust. Määrus (EL) 2024/2847 ühendab projekteerimisnõuded toote elutsükli jooksul kehtivate kohustustega. Käsitlusobjekt on konkreetne toode koos asjakohaste komponentide ja seotud kaugandmetöötlusega. Kogu ettevõtet hõlmav turbeprogramm võib seda tööd toetada, kuid ei vasta üksinda tootepõhistele küsimustele.
CRA tähtajad rakenduvad etapiviisiliselt. CRA artikli 71 lõike 2 järgi algavad üldised nõuded 11. detsembril 2027; tootjate teavitused artikli 14 järgi kehtivad juba alates 11. septembrist 2026. IV peatükki vastavushindamisasutustest teavitamise kohta kohaldatakse alates 11. juunist 2026. See institutsiooniline kuupäev ei ole kõigi tarkvaratoodete varasem üldine CE-tähtaeg.
Vanemad tooted ei ole tootjate teavitamiskohustustest üldiselt vabastatud. CRA artikli 69 lõiked 2 ja 3 eristavad tootevastavuse üleminekureegleid teavitustest. Komisjoni suuniste C(2026) 5252 jaotis 9.1 selgitab seda eristust ka enne 2027. aasta detsembrit turule lastud toodete jaoks. Suunised on õiguslikult mittesiduv tõlgendusabi; määravaks jääb määrus.
Milliseid tooteid ja ettevõtteid CRA puudutab.
CRA puudutab hõlmatud riist- ja tarkvaratooteid, mis tehakse ELi turul kättesaadavaks ning mille puhul nähakse ette otsene või kaudne andmeside seadme või võrguga. CRA artiklid 2 ja 3 määravad kohaldamisala ja mõisted. Siia võivad kuuluda eraldi pakutavad komponendid. Kontrollige tegelikku funktsiooni ja seaduses ette nähtud erandeid, enne kui liigitate kogu portfelli ühtmoodi.
Ettevõtte roll määrab tema kohustused. Tootjatel, importijatel ja turustajatel on eri ülesanded; tootjaroll võib olla asjakohane ka enda kaubamärgi all turustamisel. Avatud lähtekoodiga tarkvara puhul tuleb eristada ärilist kättesaadavaks tegemist, üksikisikute panuseid ning avatud lähtekoodiga tarkvara halduri erirolli. Vaba litsents ei vabasta kommertstoote tootjat üldiselt tema vastutusest.
SaaS-teenus ei kuulu CRA alla ega jää sellest välja üksnes oma müüginimetuse tõttu. Määravad on tootepiir ja seotud kaugandmetöötlus. Komisjoni suuniste jaotised 2 ja 8 eristavad tarkvaratooteid kaugteenustest. Talletage konkreetse arhitektuuri põhjendus; üldine väide kõigi pilvteenuste kohta oleks liiga lai.
CRA nõuete põhivaldkonnad.
CRA nõuded ühendavad riskipõhise tooteturvalisuse pideva vastutusega. CRA artikkel 13 ja I lisa moodustavad tootekohustuste aluse; artikkel 14 reguleerib varem rakenduvaid tootjate teavitusi. Järgmised valdkonnad annavad suuna, asendamata seaduse üksiknõudeid.
Mõistke toodet ja riske.
Küberturvalisuse riskihindamine toetab turbeotsuseid kogu elutsükli jooksul. Tootjad arvestavad sihtotstarbelist ja mõistlikult ettenähtavat kasutust. Kirjeldage praktiliselt, millised funktsioonid, liidesed ning sõltuvused tootel on ja millised tagajärjed võivad turvaprobleemil kasutajate jaoks olla.
Kavandage turvalisus tootesse.
Turvaline projekteerimine ja turvalised vaikesätted kuuluvad kokku. CRA I lisa hõlmab selliseid tooteomadusi nagu juurdepääsukaitse, andmekaitse ja ründepinna piiramine. Tagantjärele koostatud poliitika ei asenda tehnilisi omadusi; arendusotsused ja nende kontroll peavad vastama riskihinnangule.
Kaasake komponendid vastutustundlikult.
Integreeritud komponendid jäävad tootekäsitluse osaks. Tootjad vajavad jälgitavat teavet selle kohta, mida nad tarnivad ja kuidas sõltuvuste turvanõrkused nende toodet mõjutavad. Komisjon kirjeldab sõnaselgelt hoolsuskohustust kolmandate isikute komponentide suhtes; pelgalt tarnija teabe edastamine ei vasta igale tooteküsimusele.
Käsitlege turvanõrkusi ja uuendusi.
Turvanõrkuste käsitlemine on asjakohase tugiperioodi jooksul pidev ülesanne. Siia kuuluvad kättesaadavad teavituskanalid, hindamine, kõrvaldamine ja turvauuenduste turvaline pakkumine. Eristage leiu tehnilist käsitlemist õiguslikust hindamisest, kas aktiivselt ärakasutatavast turvanõrkusest või raskest intsidendist tuleb teavitada.
Määrake tugi ja kasutajateave.
Tugiperiood sõltub CRA artikli 13 lõike 8 kriteeriumidest ja eeldatavast kasutusest. Üldjuhul nähakse ette vähemalt viis aastat; lühema eeldatava kasutuse puhul kehtib selle kestus ning pikema kasutuse puhul võib vaja minna pikemat perioodi. Komisjoni suuniste jaotis 5 selgitab sõnaselgelt, et viis aastat ei ole üldine ülempiir.
Võimaldage tootjate teavitused.
CRA artikkel 14 eristab aktiivselt ärakasutatavaid turvanõrkusi rasketest turvaintsidentidest. Tootjatele kehtib etapiviisiline teavitamine: viivitamata, hiljemalt 24 tunni jooksul varajane hoiatus ning 72 tunni jooksul pärast teadasaamist täiendavad andmed. Lõpparuande tähtajad erinevad sõltuvalt käivitavast sündmusest. Seetõttu ei ole skannerileid üksinda automaatselt kohustuslik teade ega piisav põhjus sündmuse sulgemiseks.
Valmistage ette vastavus ja dokumentatsioon.
Tehniline dokumentatsioon ja vastavushindamine peavad pakutavat toodet selgitama. CRA artikkel 32 ja tootekategooria määravad lubatud menetluse. Talletage valitud hindamisalus koos toote versiooniga; üldine dokumendikogu ilma jälgitava seoseta hinnatud teostusega ei ole piisav praktiline tõendamisstrateegia.
CRA rakendamine tooteprotsessina.
Piiritlege portfell ja rollid.
Praktilise alustussammuna kaardistage pakutavad tooted, nende asjakohased funktsioonid, vastutav juriidiline isik ja roll vastavas turustuskanalis.
Eristage kohaldamisetappe.
Eristage juba kehtivat tootja teavitamisvalmidust üldise tootevastavuse ettevalmistamisest ning kontrollige olemasolevate toodete üleminekureegleid.
Viige riskid tooteotsustesse.
Ühendage riskihindamine projekteerimise, komponentide valiku ja kontrollitavate turvakriteeriumidega arenduseks ning väljalaskeks.
Katsetage teavituskanaleid.
Nimetage vastutajad ja asendajad ning harjutage hindamist, eskaleerimist ja edastamist puuduliku teabega kohaldatavate tähtaegade jooksul.
Määrake tugi ja tõendamisviis.
Kavandage toetatud tooteversioonide hooldus ning selgitage kategooria põhjal vajalik vastavushindamine ja tehniline dokumentatsioon.
Tarkvara CE-märgis ja tootetõend.
CRA tõend on tootepõhine vastavushindamine. Komisjon selgitab CRA artikli 32 kohta, et tavakategoorias on võimalik sisemine hindamine. Teatud oluliste või kriitiliste toodete puhul kehtivad rangemad menetlused teavitatud asutusega või muud vastavalt lubatud tõendamisviisid. Kategooria määrab toote tegelik funktsioon; reklaamiv tootenimi selleks ei piisa.
ELi vastavusdeklaratsioon ja CE-märgis tulenevad kohaldatavast menetlusest. Need ei ole üldine sertifikaat kogu ettevõttele ega lubadus, et tootel ei teki kunagi turvanõrkusi. Seetõttu ei sobi CRA kirjeldamiseks ühtne sertifikaadi kehtivusaeg: dokumentatsiooni, turvanõrkuste käsitlemist ning vastavaid kohustusi tuleb vaadelda asjakohase elutsükli jooksul.
Teised raamistikud ja iseseisvad kohustused.
ISO 27001 korraldab infoturbe juhtimissüsteemi; vastav sertifikaat üksi ei kinnita toote CRA-vastavust. NIS2 vaatleb hõlmatud üksusi ja nende turbekorraldust. IKÜM kaitseb isikuandmeid, mistõttu tootega seotud sündmus võib tekitada täiendavaid andmekaitseküsimusi. Seotud tööprotsesse saab koordineerida, kuid nende õiguslikke käivitavaid tingimusi ja tõendeid tuleb kontrollida eraldi.
Secanis.
Secani sisaldab enda koostatud CRA töökataloogi koos allikate, kontrollküsimuste ja tõendinäidetega. Ettevõtte profiil talletab muu hulgas rollid ja hindamiskuupäeva; selgitamata eeldused jäävad nähtavaks kontrollivajadusena. Tööabivahend toetab hindamise korraldamist, kuid ei kinnita õiguslikku liigitust ega toote vastavust.
Alustage piiritletud tootest.
Valige konkreetne toode ja selgitage esmalt selle piirid, vastutav juriidiline isik ning turvateavituste eest vastutavad isikud. Seejärel kontrollige, millised praegused ja tulevased kohustused seda toodet puudutavad. Selline algus muudab ettevalmistuse hallatavaks ning väldib olukorda, kus üldine vastavusprojekt varjutab juba vajalikku teavitamisvalmidust.
Allikad.
- Määrus (EL) 2024/2847 – küberkerksuse määrus
- Euroopa Komisjon: küberkerksuse määrus ja kohaldamiskuupäevad
- Euroopa Komisjon: õigusakti kokkuvõte
- Euroopa Komisjon: tootjate kohustused
- Euroopa Komisjon: vastavushindamine
- Euroopa Komisjon: CRA ja avatud lähtekood
- Euroopa Komisjon: suunised C(2026) 5252 koos lisaga
Korduma kippuvad küsimused.
Jah, hõlmatud tootjatele kehtivad CRA artikli 14 teavitused alates 11. septembrist 2026. Üldised tootekohustused algavad 11. detsembril 2027; erirolle ja üleminekuid tuleb kontrollida eraldi.
Ei, nimetus SaaS ei määra kohaldamisala. Kontrollige tarkvaratoodet, selle funktsioone ja seotud kaugandmetöötlust konkreetse arhitektuuri põhjal.
Ei, eelnevate avatud lähtekoodiga panuste erikäsitlus ei vabasta kommertstoote tootjat üldiselt tema kohustustest. Tootjarolli ja võimalikku haldurirolli tuleb eristada.
Ei, ISO 27001 sertifikaat puudutab piiritletud juhtimissüsteemi. CRA nõuab toote eraldi käsitlemist ja vastavalt kohaldatavat vastavustõendit.
Korraldage tooteturvalisus jälgitavalt.
Käsitlege CRA nõudeid ja nende kontrollimist Secaniga struktureeritult.
See leht selgitab küberkerksuse määrust üldiselt ega asenda konkreetse toote õiguslikku hindamist. Määravad on kehtivad õigusaktid.