Kyberkestävyyssäädös.
Kehittäkää digitaalisia elementtejä sisältävät tuotteet turvallisesti, käsitelkää haavoittuvuudet ja valmistelkaa asianmukainen vaatimustenmukaisuuden osoittaminen.
- Asetus (EU) 2024/2847
- Kirjoittaja: Derya Altinay
- Tilanne: 22.10.2026
- Lukuaika: 6 min.
Lyhyt vastaus.
Kyberkestävyyssäädös on EU-asetus soveltamisalaansa kuuluvien digitaalisia elementtejä sisältävien tuotteiden kyberturvallisuudesta. Valmistajat vastaavat turvallisuudesta kehityksen, saataville asettamisen ja tuen ajan. Valmistajien ilmoitusvelvollisuuksia sovelletaan 11.9.2026 lähtien ja yleisiä tuotevelvoitteita 11.12.2027 alkaen. Perustana on asetus (EU) 2024/2847.
Kyberkestävyyssäädös ja CRA-määräajat.
Kyberkestävyyssäädös eli Cyber Resilience Act (CRA) sääntelee tuotteiden kyberturvallisuutta. Asetus (EU) 2024/2847 yhdistää suunnitteluvaatimukset tuotteen elinkaaren aikaisiin velvoitteisiin. Tarkastelun kohteena on konkreettinen tuote olennaisine komponentteineen ja siihen liittyvine etätietojenkäsittelyineen. Koko yrityksen turvallisuusohjelma voi tukea työtä, mutta ei yksin vastaa tuotekohtaisiin kysymyksiin.
CRA:n määräaikoja sovelletaan vaiheittain. CRA:n 71 artiklan 2 kohdan mukaan yleiset vaatimukset alkavat 11.12.2027. Valmistajien 14 artiklan mukaisia ilmoituksia sovelletaan jo 11.9.2026 lähtien. Vaatimustenmukaisuuden arviointilaitosten ilmoittamista koskevaa IV lukua sovelletaan 11.6.2026 lähtien. Tämä institutionaalinen määräpäivä ei ole aikaistettu yleinen CE-määräpäivä kaikille ohjelmistotuotteille.
Vanhempia tuotteita ei ole yleisesti vapautettu valmistajien ilmoituksista. CRA:n 69 artiklan 2 ja 3 kohta erottavat tuotevaatimustenmukaisuuden siirtymäsäännöt ilmoituksista. Komission ohjeiden C(2026) 5252 kohta 9.1 selittää eron myös ennen joulukuuta 2027 markkinoille saatetuille tuotteille. Ohjeet ovat oikeudellisesti sitomaton tulkinta-apu. Asetus on edelleen ratkaiseva.
Mitä tuotteita ja yrityksiä CRA koskee.
CRA koskee soveltamisalaansa kuuluvia laite- ja ohjelmistotuotteita, jotka asetetaan saataville EU:n markkinoilla ja joihin sisältyy suora tai välillinen tietoyhteys laitteeseen tai verkkoon. CRA:n 2 ja 3 artikla määrittävät soveltamisalan ja käsitteet. Mukaan voivat kuulua erikseen tarjottavat komponentit. Arvioikaa todellinen toiminta ja lakisääteiset poikkeukset ennen koko tuotevalikoiman luokittelemista samalla tavalla.
Yrityksen rooli määrittää sen velvoitteet. Valmistajilla, maahantuojilla ja jakelijoilla on eri tehtävät. Valmistajan rooli voi tulla kyseeseen myös omalla tuotemerkillä markkinoitaessa. Avoimen lähdekoodin ohjelmistoissa on erotettava kaupallinen saataville asettaminen, yksittäisten henkilöiden panokset ja avoimen lähdekoodin ohjelmistovastaavan erityinen rooli. Vapaa lisenssi ei yleisesti vapauta kaupallisen tuotteen valmistajaa vastuustaan.
SaaS-palvelu ei kuulu CRA:n piiriin tai sen ulkopuolelle pelkän myyntinimityksensä perusteella. Ratkaisevia ovat tuotteen rajaus ja siihen liittyvä etätietojenkäsittely. Komission ohjeiden kohdat 2 ja 8 erottavat ohjelmistotuotteet etänä tarjottavista palveluista. Kirjatkaa konkreettisen arkkitehtuurin perustelut. Kaikkia pilvipalveluja koskeva yleinen väite olisi liian laaja.
CRA-vaatimusten pääalueet.
CRA-vaatimukset yhdistävät riskiperusteisen tuoteturvallisuuden jatkuvaan vastuuseen. CRA:n 13 artikla ja liite I muodostavat tuotevelvoitteiden perustan. Artikla 14 sääntelee aiemmin sovellettaviksi tulevia valmistajien ilmoituksia. Seuraavat alueet antavat yleiskuvan korvaamatta yksittäisiä lakisääteisiä vaatimuksia.
Ymmärtäkää tuote ja riskit.
Kyberturvallisuusriskien arviointi tukee turvallisuuspäätöksiä koko elinkaaren ajan. Valmistajat huomioivat tarkoitetun ja kohtuudella ennakoitavissa olevan käytön. Kuvatkaa käytännössä tuotteen toiminnot, rajapinnat ja riippuvuudet sekä turvallisuusongelman mahdolliset seuraukset käyttäjille.
Sisällyttäkää turvallisuus tuotteeseen.
Turvallinen suunnittelu ja turvalliset oletusasetukset kuuluvat yhteen. CRA:n liite I kattaa tuoteominaisuuksia, kuten käytönvalvonnan, tietojen suojaamisen ja hyökkäyspintojen rajoittamisen. Jälkikäteen laadittu ohje ei korvaa teknisiä ominaisuuksia. Kehityspäätösten ja niiden todentamisen on vastattava riskien arviointia.
Liittäkää komponentit vastuullisesti.
Integroidut komponentit kuuluvat edelleen tuotteen tarkasteluun. Valmistajat tarvitsevat jäljitettävät tiedot toimitettavasta sisällöstä ja riippuvuuksien haavoittuvuuksien vaikutuksista tuotteeseen. Komissio kuvaa nimenomaisesti kolmansien osapuolten komponentteja koskevan asianmukaisen huolellisuuden. Pelkkä toimittajan selvityksen välittäminen ei vastaa kaikkiin tuotekysymyksiin.
Käsitelkää haavoittuvuudet ja päivitykset.
Haavoittuvuuksien käsittely on jatkuva tehtävä asianomaisen tukijakson aikana. Siihen kuuluvat tavoitettavat ilmoituskanavat, arviointi, korjaaminen ja turvallisuuspäivitysten turvallinen jakelu. Erottakaa havainnon tekninen käsittely oikeudellisesta arviosta, onko aktiivisesti hyödynnettävä haavoittuvuus tai vakava poikkeama ilmoitusvelvollisuuden alainen.
Määrittäkää tuki ja käyttäjätiedot.
Tukijakso perustuu CRA:n 13 artiklan 8 kohdan kriteereihin ja odotettuun käyttöön. Pääsääntönä on vähintään viisi vuotta. Jos odotettu käyttö on lyhyempi, sovelletaan sen kestoa. Pidempi odotettu käyttö voi edellyttää pidempää jaksoa. Komission ohjeiden kohta 5 selittää nimenomaisesti, ettei viisi vuotta ole yleinen enimmäisaika.
Mahdollistakaa valmistajan ilmoitukset.
CRA:n 14 artikla erottaa aktiivisesti hyödynnettävät haavoittuvuudet vakavista turvallisuuspoikkeamista. Valmistajille sovelletaan vaiheittaisia ilmoituksia: ennakkovaroitus viipymättä ja viimeistään 24 tunnissa sekä lisätiedot 72 tunnissa tiedon saamisesta. Lopulliset määräajat eroavat ilmoituksen syyn mukaan. Pelkkä skannerihavainto ei siis automaattisesti edellytä ilmoitusta eikä riitä asian sulkemisen perusteeksi.
Valmistelkaa vaatimustenmukaisuus ja dokumentaatio.
Teknisten asiakirjojen ja vaatimustenmukaisuuden arvioinnin on selitettävä tarjottava tuote. CRA:n 32 artikla ja tuoteluokka määrittävät sallitun menettelyn. Säilyttäkää valittu arviointiperusta yhdessä tuoteversion kanssa. Yleinen asiakirjakokoelma ilman jäljitettävää yhteyttä tarkastettuun toteutukseen ei riitä käytännön todentamisstrategiaksi.
CRA:n toteutus tuoteprosessina.
Rajatkaa tuotevalikoima ja roolit.
Kartoittakaa käytännön aluksi tarjottavat tuotteet, niiden olennaiset toiminnot, vastuullinen oikeushenkilö ja rooli kussakin jakelukanavassa.
Erottakaa soveltamisvaiheet.
Erottakaa jo sovellettava valmistajan ilmoitusvalmius yleisen tuotevaatimustenmukaisuuden valmistelusta ja arvioikaa nykyisten tuotteiden siirtymäsäännöt.
Muuntakaa riskit tuotepäätöksiksi.
Yhdistäkää riskien arviointi suunnitteluun, komponenttivalintoihin ja todennettaviin turvallisuuskriteereihin kehitystä ja julkaisuhyväksyntää varten.
Harjoitelkaa ilmoituskanavia.
Nimetkää vastuuhenkilöt ja sijaiset sekä harjoitelkaa arviointia, eskalointia ja tietojen välittämistä puutteellisilla tiedoilla sovellettavissa määräajoissa.
Määrittäkää tuki ja todentamispolku.
Suunnitelkaa tuettujen tuoteversioiden ylläpito ja selvittäkää tuoteluokan perusteella tarvittava vaatimustenmukaisuuden arviointi ja tekninen dokumentaatio.
Ohjelmiston CE-merkintä ja tuotekohtainen näyttö.
CRA-näyttö perustuu tuotekohtaiseen vaatimustenmukaisuuden arviointiin. Komissio selittää CRA:n 32 artiklan yhteydessä, että perusluokassa sisäinen arviointi on mahdollinen. Tiettyihin tärkeisiin tai kriittisiin tuotteisiin sovelletaan tiukempia menettelyjä ilmoitetun laitoksen kanssa tai muita kulloinkin sallittuja todentamispolkuja. Tuotteen todellinen toiminto ratkaisee luokan. Markkinointinimi ei riitä.
EU-vaatimustenmukaisuusvakuutus ja CE-merkintä seuraavat sovellettavaa menettelyä. Ne eivät ole koko yrityksen yleinen sertifikaatti eivätkä lupaus siitä, ettei tuotteessa koskaan ole haavoittuvuuksia. Yhtenäinen sertifikaatin voimassaoloaika ei siksi sovi CRA:n kuvaukseksi. Dokumentaatiota, haavoittuvuuksien käsittelyä ja kulloinkin sovellettavia velvoitteita on tarkasteltava koko asianomaisen elinkaaren ajan.
Muut viitekehykset ja itsenäiset velvoitteet.
ISO 27001 järjestää tietoturvan hallintajärjestelmän. Sen sertifikaatti ei yksin vahvista tuotteen CRA-vaatimustenmukaisuutta. NIS2 tarkastelee soveltamisalaan kuuluvia toimijoita ja niiden turvallisuusorganisaatiota. GDPR suojaa henkilötietoja, joten tuotteeseen liittyvä tapahtuma voi synnyttää myös tietosuojakysymyksiä. Toisiinsa liittyviä työnkulkuja voidaan koordinoida, mutta niiden oikeudelliset käynnistymisperusteet ja näyttö on arvioitava erikseen.
Secanissa.
Secani sisältää toimituksellisen CRA-työluettelon lähteineen, tarkastuskysymyksineen ja näyttöesimerkkeineen. Yritysprofiiliin kirjataan muun muassa roolit ja arviointipäivä. Selvittämättömät edellytykset säilyvät näkyvissä tarkastustarpeina. Apuväline tukee arvioinnin järjestämistä, mutta ei vahvista tuotteen oikeudellista luokittelua tai vaatimustenmukaisuutta.
Aloittakaa rajatusta tuotteesta.
Valitkaa konkreettinen tuote ja selvittäkää ensin sen rajaus, vastuullinen oikeushenkilö ja turvallisuusilmoituksista vastaavat henkilöt. Arvioikaa sitten tuotetta koskevat nykyiset ja tulevat velvoitteet. Näin valmistelu pysyy hallittavana eikä yleinen vaatimustenmukaisuushanke peitä jo vaadittavaa ilmoitusvalmiutta.
Lähteet.
- Asetus (EU) 2024/2847 – kyberkestävyyssäädös
- Euroopan komissio: kyberkestävyyssäädös ja soveltamispäivät
- Euroopan komissio: säädöksen tiivistelmä
- Euroopan komissio: valmistajien velvoitteet
- Euroopan komissio: vaatimustenmukaisuuden arviointi
- Euroopan komissio: CRA ja avoin lähdekoodi
- Euroopan komissio: ohjeet C(2026) 5252 liitteineen
Usein kysytyt kysymykset.
Kyllä. Soveltamisalaan kuuluviin valmistajiin sovelletaan CRA:n 14 artiklan ilmoituksia 11.9.2026 lähtien. Yleiset tuotevelvoitteet alkavat 11.12.2027. Erityiset roolit ja siirtymät on arvioitava erikseen.
Ei. Nimitys SaaS ei ratkaise soveltamisalaa. Arvioikaa ohjelmistotuote, sen toiminnot ja siihen liittyvä etätietojenkäsittely konkreettisen arkkitehtuurin perusteella.
Ei. Edeltävien avoimen lähdekoodin panosten erityiskohtelu ei yleisesti vapauta kaupallisen tuotteen valmistajaa velvoitteistaan. Valmistajan rooli ja mahdollinen ohjelmistovastaavan rooli on erotettava toisistaan.
Ei. ISO 27001 -sertifikaatti koskee rajattua hallintajärjestelmää. CRA edellyttää tuotteen erillistä tarkastelua ja kulloinkin sovellettavaa vaatimustenmukaisuuden osoittamista.
Järjestäkää tuoteturvallisuus jäljitettävästi.
Käsitelkää CRA-vaatimuksia ja niiden arviointia jäsennellysti Secanissa.
Tämä sivu selittää kyberkestävyyssäädöstä yleisellä tasolla eikä korvaa yksittäisen tuotteen oikeudellista arviointia. Ratkaisevia ovat voimassa olevat säädökset.