Kyberkestävyyssäädöksen opas
Käytännön tiekartta tiimeille, jotka rakentavat digitaalisia elementtejä sisältäviä tuotteita: mitä tehdä, kuka vastaa ja mitä näyttöä säilyttää. Mitä laki sanoo, sen kerrotaan sivulla mikä EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) on. Toimitatko komponentteja valmistajalle? Lue SBOM-opas toimittajille.
Päivitetty viimeksi 15.10.2026
What the Cyber Resilience Act asks manufacturers to do
Asetuksen (EU) 2024/2847 soveltamisala, soveltamisen alkamispäivät, raportoinnin määräajat ja kohdat, joissa SBOM:ia ja haavoittuvuuksien käsittelyä koskevat velvoitteet ovat.
Petteri Pulkkinen ja Erika Marttinen, Kubernetes Community Days Helsinki 2026, 8:03–15:20 videosta SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains.
Vaiheet etenevät karkeasti järjestyksessä, mutta jo markkinoilla olevien tuotteiden kohdalla vaiheet 5–8 ovat tärkeimpiä ensin, koska raportointia sovelletaan niihin jo nyt.
Listaa jokainen digitaalisia elementtejä sisältävä tuote, jonka asetat saataville EU:ssa, mukaan lukien erikseen myytävät ohjelmistot ja pilvitaustajärjestelmät, joita tuotteet tarvitsevat toimiakseen. Varmista kunkin osalta, ettei sitä ole rajattu ulkopuolelle (lääkinnälliset laitteet, ajoneuvot, ilmailu, laivavarusteet, puolustus), ja oletko sen valmistaja, maahantuoja vai jakelija.
Tarkista tuote CRA Checkerillä →Useimmat tuotteet kuuluvat oletusluokkaan. Vertaa tuotteitasi tärkeiden (liite III) ja kriittisten (liite IV) tuotteiden luetteloihin; täytäntöönpanoasetus (EU) 2025/2392 antaa niiden tekniset kuvaukset. Luokka ratkaisee, saatko tehdä arvioinnin itse vai tarvitsetko ilmoitetun laitoksen tai sertifioinnin.
Laadi jokaisesta tuotteesta kyberturvallisuusriskien arviointi. Se ratkaisee, miten liitteen I olennaisia vaatimuksia sovelletaan, ja se kuuluu tekniseen dokumentaatioon. Päivitä se, kun tuote tai uhat muuttuvat.
Päätä, kuinka kauan käsittelet kunkin tuotteen haavoittuvuuksia: vähintään viisi vuotta, ellei tuotteen odoteta olevan käytössä lyhyempään. Kerro käyttäjille, milloin tuki päättyy, ja pidä jokainen tietoturvapäivitys saatavilla vähintään 10 vuotta.
CRA edellyttää ohjelmistojen materiaaliluetteloa yleisesti käytetyssä, koneluettavassa muodossa, ja sen on katettava vähintään ylimmän tason riippuvuudet. Kun se generoidaan julkaisun tuottavassa buildissa eikä kerran käsin, se pysyy uskollisena sille, mitä toimitettiin.
CRACI:n osuus: CRACI tallentaa SBOM:n jokaisen buildin aikana, transitiiviset riippuvuudet ja välimuisteista palautetut paketit mukaan lukien, ja vie sen CycloneDX- tai SPDX-muodossa.
Seuraa uusien haavoittuvuuksien varalta julkaistuja versioita, ei pelkkää päähaaraa, koko tukiajan. Korjaa ne viipymättä, toimita tietoturvapäivitykset maksutta ja, kun mahdollista, erillään ominaisuuspäivityksistä.
CRACI:n osuus: CRACI tarkistaa seurattavat SBOM:t uusia haavoittuvuuksia vasten myös toimituksen jälkeen, ja tietoturvatiimit käyvät löydökset läpi triagessa ja lähettävät ne korjauksesta vastaaville tiimeille. Käytäntöportit voivat estää buildin löydösten perusteella.
Anna tutkijoille ja asiakkaille yhteystieto haavoittuvuuksien ilmoittamiseen sekä koordinoidun haavoittuvuuksien julkistamisen käytäntö. Kun päivitys on saatavilla, julkaise tiedot sen korjaamista haavoittuvuuksista.
11.9.2026 alkaen aktiivisesti hyödynnetystä haavoittuvuudesta tai vakavasta poikkeamasta on tehtävä ennakkovaroitus 24 tunnin kuluessa, ilmoitus 72 tunnin kuluessa ja loppuraportti keskitetyn raportointialustan kautta. Nimeä, kuka vahvistaa aktiivisen hyödyntämisen, kuka tekee ilmoituksen ja kuka tiedottaa käyttäjille. Vaikein osa on tietää tuntien sisällä, mitkä tuotteet ja julkaisut sisältävät haavoittuvan komponentin.
CRACI:n osuus: CRACI:n buildihistoria näyttää, mitkä buildit sisälsivät haavoittuvan riippuvuuden, sen inventaarionäkymä näyttää, mitkä versiot ovat käytössä missäkin tuotteessa, ja CRACI valmistelee CRA-ilmoitusten sisällön, jonka sinä lähetät.
Toimita tuote ilman tunnettuja hyödynnettäviä haavoittuvuuksia ja oletuksena turvallisella kokoonpanolla, suojaa tiedot ja pääsy, rajoita hyökkäyspintaa ja mahdollista tietoturvapäivitykset, soveltuvin osin oletuksena automaattisesti. Testaa ja arvioi tietoturvaa säännöllisesti.
CRACI:n osuus: CRACI valvoo egress-käytäntöä sille, mitä buildit saavat ladata, ja käytäntöportit voivat estää buildin löydösten perusteella.
Kokoa liitteessä VII kuvattu tekninen dokumentaatio, tee luokallesi kuuluva vaatimustenmukaisuuden arviointi, laadi EU-vaatimustenmukaisuusvakuutus ja kiinnitä CE-merkintä. Säilytä dokumentaatio ja vakuutus vähintään 10 vuotta tai tukiajan, sen mukaan kumpi on pidempi.
CRACI:n osuus: CRACI vie SBOM:t CycloneDX- tai SPDX-muodossa, niiden komponenteista löydetyt haavoittuvuudet mukaan lukien, ja sen API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot teknistä dokumentaatiotasi varten. Arviointi ja vakuutus pysyvät sinun prosessinasi.
Markkinavalvontaviranomaiset voivat pyytää teknistä dokumentaatiotasi. Tämä on se, mitä kustakin vaatimuksesta jää jälkeen, ja se, missä CRACI kirjaa sen buildeistasi.
| Vaatimus | Missä | Säilytettävä näyttö | CRACI:sta |
|---|---|---|---|
| Kyberturvallisuusriskien arviointi | 13 artikla, liite I | Dokumentoitu arviointi tuotekohtaisesti | Oma prosessisi |
| Ei tunnettuja hyödynnettäviä haavoittuvuuksia julkaisuhetkellä | Liite I, osa I | Julkaisubuildin haavoittuvuustila | Julkaisubuildin SBOM tarkistettu tietoturvatiedotteita vasten; käytäntöportit |
| Ohjelmistojen materiaaliluettelo | Liite I, osa II | Koneluettava SBOM jokaisesta julkaisusta | Tallennettu jokaisesta buildista, CycloneDX tai SPDX |
| Haavoittuvuuksien käsittely koko tukiajan | 13 artikla, liite I, osa II | Löydökset, triage-päätökset, korjaukset, tietoturvatiedotteet | Jatkuva uudelleenarviointi, triage, VEX |
| Kolmansien osapuolten komponenttien asianmukainen huolellisuus | 13 artikla | Komponenttitiedot, myös ostetut ohjelmistot | Toimittajien SBOM:t seurannassa omiesi rinnalla; ilmoitetut lisenssit |
| Hyödynnettyjen haavoittuvuuksien ja vakavien poikkeamien raportointi | 14 artikla | Ennakkovaroitukset, ilmoitukset, loppuraportit | Valmistelee ilmoitusten sisällön, jonka sinä lähetät |
| Tukiaika | 13 artikla | Julkaistu tuen päättymispäivä | Oma prosessisi |
| Tekninen dokumentaatio ja vakuutus | 13 artikla, liite VII | Säilytetään 10 vuotta tai tukiajan | SBOM-vienti ja API-data dokumentaatiota varten |
Kyberkestävyyssäädös
Käytä tätä tarkistuslistaa vastuiden jakamiseen ja näytön keräämiseen, kun valmistelet digitaalisia elementtejä sisältäviä tuotteita CRA:ta varten.
Käytännön kysymyksiä, joita tiimit kysyvät aloittaessaan CRA-työn
Täytä liitteen I olennaiset vaatimukset kyberturvallisuusriskien arvioinnin pohjalta, ylläpidä SBOM:ia, käsittele haavoittuvuuksia vähintään viiden vuoden tukiajan, raportoi aktiivisesti hyödynnetyt haavoittuvuudet ja vakavat poikkeamat, säilytä tekninen dokumentaatio, läpäise vaatimustenmukaisuuden arviointi ja kiinnitä CE-merkintä.
Soveltamisalasta ja raportoinnista. Selvitä, mitä tuotteitasi CRA koskee, ja varmista sitten, että pystyisit tekemään 24 tunnin ennakkovaroituksen aktiivisesti hyödynnetystä haavoittuvuudesta, koska raportointia on sovellettu 11.9.2026 alkaen, myös jo markkinoilla oleviin tuotteisiin. Muuta sovelletaan 11.12.2027 alkaen.
Liite VII luettelee sen. Siihen kuuluvat tuotteen kyberturvallisuusriskien arviointi, SBOM ja tiedot siitä, miten valmistaja käsittelee haavoittuvuuksia. Se säilytetään vähintään 10 vuotta tai tukiajan, sen mukaan kumpi on pidempi, ja annetaan markkinavalvontaviranomaisille pyynnöstä.
Ei. SBOM on osa teknistä dokumentaatiota, ja se toimitetaan markkinavalvontaviranomaiselle pyynnöstä. Asetus ei edellytä sen julkaisemista.
On. Euroopan komissio julkaisi 27.7.2026 ei-sitovan ohjeistuksen C(2026) 5252, jossa on 67 käytännön esimerkkiä. Se kattaa etätietojenkäsittelyn, vapaat ja avoimen lähdekoodin ohjelmistot, olennaisen muutoksen, tukiajat, raportoinnin ja riskinarvioinnin. Täytäntöönpanoasetus (EU) 2025/2392 kuvaa tärkeiden ja kriittisten tuotteiden luokat.
Velvoitteet ovat samat, mutta mikro- ja pienyrityksiä ei sakoteta 24 tunnin ennakkovaroituksen määräajan laiminlyönnistä, ja komission ohjeistus on kirjoitettu mikroyritykset ja pk-yritykset huomioiden.
Ei. CRA:n vaatimusten täyttäminen on valmistajan prosessi, johon kuuluvat riskinarviointi, vaatimustenmukaisuuden arviointi ja vakuutus. CRACI automatisoi merkittävän osan prosessin tarvitsemasta toimitusketjun näkyvyydestä ja näytöstä: SBOM:t jokaisesta buildista, haavoittuvuuksien seurannan julkaisun jälkeen ja CRA-ilmoitukset.
Katso, miten CRACI tallentaa SBOM:n jokaisesta buildista, seuraa toimittamaasi ja valmistelee CRA-ilmoitukset, jotka sinä lähetät