CRA

Mikä on kyberkestävyyssäädös?

EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) on kattava Euroopan unionin asetus, joka tuo pakolliset kyberturvallisuusvaatimukset digitaalisia elementtejä sisältäville tuotteille. Vuonna 2024 hyväksytyn CRA:n tavoitteena on parantaa laitteisto- ja ohjelmistotuotteiden tietoturvaa koko niiden elinkaaren ajan.

Keskeiset tavoitteet

• Varmistaa, että digitaalisia elementtejä sisältävät tuotteet ovat turvallisia suunnittelultaan ja oletusasetuksiltaan

• Luoda puitteet jatkuville tietoturvapäivityksille ja haavoittuvuuksien hallinnalle

• Asettaa läpinäkyvyysvaatimuksia, kuten SBOM:t (ohjelmistojen materiaaliluettelot)

• Asettaa valmistajat vastuuseen tuotteidensa tietoturvasta

Ketä se koskee?

CRA koskee EU:n markkinoille saatettavien digitaalisia elementtejä sisältävien tuotteiden valmistajia, maahantuojia ja jakelijoita. Tähän kuuluvat ohjelmistot, laitteistot ja IoT-laitteet. Organisaatioiden, jotka myyvät tai jakelevat tällaisia tuotteita EU:ssa, on täytettävä CRA:n vaatimukset.

Aikataulu

CRA sisältää siirtymäajan vaatimusten täyttämiselle. Organisaatioiden kannattaa aloittaa valmistautuminen nyt, jotta vaatimukset täyttyvät ennen määräaikoja. Keskeisiä päivämääriä ovat vähitellen voimaan tulevat vaatimustenmukaisuuden arviointia koskevat velvoitteet ja raportointivaatimukset. 11.9.2026 alkaen valmistajat ovat ilmoittaneet aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista poikkeamista keskitetyn raportointialustan kautta.