Vuonna 2026 raportoitiin päivässä 131% enemmän CVE:itä kuin edellisenä vuonna.

Mikä on EU:n kyberkestävyyssäädös?

EU-laki, joka asettaa kyberturvallisuussäännöt laitteisto- ja ohjelmistotuotteille, ja mitä se edellyttää niitä valmistavilta yrityksiltä

EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA), asetus (EU) 2024/2847, on EU-asetus, joka asettaa pakolliset kyberturvallisuusvaatimukset digitaalisia elementtejä sisältäville tuotteille: laitteistoille ja ohjelmistoille, jotka yhdistyvät laitteeseen tai verkkoon, reitittimistä ja älykotilaitteista sovelluksiin, käyttöjärjestelmiin ja erikseen myytäviin ohjelmistokomponentteihin. Se tuli voimaan 10.12.2024. Valmistajien on täytynyt raportoida aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista poikkeamista 11.9.2026 alkaen, ja asetuksen muita osia sovelletaan 11.12.2027 alkaen.

Valmistajilla on suurin osa velvoitteista. Ne arvioivat kyberturvallisuusriskit, rakentavat tuotteet liitteen I olennaisten vaatimusten mukaisesti, ylläpitävät ohjelmistojen materiaaliluetteloa (SBOM), käsittelevät haavoittuvuuksia vähintään viiden vuoden tukiajan, läpäisevät vaatimustenmukaisuuden arvioinnin ja kiinnittävät CE-merkinnän. Maahantuojat ja jakelijat tarkistavat, että näin on tehty. Sakot voivat olla jopa €15 miljoonaa tai 2,5 % maailmanlaajuisesta vuotuisesta liikevaihdosta.

CRACI automatisoi merkittävän osan näiden velvoitteiden vaatimasta näytöstä: se tallentaa jokaisen buildin hakemat komponentit SBOM:ksi, tarkistaa ne uudelleen uusia haavoittuvuuksia vastaan toimituksen jälkeen ja vie auditointinäytön teknistä dokumentaatiotasi varten. Kun haavoittuvuus on raportoitava, CRACI valmistelee CRA-ilmoitusten sisällön sinun lähetettäväksesi. Katso, miten CRACI tukee CRA-vaatimustenmukaisuutta.

What the Cyber Resilience Act asks manufacturers to do

Asetuksen (EU) 2024/2847 soveltamisala, soveltamisen alkamispäivät, raportoinnin määräajat ja kohdat, joissa SBOM:ia ja haavoittuvuuksien käsittelyä koskevat velvoitteet ovat.

Petteri Pulkkinen ja Erika Marttinen, Kubernetes Community Days Helsinki 2026, 8:03–15:20 videosta SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains.

Tärkeät päivämäärät

PäivämääräMitä tapahtuu
23.10.2024 Euroopan parlamentti ja neuvosto hyväksyvät asetuksen (EU) 2024/2847
20.11.2024 Julkaistaan Euroopan unionin virallisessa lehdessä
10.12.2024 Tulee voimaan
11.6.2026 Vaatimustenmukaisuuden arviointilaitosten ilmoittamista koskevia sääntöjä (IV luku) aletaan soveltaa
11.9.2026 Aktiivisesti hyödynnettyjen haavoittuvuuksien ja vakavien poikkeamien raportointia (14 artikla) aletaan soveltaa, myös jo markkinoilla oleviin tuotteisiin
11.12.2027 Asetuksen muita osia aletaan soveltaa

CRA:n keskeiset osa-alueet

Pakolliset turvallisuusvaatimukset

Tuotteiden on täytettävä liitteen I olennaiset kyberturvallisuusvaatimukset, kun ne saatetaan markkinoille, ja koko tukiajan.

Riskiperusteinen luokittelu

Useimmat tuotteet kuuluvat oletusluokkaan. Tärkeisiin ja kriittisiin tuotteisiin sovelletaan tiukempia vaatimustenmukaisuuden arviointimenettelyjä.

Haavoittuvuuksien käsittely

Valmistajat ylläpitävät SBOM:ia, korjaavat haavoittuvuudet viipymättä ja raportoivat aktiivisesti hyödynnetyt haavoittuvuudet 24 tunnin kuluessa.

CE-merkintä

Vaatimustenmukaisuuden arvioinnin jälkeen valmistaja allekirjoittaa EU-vaatimustenmukaisuusvakuutuksen ja kiinnittää CE-merkinnän.

Dokumentaatio ja läpinäkyvyys

Tekninen dokumentaatio säilytetään vähintään 10 vuotta tai tukiajan, ja käyttäjät saavat tietää, milloin tuki päättyy.

Markkinavalvonta

Kansalliset viranomaiset voivat pyytää dokumentaatiota, määrätä korjaavia toimenpiteitä tai takaisinvetoja ja määrätä sakkoja.

The CRA timeline is ticking

Key milestones you need to prepare for under the Cyber Resilience Act.

Notified body rules apply
June 2026
Vulnerability reporting enforcement
September 2026
We are here
Full application of the CRA act
December 2027
€15M
maximum fine, or 2.5% of global annual turnover
24 hours
to send an early warning of an actively exploited vulnerability
72 hours
to follow up with a full vulnerability notification

Keitä CRA koskee?

Valmistajat

Kaikkia, jotka kehittävät tai valmistavat digitaalisia elementtejä sisältävän tuotteen tai teettävät sen ja markkinoivat sitä omalla nimellään tai tavaramerkillään, joko maksua vastaan tai maksutta. EU:n ulkopuoliset valmistajat kuuluvat soveltamisalaan, kun ne myyvät EU:hun.

Maahantuojat ja jakelijat

Maahantuojien ja jakelijoiden on tarkistettava, että tuotteessa on CE-merkintä ja että valmistaja on täyttänyt velvoitteensa, ennen kuin ne asettavat tuotteen saataville EU:ssa.

Avoimen lähdekoodin ohjelmistot

Soveltamisalaan kuuluu vain kaupallisen toiminnan yhteydessä toimitettu avoin lähdekoodi. Avoimen lähdekoodin ohjelmistovastaaviin sovelletaan kevyempää järjestelmää, ja valmistajat ovat edelleen vastuussa rakentamistaan avoimen lähdekoodin komponenteista.

Ohjelmisto- ja SaaS-toimittajat

Tuotteena myytävä ohjelmisto kuuluu soveltamisalaan, samoin pilvitaustajärjestelmä, jota tuote tarvitsee toimiakseen. Pelkkä ohjelmisto palveluna kuuluu CRA:n sijaan NIS2-direktiivin piiriin.

Soveltamisalan ulkopuolella: tuotteet, joita jo säännellään EU:n lääkinnällisiä laitteita, in vitro -diagnostiikkaa ja ajoneuvojen tyyppihyväksyntää koskevilla säännöillä, sertifioidut ilmailutuotteet, laivavarusteet, identtiset varaosat sekä yksinomaan kansallista turvallisuutta tai puolustusta varten rakennetut tuotteet (2 artikla).

Tuoteluokat ja vaatimustenmukaisuuden arviointi

Jokainen valmistaja tekee vaatimustenmukaisuuden arvioinnin ennen tuotteen markkinoille saattamista. Menettely riippuu tuotteen luokasta.

LuokkaEsimerkkejäVaatimustenmukaisuuden arviointi
Oletusluokka Useimmat digitaalisia elementtejä sisältävät tuotteet, joita ei ole lueteltu liitteessä III tai IV Itsearviointi (sisäinen valvonta) on sallittu
Tärkeät, luokka I (liite III) Identiteetin- ja käyttöoikeuksien hallinta, selaimet, salasanojen hallintaohjelmat, VPN:t, käyttöjärjestelmät, reitittimet ja kytkimet, älykodin turvallisuustuotteet Itsearviointi vain, jos sovelletaan yhdenmukaistettuja standardeja, yhteisiä eritelmiä tai sertifiointijärjestelmää; muuten ilmoitettu laitos
Tärkeät, luokka II (liite III) Hypervisorit ja konttien ajoympäristöt, palomuurit ja tunkeutumisen havaitsemisjärjestelmät, peukaloinnin kestävät mikroprosessorit ja mikro-ohjaimet Ilmoitetun laitoksen tekemä kolmannen osapuolen arviointi tai eurooppalainen kyberturvallisuuden sertifiointijärjestelmä
Kriittiset (liite IV) Turvalaatikoilla varustetut laitteistot, älymittarien yhdyskäytävät, älykortit ja turvaelementit Eurooppalainen kyberturvallisuussertifikaatti, jos komissio sellaista edellyttää; muuten kolmannen osapuolen arviointi

Olennaiset vaatimukset

Liite I asettaa kaksi olennaisten vaatimusten ryhmää. Ensimmäinen koskee itse tuotetta ja perustuu dokumentoituun kyberturvallisuusriskien arviointiin:

  • Ei tunnettuja hyödynnettäviä haavoittuvuuksia, kun tuote saatetaan markkinoille
  • Oletusarvoisesti turvallinen konfiguraatio
  • Tietoturvapäivitykset, oletusarvoisesti automaattiset, kun se on mahdollista
  • Suojaus luvattomalta pääsyltä sekä tietojen luottamuksellisuuden ja eheyden suojaus
  • Tietojen minimointi, olennaisten toimintojen saatavuus ja rajattu hyökkäyspinta
  • Käyttäjätietojen ja asetusten turvallinen ja pysyvä poistaminen

Toinen koskee sitä, miten valmistaja käsittelee haavoittuvuuksia:

  • SBOM, joka kattaa vähintään ylimmän tason riippuvuudet
  • Haavoittuvuuksien korjaaminen viipymättä, tietoturvapäivitykset erillään ominaisuuspäivityksistä, kun se on mahdollista
  • Säännöllinen tietoturvatestaus ja katselmoinnit
  • Koordinoitua haavoittuvuuksien julkistamista koskeva toimintaperiaate ja yhteyspiste haavoittuvuuksien ilmoittamista varten
  • Korjattujen haavoittuvuuksien julkistaminen, kun päivitys on saatavilla
  • Päivitysten turvallinen ja maksuton jakelu tiedotteiden kera

Valmistajat myös määrittävät vähintään viiden vuoden tukiajan, ellei tuotteen odoteta olevan käytössä lyhyempää aikaa, pitävät jokaisen tietoturvapäivityksen saatavilla vähintään 10 vuotta ja säilyttävät teknisen dokumentaation ja EU-vaatimustenmukaisuusvakuutuksen vähintään 10 vuotta tai tukiajan, sen mukaan, kumpi on pidempi (13 artikla).

Raportointivelvoitteet ja määräajat

Valmistajat ilmoittavat 11.9.2026 alkaen aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista poikkeamista keskitetyn raportointialustan kautta koordinaattoriksi nimetylle CSIRT-yksikölle siinä EU:n jäsenvaltiossa, jossa niiden päätoimipaikka on, ja samanaikaisesti ENISAlle (14 artikla). Tämä koskee myös jo markkinoilla olevia tuotteita.

VaiheAktiivisesti hyödynnetty haavoittuvuusVakava poikkeama
Ennakkovaroitus 24 tunnin kuluessa tietoon tulosta 24 tunnin kuluessa tietoon tulosta
Ilmoitus 72 tunnin kuluessa, tiedot tuotteesta, hyödyntämisestä ja mahdollisista lieventävistä toimenpiteistä 72 tunnin kuluessa, alustava arvio ja mahdolliset lieventävät toimenpiteet
Loppuraportti Viimeistään 14 päivän kuluttua siitä, kun korjaava tai lieventävä toimenpide on saatavilla Kuukauden kuluessa poikkeamailmoituksesta

Valmistajien on myös tiedotettava asianomaisille käyttäjille ja tarvittaessa kaikille käyttäjille, mitä lieventäviä toimenpiteitä he voivat tehdä. 24 tunnin määräajassa pysyminen edellyttää, että tiedät tuntien kuluessa, mitkä tuotteet ja julkaisut sisältävät haavoittuvan komponentin, ja juuri sitä varten julkaisukohtainen SBOM on.

Seuraamukset

Jäsenvaltiot määrittävät seuraamukset näiden enimmäismäärien rajoissa (64 artikla). Markkinavalvontaviranomaiset voivat myös määrätä korjaavia toimenpiteitä tai tuotteen poistamisen markkinoilta tai takaisinvedon.

RikkomusHallinnollisen sakon enimmäismäärä
Olennaiset kyberturvallisuusvaatimukset (liite I) ja valmistajan velvoitteet (13 ja 14 artikla) Enintään €15 miljoonaa tai 2,5 % maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta sen mukaan, kumpi on suurempi
Muut velvoitteet, mukaan lukien maahantuojien ja jakelijoiden velvoitteet, vaatimustenmukaisuusvakuutus, CE-merkintä, tekninen dokumentaatio ja vaatimustenmukaisuuden arviointi Enintään €10 miljoonaa tai 2 % maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta sen mukaan, kumpi on suurempi
Virheelliset, puutteelliset tai harhaanjohtavat tiedot ilmoitetuille laitoksille tai markkinavalvontaviranomaisille Enintään €5 miljoonaa tai 1 % maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta sen mukaan, kumpi on suurempi

Mikro- ja pienyrityksille ei määrätä sakkoja 24 tunnin ennakkovaroituksen määräajan laiminlyönnistä, eikä avoimen lähdekoodin ohjelmistovastaaville määrätä sakkoja mistään rikkomuksesta.

Avoin lähdekoodi ja CRA

Vapaat ja avoimen lähdekoodin ohjelmistot kuuluvat soveltamisalaan vain, kun ne toimitetaan kaupallisen toiminnan yhteydessä, eikä projektin ylläpitäminen avoimessa repositoriossa tai paketinhallintajärjestelmässä sellaisenaan tarkoita sen asettamista saataville markkinoilla. Avoimen lähdekoodin ohjelmistovastaavilla, eli oikeushenkilöillä, kuten säätiöillä, jotka tukevat kaupalliseen käyttöön tarkoitettuja avoimen lähdekoodin projekteja, on oltava dokumentoitu kyberturvallisuuspolitiikka, niiden on tehtävä yhteistyötä markkinavalvontaviranomaisten kanssa ja raportoitava aktiivisesti hyödynnetyistä haavoittuvuuksista siltä osin kuin ne osallistuvat kehitykseen (24 artikla).

Valmistajille avoin lähdekoodi on komponentti muiden joukossa. Niiden on noudatettava asianmukaista huolellisuutta sitä integroidessaan, ilmoitettava löytämänsä haavoittuvuudet sitä ylläpitävälle projektille ja jaettava kehittämänsä korjaukset (13 artikla). Siksi SBOM on tärkeä: se on tallenne siitä, mitkä avoimen lähdekoodin komponentit missäkin versioissa sisältyvät kuhunkin julkaisuun.

Mitä CRA tarkoittaa kehitystiimeille

Nykyinen tuote koostuu enimmäkseen muiden kirjoittamasta koodista: avoimen lähdekoodin kirjastoista, rekistereistä haetuista paketeista, konttien pohjakuvista, kolmansien osapuolten SDK:ista sekä ne kokoavista build-työkaluista ja CI/CD-putkista. SolarWinds-hyökkäys kulki build-järjestelmän kautta, ja Log4Shell oli haavoittuvuus laajalti käytetyssä kirjastossa; molemmat päätyivät valmiisiin tuotteisiin. CRA tekee valmistajasta vastuullisen kaikesta tästä, mukaan lukien asianmukaisen huolellisuuden niiden kolmansien osapuolten ja avoimen lähdekoodin komponenttien osalta, jotka se rakentaa tuotteisiinsa (13 artikla).

Käytännössä CRA:han valmistautuvat tiimit:

  • Tietävät, mitä kuhunkin julkaisuun sisältyy, tuottamalla SBOM:n jokaisesta buildista koneluettavassa muodossa, kuten CycloneDX tai SPDX, sen sijaan että se tehtäisiin kerran julkaisun yhteydessä
  • Valvovat julkaistuja versioita, eivät vain päähaaraa, koska julkaisun jälkeen löydetty haavoittuvuus on silti korjattava viipymättä tukiajan aikana
  • Sopivat riippuvuuskäytännöistä: miten uudet komponentit valitaan ja katselmoidaan, kuinka nopeasti päivitykset otetaan käyttöön ja mitkä löydökset estävät julkaisun
  • Harjoittelevat 24 tunnin määräaikaa: kuka vahvistaa aktiivisen hyödyntämisen, kuka lähettää ennakkovaroituksen ja kuka tiedottaa käyttäjille
  • Keräävät näyttöä työn edetessä, koska build-tallenteet, SBOM:t ja testitulokset muodostavat teknisen dokumentaation, joka on säilytettävä vähintään 10 vuotta

Vaatimukset vaiheittaisena tiekarttana löydät CRA-oppaasta. Katso myös, mitä CRA edellyttää SBOM:lta ja miten CRACI tukee CRA-vaatimustenmukaisuutta. Toimitatko komponentteja valmistajille? Katso SBOM-opas toimittajille.

Kyberkestävyyssäädös: usein kysytyt kysymykset

Lyhyet vastaukset kysymyksiin, joita valmistajat kysyvät CRA:sta useimmin

Mikä on kyberkestävyyssäädös?

EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA), asetus (EU) 2024/2847, on EU-asetus, joka asettaa pakolliset kyberturvallisuusvaatimukset EU:n markkinoille saatettaville digitaalisia elementtejä sisältäville laitteisto- ja ohjelmistotuotteille. Se tekee valmistajat vastuullisiksi tietoturvasta suunnittelusta aina vähintään viiden vuoden tukiajan loppuun, mukaan lukien haavoittuvuuksien käsittely, SBOM ja aktiivisesti hyödynnettyjen haavoittuvuuksien raportointi.

Milloin kyberkestävyyssäädöstä sovelletaan?

Se tuli voimaan 10.12.2024. 14 artiklan raportointivelvoitteita sovelletaan 11.9.2026 alkaen, vaatimustenmukaisuuden arviointilaitoksia koskevia sääntöjä 11.6.2026 alkaen ja asetuksen muita osia 11.12.2027 alkaen.

Koskeeko CRA ohjelmistoja ja SaaS-palveluja?

Tuotteena myytävät tai toimitettavat ohjelmistot kuuluvat soveltamisalaan, mukaan lukien sovellukset, käyttöjärjestelmät, laiteohjelmistot ja erikseen markkinoille saatettavat ohjelmistokomponentit. Pilvipalvelut kuuluvat soveltamisalaan vain tuotteen etätietojenkäsittelynä, esimerkiksi pilvitaustajärjestelmä, jonka avulla ohjaat älykotilaitetta. Pelkkä ohjelmisto palveluna kuuluu sen sijaan NIS2-direktiivin piiriin (johdanto-osan 12 kappale).

Koskeeko CRA avoimen lähdekoodin ohjelmistoja?

Vain kaupallisen toiminnan yhteydessä toimitettua avointa lähdekoodia. Ei-kaupalliset avoimen lähdekoodin projektit jäävät sen soveltamisalan ulkopuolelle. Avoimen lähdekoodin ohjelmistovastaaviin, kuten säätiöihin, jotka tukevat kaupalliseen käyttöön tarkoitettuja projekteja, sovelletaan kevyempää järjestelmää, eikä niille voida määrätä sakkoja. Valmistajat, jotka rakentavat avoimen lähdekoodin komponentteja tuotteisiinsa, ovat niistä edelleen täysin vastuussa.

Mitkä ovat CRA:n raportointivaatimukset?

Valmistajat ilmoittavat aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista poikkeamista keskitetyn raportointialustan kautta koordinoivalle CSIRT-yksikölleen ja ENISAlle: ennakkovaroitus 24 tunnin kuluessa, ilmoitus 72 tunnin kuluessa ja loppuraportti haavoittuvuuksista 14 päivän kuluessa korjauksesta tai poikkeamista kuukauden kuluessa. Ne myös tiedottavat asianomaisille käyttäjille.

Vaatiiko CRA SBOM:n?

Kyllä. Liitteen I osa II edellyttää ohjelmistojen materiaaliluetteloa yleisesti käytetyssä, koneluettavassa muodossa, joka kattaa vähintään ylimmän tason riippuvuudet. Se on osa teknistä dokumentaatiota ja toimitetaan markkinavalvontaviranomaiselle pyynnöstä; sitä ei tarvitse julkaista.

Mitä seuraamuksia CRA:ssa on?

Enintään €15 miljoonaa tai 2,5 % maailmanlaajuisesta vuotuisesta liikevaihdosta olennaisten vaatimusten tai valmistajan velvoitteiden rikkomisesta, enintään €10 miljoonaa tai 2 % muista velvoitteista ja enintään €5 miljoonaa tai 1 % viranomaisten harhaanjohtamisesta. Mikro- ja pienyrityksille ei määrätä sakkoja 24 tunnin ennakkovaroituksen määräajan laiminlyönnistä.

Koskeeko CRA jo markkinoilla olevia tuotteita?

Raportointivelvoitteet koskevat 11.9.2026 alkaen. Muuten ennen 11.12.2027 markkinoille saatetut tuotteet kuuluvat CRA:n piiriin vain, jos niitä muutetaan olennaisesti tämän päivämäärän jälkeen.

Hanki näyttö, jota CRA-prosessisi tarvitsee

Katso, miten CRACI tallentaa SBOM:t buildeistasi, valvoo toimittamiasi tuotteita ja valmistelee CRA-ilmoitukset sinun lähetettäväksesi

Varaa demo Tarkista, koskeeko CRA sinua