Kyberkestävyysäädös (Cyber Resilience Act, CRA), joka tunnetaan myös nimellä säädös (EU) 2022/2847, määrittää yhteiset kyberturvallisuuden vähimmäisvaatimukset ja standardit digitaalisia elementtejä sisältäville tuotteille, mukaan lukien laitteistot, ohjelmistot ja EU-markkinoilla saatavilla olevat datan etäkäsittelyratkaisut. Sen tavoitteena on parantaa tuotteiden digitaalista turvallisuutta ja vähentää tuotteiden haavoittuvuuksia, ja siten luoda luottamusta sekä lisäarvoa tuotteiden loppukäyttäjille. CRA parantaa kyberturvallisuuden tasoa monissa tuotteissa ja koko toimitusketjussa sekä edellyttää ajantasaisia tietoturvapäivityksiä tuotteille ja ohjelmistoille. Lisäksi siinä säädetään valmistajia koskevasta huolellisuusvelvoitteesta ja poikkeamien raportointivelvoitteesta. Kyberkestävyyden kolme keskeistä osa-aluetta ovat: riskien hallinta, häiriöistä palautuminen ja reagointi sekä liiketoiminnan jatkuvuus.
Jatkossa CRA on pakollinen osa CE-merkinnän vaatimuksia tuotteiden saattamiseksi Euroopan markkinoille.
Kyberkestävyyssäädös (CRA) koskee talouden toimijoita, kuten valmistajia, ohjelmistokehittäjiä, jakelijoita ja maahantuojia, jotka toimittavat uusia tai päivitettyjä digitaalisia tuotteita Euroopan markkinoille. On tärkeää ymmärtää, että CRA säätelee tuotteita, toisin kuin NIS2 tai DORA jotka säätelevät kriittisten talouden toimijoiden verkko- ja tietojärjestelmiä.
Kyberkestävyyssäännös määrittää neljä kategoriaa säännellyille tuotteille:
- Oletuskategoria
- Luokan I tärkeät tuotteet
- Luokan II tärkeät tuotteet
- Kriittiset tuotteet
Haavoittuvuuksien ja tietoturvapoikkeamien raportointi voimaan syyskuussa 2026
Viimeistään nyt on valmistajien, maahantuojien, jakelijoiden ja avoimen lähdekoodin ohjelmistovastaavien tiedostettava velvollisuutensa uuden CRA-säädöksen osalta. Valmistajien on 11.9.2026 alkaen aktiivisesti raportoitava ENISAn ylläpitämän keskitetyn raportointialustan (Single Reporting Platform, SRP) kautta tuotteiden hyödynnetyt haavoittuvuudet ja tietoturvaan vaikuttavat vakavat poikkeamat. Velvoite koskee uusia tuotteita, mutta samoin jo EU-markkinoille saatettuja tuotteita.
Kun tulet tietoiseksi tuotettasi koskevasta haavoittuvuudesta tai tietoturvapoikkeamasta, muista raportoida ENISA SRP-alustaan
- Ennakkoilmoitus 24 tunnin sisälläVarmista pakolliset tiedot ja tee ennakkoilmoitus
- Täydentävä ilmoitus 72 tunnin sisälläTarkista pakolliset tiedot ja toimita täydentävä ilmoitus
- Haavoittuvuuden loppuraportti 14 päivän kuluttuaKun korjaava tai lieventävä toimenpide on käytettävissä, tarkista pakolliset tiedot ja anna loppuraportti
- Poikkeaman loppuraportti 1 kk kuluessa täydentävän ilmoituksen jättämisestäTarkista pakolliset tiedot ja anna loppuraportti
Tarkemmat ohjeet valmistajille raportointiin löytyvät ENISA Single Reporting Platform -sivustolta.
Valmistaudu CE-merkinnän vaatimuksiin ajoissa
Vielä on aikaa jäljellä valmistautua ilman paniikkia, sillä 11.12.2027 astuu voimaan CRA-säädöksen olennaiset kyberturvallisuusvaatimukset tuotteille, pakollisena osana CE-merkintää. Markkinoille saatettavien tuotteiden tulee tuon päivämäärän jälkeen täyttää olennaiset kyberturvallisuusvaatimukset. Aika menee nopeasti, joten kannattaa tutustua CRA-säädöksen yleisiin vaatimuksiin ja seurata tuotekohtaisten kyberturvallisuusstandardien kehittymistä.
Elokuussa 2026 ETSI on julkaissut hyväksyntään ehdotukset 17 tuotestandardista, joita esitetään harmonisoitavaksi CRA-säädöksen tueksi.
Lisälukemista
Euroopan parlamentin ja neuvoston 23. lokakuuta 2024 antama CRA-asetus (EU) 2024/2847 digitaalisia elementtejä sisältäville tuotteille sekä asetuksen (EU) 168/2013 ja (EU) 2019/1020 sekä direktiivin (EU) 2020/1828 (kyberresilienssilaki) muuttamisesta.
Uusi lainsäädäntökehys, joka selkeyttää CE-merkinnän käyttöä ja luodaan välineistö tuotelainsäädännössä käytettäviksi toimenpiteiksi.
Euroopan komission verkkosivusto tarjoaa taustatietoa EU:n kyberturvallisuusstrategiasta, lainsäädännöstä ja sertifioinnista sekä Cyber Resilience Actista.
EU:n virallinen lehti (The Blue Guide) tuotesääntöjen toimeenpanosta 2022.
Aikajana
Valmistaudu nyt! Aikaa on vain vuoteen 2027 asti valmistautua pakolliseen tuotehyväksyntään.
- 2024 CRA astuu voimaan
- 11. syyskuuta 2026 poikkeamaraportointi tulee pakolliseksi, myös sertifioimattomille tuotteille
- 11.12.2027 CRA on kokonaisuudessaan voimassa ja pakollinen osa CE-merkintää
Miten SGS voi auttaa sinua saavutamaan CRA:n vaatimustenmukaisuuden
Mitä CRA tarkalleen tarkoittaa yrityksellesi? Miten tunnistat aukot tuotteesi tietoturvaratkaisuissa? Juuri tässä SGS astuu kuvaan: Tarjoamme tietoa päätöksentekoon poikkeama-arvioinnin avulla ja varmistamalla vaatimustenmukaisuuden riippumattomasti ja puolueettomasti, tavalla joka tuottaa lisäarvoa yrityksellesi ja luottamusta asiakkaillesi. CRA kattaa laajan valikoiman tuotteita, ja SGS voi tarjota lisäarvoa tuottavia palveluita koko tuotteen arvoketjuun. SGS on apunasi etenkin, kun kyse on luokan 2 tärkeistä tuotteista ja kriittisistä tuotteista, jotka vaativat pakollisen kolmannen osapuolen sertifioinnin. Olemme mukana alan standardointityössä ja seuraamme tiivisti vaatimusten kehittymistä. Meillä on asiantuntemusta, josta on sinulle hyötyä!
Tarvitsetko lisätietoja? Olemme valmiina kartoittamaan suunnittelemiasi tietoturvaratkaisuja ja muodostamaan palveluratkaisun yhteisessä räätälöidyssä tapaamisessa, jotta voit varmistaa CRA-vaatimusten täyttymisen tuotteessasi.
Kiinnostuitko? Ota yhteyttä ja aloita keskustelu kanssamme.
Tietoa SGS:stä
SGS on maailman johtava testaus-, tarkastus- ja sertifiointialan yritys. Meillä on yli 2 500 laboratorion ja toimipisteen verkosto 115 maassa, ja tukenamme yli 100 000 omistautuneen ammattilaisen tiimi. Yhdistämme yli 145 vuoden kokemuksella palveluissamme täsmällisyyden ja tarkkuuden – ominaisuudet, jotka kuvaavat sveitsiläisiä yrityksiä hyvin. Niiden avulla autamme organisaatioita saavuttamaan korkeimmat laatu-, vaatimustenmukaisuus- ja kestävyysstandardit.
Brändilupauksemme– when you need to be sure – korostaa sitoutumistamme luottamukseen, rehellisyyteen ja luotettavuuteen, jotta yritykset voivat keskittyä menestymiseen. Tarjoamme ylpeänä asiantuntijapalveluitamme paitsi SGS:n myös rekisteröimiemme tuotemerkkien kautta, mukaan lukien Applied Techical Services, Brightsight, Bluesign ja Nutrasource.
SGS on julkisen kaupankäynnin kohteena Sveitsin SIX-pörssissä kaupankäyntitunnuksella SGSN (SGSN (ISIN CH1256740924, Reuters SGSN.S, Bloomberg SGSN SW)."
