Kyberkestävyyssäädöksen ilmoitusvelvollisuus alkaa 11.9.2026

EU:n kyberkestävyyssäädös, englanniksi CRA, tuli voimaan 10.12.2024. Sen pääosa alkaa 11.12.2027. Valmistajien ilmoitusvelvollisuus alkaa kuitenkin jo 11.9.2026.

Mikä alkaa 11.9.2026

Valmistajan on ilmoitettava, kun se saa tietää tuotteensa haavoittuvuuden aktiivisesta hyväksikäytöstä. Ensimmäinen varoitus on tehtävä 24 tunnissa tiedon saamisesta. Tarkempi ilmoitus seuraa 72 tunnissa.

Haavoittuvuuden loppuraportti on tehtävä viimeistään 14 päivää sen jälkeen, kun korjaava tai haittaa lieventävä toimenpide on saatavilla. Vakavassa tietoturvahäiriössä ensimmäiset määräajat ovat samat, mutta loppuraportti tehdään kuukauden kuluessa 72 tunnin ilmoituksesta.

Ilmoitus tehdään ENISAn yhteisellä ilmoitusalustalla. Vastaanottava koordinoiva CSIRT määräytyy yleensä valmistajan EU-päätoimipaikan perusteella. Tiedot tulevat samalla ENISAn saataville, jollei poikkeuksellinen turvallisuustilanne viivästytä niiden jakamista.

Velvollisuus koskee myös aiempia tuotteita

Ilmoitusvelvollisuus koskee kaikkia säädöksen piiriin kuuluvia tuotteita, jotka on saatettu markkinoille ennen 11.12.2027. Ratkaisevaa ei siis ole se, milloin sinä ostit laitteen.

Myös jo kotona oleva reititin, älytelevisio tai robotti-imuri voi kuulua velvollisuuden piiriin. Tuotteen on silti kuuluttava säädöksen soveltamisalaan. Pelkkä verkkoyhteys ei ratkaise jokaista rajausta.

Valmistajan on tiedotettava vaikutuksen kohteena oleville käyttäjille ja tarvittaessa kaikille käyttäjille. Samalla sen on kerrottava toimista, joilla haittaa voi vähentää. Jos valmistaja ei tiedota ajoissa, koordinoiva CSIRT voi tehdä sen, kun se on tarpeellista ja oikeasuhtaista.

Mikä ei muutu vielä

Säädöksen olennaiset tietoturvavaatimukset alkavat pääosin 11.12.2027. Ennen tuota päivää markkinoille saatettu tuote kuuluu niihin yleensä vasta, jos tuotetta muutetaan olennaisesti kyseisen päivän jälkeen. Ilmoitusvelvollisuus on tästä erillinen poikkeus.

Valmistajan ei vielä tarvitse ilmoittaa säädöksen mukaista tukiaikaa ostohetkellä. Myöskään säädöksen mukaisen vaatimustenmukaisuuden osoittaminen ei ole vielä pakollista.

Jos myyjä sanoo tuotteen jo täyttävän säädöksen vaatimukset, pyydä kertomaan, mihin arvioon väite perustuu ja mitä vaatimuksia on tarkistettu. Pelkkä iskulause ei ole näyttöä.

Mitä sinä teet

Sinun ei tarvitse ostaa mitään tai rekisteröidä tuotetta vain ilmoitusvelvollisuuden vuoksi. Jos valmistaja lähettää haavoittuvuudesta tiedotteen, tarkista se valmistajan omalta sivulta. Asenna tarjottu tietoturvapäivitys tai noudata muuta annettua suojausohjetta.

Ilmoitusvelvollisuus ei palauta jo päättynyttä päivitystukea. Jos reititin ei enää saa tietoturvapäivityksiä, tarkista osto-oppaasta, milloin vaihtaminen on perusteltua.