Kyberkestävyysasetus ja -laki: uusia velvoitteita digitaalisille tuotteille
Kyberkestävyysasetus ja -laki: uusia velvoitteita digitaalisille tuotteille
EU:n kyberkestävyysasetus ja suomalainen kyberkestävyyslaki asettavat uusia velvoitteita digitaalisten tuotteiden valmistajille, maahantuojille, EU:hun viejille ja jakelijoille.
EU:n kyberkestävyysasetus (Cyber Resilience Act, CRA, EU 2024/2847) asettaa tuotetason kyberturvallisuusvaatimuksia tuotteille, jotka sisältävät digitaalisia elementtejä. 1.6.2026 voimaan tullut kansallinen kyberkestävyyslaki (laki eräiden tuotteiden kyberkestävyydestä sekä kyberturvallisuussertifioinnista, 439/2026) täydentää EU-säädöstä.
EU:n kyberkestävyysasetus on jo tuonut kesäkuussa 2026 ja tuo vuonna 2027 uusia velvoitteita digitaalisten tuotteiden valmistajille, maahantuojille, EU:hun viejille ja jakelijoille. EU-asetuksen soveltaminen etenee vaiheittain, ja keskeiset tuoteturvallisuusvaatimukset tulevat sovellettaviksi Suomessa joulukuussa 2027.
CRA:n tavoitteena on turvallisemmat digitaaliset tuotteet
Euroopan unionin kyberkestävyysasetus on merkittävä muutos digitaalisten tuotteiden kyberturvallisuuden sääntelyssä ja parantamisessa. Sen tavoitteena on parantaa EU-markkinoilla myytävien laitteiden ja ohjelmistojen tietoturvaa sekä vähentää tuotteiden haavoittuvuuksia koko niiden elinkaaren ajan riippumatta siitä, missä ne on valmistettu.
Asetus koskee käytännössä kaikkia digitaalisia komponentteja sisältäviä tuotteita. Tällaisia voivat olla esimerkiksi älylaitteet, verkkolaitteet, älykellot, tietokoneohjelmistot ja erilaiset verkkoon liitettävät kuluttaja- ja yritystuotteet. Soveltamisala määräytyy kuitenkin tuotteen ominaisuuksien ja asetuksen poikkeusten perusteella.
Kyberturvallisuusvaatimukset on huomioitava jo tuotteen suunnittelussa ja kehityksessä. Valmistajan on toteutettava kyberturvallisuusriskien arviointi sekä otettava huomioon mahdollinen kolmannen osapuolen komponenttien käyttö ja se, etteivät ne vaaranna tuotteen kyberturvallisuutta.
Kansallinen sääntely – kyberkestävyyslaki tuli voimaan Suomessa kesäkuussa 2026
CRA-asetus tuli voimaan EU:ssa 10. joulukuuta 2024. Asetuksen voimaantulo ei tarkoita, että kaikki sen velvoitteet olisivat alkaneet samana päivänä tai samaan aikaan tai että siinä olisi kaikki relevantit säännökset.
Kansallinen kyberkestävyyslaki täydentää EU-asetusta etenkin valvonnan, vaatimustenmukaisuuden, arviointilaitosten nimeämisen ja hallinnollisten seuraamusten osalta. Tuotteita koskevat varsinaiset kyberturvallisuusvaatimukset perustuvat Suomessa edelleenkin suoraan EU-asetukseen.
Suomessa keskeinen valvontaviranomainen on Liikenne- ja viestintävirasto eli Traficom, jonka Kyberturvallisuuskeskuksella on keskeinen rooli CRA:n mukaisessa markkinavalvonnassa ja ilmoitusten vastaanottamisessa.
Haavoittuvuuksien ilmoitusvelvollisuus syyskuusta 2026 alkaen
CRA:n ensimmäinen merkittävä käytännön velvoite yrityksille on tuotteissa havaituista haavoittuvuuksista ilmoittaminen. Valmistajien on 11.9.2026 alkaen tullut ilmoittaa aktiivisesti hyväksikäytetyistä haavoittuvuuksista sekä tuotteen turvallisuuteen vaikuttavista vakavista tietoturvapoikkeamista. Suomessa ilmoitukset ohjautuvat kansallisen kyberturvallisuusviranomaisen eli Traficomin Kyberturvallisuuskeskukselle.
CRA:n mukaisiin ilmoituksiin liittyy useita määräaikoja. Valmistajan on annettava ensi-ilmoitus 24 tunnin kuluessa siitä, kun se on tullut tietoiseksi aktiivisesti hyödynnetystä haavoittuvuudesta tai vakavasta poikkeamasta. Tarkempi ilmoitus on tehtävä 72 tunnin kuluessa. 14 vuorokauden kuluessa on laadittava loppuraportti, joka sisältää kuvauksen haavoittuvuudesta ja sen vakavuudesta, mahdolliset tiedot siitä, kuka on saattanut tai saattaa hyväksikäyttää haavoittuvuutta, sekä ilmoitus siitä, miten ongelma on ratkaistu.
Valmistajan täytyy myös viipymättä tiedottaa vaikutuksen kohteena oleville käyttäjille sekä tarvittaessa kaikille tuotteen käyttäjille havaitusta haavoittuvuudesta tai vakavasta poikkeamasta. Valmistajan tulee myös tarvittaessa ilmoittaa toimenpiteistä, joilla käyttäjät voivat pienentää haavoittuvuuden tai vakavan poikkeaman vaikutuksiin liittyvää riskiä.
CRA:n keskeiset vaatimukset voimaan joulukuussa 2027
CRA:n pääasiallisia vaatimuksia, eli kyberturvallisuutta ja vaatimustenmukaisuuden arviointia koskevia säännöksiä, sovelletaan Suomessa 11. joulukuuta 2027 alkaen. Asetuksen olennaiset kyberturvallisuusvaatimukset tulevat sovellettaviksi asetuksen soveltamisalaan kuuluviin tuotteisiin, jotka saatetaan ensimmäistä kertaa EU-markkinoille.
Vaatimustenmukaisuuden arviointi tarkoittaa, että valmistajan tulee osoittaa, että tuote täyttää kyberkestävyyssäädöksen olennaiset kyberturvallisuusvaatimukset. CRA sisältää tuotekategorioita, ja arviointimenettely riippuu tuotteen kategoriasta. Useimmiten valmistaja voi itse arvioida vaatimustenmukaisuuden. Vaatimusten täyttyminen osoitetaan CE-merkinnällä.
Yritysten kannattaa varmistaa, että tietoturvapoikkeamien tunnistaminen, niiden vakavuuden arviointi, vastuunjako ja ilmoitusten hyväksymismenettelyt ovat käytössä ennen määräajan alkamista. Laiminlyöntien seuraukset voivat olla merkittäviä, kuten jopa 15 miljoonan euron sakko tai 2,5 % yhtiön maailmanlaajuisesta edeltävän vuoden liikevaihdosta.
Valmistajien on muun muassa:
- Huomioitava turvallisuus suunnittelussa eli tuotteiden on täytettävä niitä koskevat olennaiset kyberturvallisuusvaatimukset;
- ohjattava riskinarvioinnin kautta tuotteen kehitystä, valmistusta ja ylläpitoa;
- oltava prosessit tietoturvaongelmien käsittelyyn ja korjausten toimittamiseen tuotteen tukijakson aikana (sama koskee maahantuojia, EU-viejiä ja jakelijoita);
- laadittava tekninen dokumentaatio, eli vaatimustenmukaisuus ja riskienhallinta on pystyttävä osoittamaan;
- huolehdittava vaatimustenmukaisuuden arvioinnista, eli tuotteelle on tehtävä soveltuva arviointi, laadittava EU-vaatimustenmukaisuusvakuutus ja kiinnitettävä tuotteeseen CE-merkintä sääntöjen mukaisesti; sekä
- ilmoitettava tukijakso, eli käyttäjälle on annettava tieto ajasta, jonka kuluessa valmistaja sitoutuu käsittelemään haavoittuvuuksia asetuksen vaatimusten mukaisesti.
Kaikki tuotteet eivät kuulu samaan vaatimustenmukaisuuden arviointimenettelyyn. Erityisen merkittävissä tai kriittisissä tuoteryhmissä voidaan edellyttää yrityksen osallistumista arviointiin. Menettely määräytyy tuotteen luokituksen ja asetuksen vaatimusten perusteella.
Mitä CRA tarkoittaa suomalaisille yrityksille?
CRA:n asettamat velvollisuudet vaihtelevat toimijan roolin mukaan. CRA asettaa erilaisia velvollisuuksia valmistajille, maahantuojille, jakelijoille sekä avoimen lähdekoodin ohjelmistovastaaville.
Valmistajille suurin muutos liittyy siihen, että kyberturvallisuudesta tulee osa tuotteen vaatimustenmukaisuutta. Pelkkä tuotteen toiminnallisuuden ja teknisen laadun varmistaminen ei riitä, vaan myös tietoturvariskit, haavoittuvuuksien käsittely ja ylläpidon järjestäminen on dokumentoitava ja toteutettava säädetyllä tavalla.
Maahantuojien on varmistettava, että niiden EU-markkinoille tuomien tuotteiden valmistajat ovat täyttäneet asetuksen velvoitteet. Tähän kuuluvat esimerkiksi vaatimustenmukaisuuden arviointi, tarvittava dokumentaatio ja CE-merkintä. Tämä voi vaikuttaa erityisesti EU:n ulkopuolelta tuotaviin tuotteisiin ja jopa parantaa EU:n kotimarkkinoilla toimivien yritysten kilpailukykyä.
Jakelijoiden on tarkistettava tuotteiden merkinnät, valmistajan ja maahantuojan tiedot sekä käyttäjälle toimitettavat tiedot. Jos tuote ei täytä vaatimuksia, sen markkinoille saataville asettamista voidaan joutua rajoittamaan ankarien sanktioiden pelossa.
Myös ohjelmistoyritysten ja avoimen lähdekoodin ekosysteemin toimijoiden on arvioitava oma asemansa suhteessa CRA:han. Kaikki avoimen lähdekoodin ohjelmistot tai niiden kehittäjät eivät automaattisesti kuulu samojen CRA-velvoitteiden piiriin. Asetuksessa on erillisiä säännöksiä kaupalliseen toimintaan liittyvää ohjelmistokehitystä jatkuvasti tukeville avoimen lähdekoodin toimijoille.
Yrityksille CRA merkitsee käytännössä tarvetta tarkastella tuotekehityksen lisäksi hankintaketjuja, sopimuksia, tietoturvaprosesseja ja vastuunjakoa. Erityisesti kannattaa selvittää, kuka vastaa haavoittuvuuksien käsittelystä, miten ohjelmistokomponenttien tietoturva varmistetaan ja kuinka pitkään tuotteille tarjotaan tietoturvapäivityksiä.
Miten yritys voi valmistautua CRA-vaatimuksiin?
Vaikka asetuksen pääasiallinen soveltaminen alkaa vasta joulukuussa 2027, valmistautumista ei ole syytä jättää viimeisiin kuukausiin. Haavoittuvuuksien ilmoitusvelvollisuudet ovat olleet voimassa syyskuusta 2026 lähtien.
Yrityksen valmistautuminen voidaan jakaa seuraaviin vaiheisiin:
- Kartoita yrityksesi tuotevalikoima ja selvitä, mitkä laitteet, ohjelmistot ja komponentit kuuluvat CRA:n soveltamisalaan.
- Määritä yrityksen rooli. Tunnista, toimitko valmistajana, maahantuojana, jakelijana vai mahdollisesti useammassa roolissa.
- Tee kyberturvallisuuden riskinarviointi tai teetä se ulkopuolisella. Selvitä eri tuotteiden haavoittuvuudet, riippuvuudet ja tarvittavat suojaustoimenpiteet.
- Rakenna haavoittuvuuksien hallintamalli eli määritä, miten ilmoitukset otetaan vastaan, niiden tekninen tutkinta, korjausten julkaisu ja viranomaisilmoitukset.
- Varmista dokumentaatio ja arviointimenettelyt eli tarkista, mitä teknisiä asiakirjoja, testauksia ja vaatimustenmukaisuuden arviointeja tuotteesi edellyttävät.
- Tarkista toimitusketju ja sopimukset. Varmista, että toimittajien, alihankkijoiden ja ohjelmistokomponenttien tarjoajien vastuut ovat selkeät.
- Seuraa viranomaisohjeita ja standardeja. EU:n yhdenmukaistetut standardit ja toimeenpanoa koskevat ohjeet tukevat vaatimusten käytännön toteuttamista.
