Kyberkestävyyssäädöksen (CRA) ilmoitusvelvollisuus astuu voimaan 11. syyskuuta 2026, eli tätä kirjoitettaessa aikaa on alle kuukausi. Varsinaiset tuotevaatimukset tulevat voimaan vasta joulukuussa 2027, mutta ilmoitusvelvollisuus astuu voimaan jo nyt.
Moni onkin jo tietoinen siitä, että säädös velvoittaa valmistajan aktiivisesti ilmoittamaan hyväksikäytetystä haavoittuvuudesta ja vakavasta poikkeamasta. Ennakkovaroitus on annettava vuorokauden kuluessa, ja varsinainen ilmoitus 72 tunnin kuluessa sekä loppuraportti viimeistään 14 vuorokauden kuluttua siitä, kun korjaus on saatavilla. Ilmoitus tehdään kerran ENISAn keskitetylle ilmoitusalustalle, josta tieto välittyy Kyberturvallisuuskeskukselle.
Määräajat muistuttavat NIS2:n, eli kyberturvallisuuslain, porrastusta (24 h / 72 h), mutta loppuraportilla on tässä astetta tiukempi takaraja. NIS2:ssa se annetaan kuukauden kuluessa jatkoilmoituksesta.
Soveltamisala on laajempi kuin moni olettaa. Velvoite ulottuu myös tuotteisiin, jotka ovat olleet markkinoilla jo vuosia, eikä kyseessä tarvitse olla laite — säädös pitää valmistajana myös ohjelmistotaloa.
Komissio julkaisi heinäkuun lopussa soveltamisohjeen, johon on koottu 67 esimerkkiä näistä rajanvedoista. Ohje on kirjoitettu pk-yrityksiä ajatellen, ja se kannattaa lukea ennen kuin päätät, ettei asia koske teitä.
Tiukka 24 tunnin määräaika
Otan määräajasta esimerkin auditoinnista.
Ohje on olemassa ja asianmukaisesti hyväksytty. Jos kysyn, kuka ottaa havainnon vastaan lauantai-iltana kello 21 Flow-festivaalien aikaan ja kuka päättää, ylittyykö aktiivisen hyväksikäytön kynnys, hiljaista tulee.
Määräaika alkaa kulua siitä hetkestä, kun asia tulee yrityksen tietoon. Käytännössä se hetki on usein silloin, kun joku lukee asiakkaan lähettämän tukipyynnön. Vuorokauden määräaika koskee asiakastukea yhtä lailla kuin tietoturvavastaavaa.
Auditoidessa saatan kysyä myös, millä perusteella päätitte olla ilmoittamatta (jos näin on päässyt käymään). Jos perustetta ei ole kirjattu mihinkään, päätöstä ei käytännössä ole tehty.
ISO 27001 auttaa
Ei syytä huoleen, uutta prosessia tähän ei tarvita ja saat varmasti tämän kuntoon määräajassa. Etenkin jos teillä on ISO 27001 -hallintajärjestelmä, poikkeamien hallinta on jo olemassa. Tässä tapauksessa tehtävä kohdistuu luokitteluun, johon lisätään uusi kynnys ja uusi vastaanottaja.
Kyberturvallisuuslaissa velvoite syntyy eri tilanteesta: siinä olet palvelun tarjoaja, CRA:n kohdalla tuotteen valmistaja. Kaksi erillistä ilmoitusprosessia voi paperilla näyttää toimivalta, mutta pettää sitten, kun tilanne on päällä.
Ennen syyskuun määräpäivää (11.9.) kannattaa selvittää seuraavat kolme asiaa: 1) selvitä ensin, oletteko valmistaja ja minkä tuotteiden osalta, 2) nimeä sitten henkilöt, jotka tekevät ilmoituspäätöksen myös viikonloppuna, ja 3) muista rekisteröityä ilmoitusalustalle. Tunnusten hakeminen on varsin huono ensimmäinen tehtävä silloin, kun ilmoituksen jättämisen määräaika on jo mennyt ja tilanne on päällä.
Jos soveltamisala on vielä epäselvä, käydään se läpi yhdessä. Saat mielenrauhan syyskuuta ajatellen.
Ville Koskinen
COO & Lead Auditor
Säädöksestä Traficomin sivuilla:
https://kyberturvallisuuskeskus.fi/fi/toimintamme/saantely-ja-valvonta/kyberkestavyyssaados-cyber-resilience-act-cra