Kyberkestävyyssäädös (CRA)

Kyberkestävyyssäädös (CRA), muodollisesti asetus (EU) 2024/2847, on EU:n kattava kyberturvallisuuslainsäädäntö digitaalisia elementtejä sisältäville tuotteille. Asetus hyväksyttiin loppuvuodesta 2024, ja se sisältää horisontaaliset kyberturvallisuusvaatimukset kaikille laitteisto- ja ohjelmistotuotteille, jotka liittyvät verkkoihin tai muihin laitteisiin.

Taustalla on, että lisääntyvä digitalisaatio on tehnyt kyberturvallisuuden haavoittuvuuksista järjestelmäriskin – turvattomat tuotteet avaavat oven hyökkäyksille, jotka voivat vaikuttaa yksittäisiin käyttäjiin, yrityksiin ja kriittiseen infrastruktuuriin.

CRA täyttää lainsäädännöllisen aukon: vaikka EU:n nykyinen lainsäädäntö (kuten NIS2-direktiivi) keskittyy organisaation kyberturvallisuuteen, CRA asettaa vaatimuksia suoraan tuotteille – suunnittelusta ja valmistuksesta päivityksiin koko elinkaaren ajan.

CRA:n keskeiset vaatimukset:

• Tietoturva suunnittelusta lähtien: Tuotteet on suunniteltava siten, että kyberturvallisuus on olennainen osa suunnittelua, ei jälkikäteen lisätty ominaisuus
• Haavoittuvuuksien hallinta: Valmistajilla on oltava prosessit haavoittuvuuksien tunnistamiseksi, dokumentoimiseksi ja korjaamiseksi tukiajan ajan, joka on vähintään viisi vuotta tai odotettu käyttöaika, jos tuotetta odotetaan käytettävän alle viisi vuotta
• Tietoturvapäivitykset: Tietoturvapäivitykset on toimitettava maksutta tuotteen tukiajan aikana, automaattinen asennus on oletuksena käytössä ja käyttäjillä on mahdollisuus kieltäytyä siitä
• Oletusasetukset: Tuotteet on toimitettava suojattujen oletusasetusten kanssa, mukaan lukien mahdollisuus palauttaa tehdasasetukset
• Raportointi: Aktiivisesti hyödynnetyt haavoittuvuudet ja tuotteen tietoturvaan vaikuttavat vakavat poikkeamat on ilmoitettava asianomaiselle kansalliselle CSIRT-yksikölle (poikkeamien hallintaorganisaatio) ja ENISAlle (EU:n kyberturvallisuusvirasto) monivaiheisessa prosessissa – ennakkovaroitusilmoitus 24 tunnin kuluessa, haavoittuvuusilmoitus tai poikkeamailmoitus 72 tunnin kuluessa ja loppuraportti viimeistään 14 päivän kuluttua siitä, kun haavoittuvuuteen on käytettävissä korjaava tai lieventävä toimenpide, tai poikkeaman osalta viimeistään kuukauden kuluttua poikkeamailmoituksen antamisesta
• CE-merkintä: Kyberturvallisuuden vaatimustenmukaisuus on sisällytettävä CE-merkintäprosessiin teknisten asiakirjojen ja EU-vaatimustenmukaisuusvakuutuksen kera
• Luokittelu: Tuotteet luokitellaan oletusluokkaan (itsearviointi), tärkeisiin tuotteisiin luokka I ja luokka II sekä kriittisiin tuotteisiin – ylemmille luokille kohdistuu kasvavat vaatimukset kolmannen osapuolen tarkastuksesta

CRA:n sanktiokehys on merkittävä:

• Enintään 15 miljoonan euron tai 2,5 % maailmanlaajuisesta vuosiliikevaihdosta (sen mukaan kumpi on suurempi) sakot olennaisten kyberturvallisuusvaatimusten noudattamatta jättämisestä.
• Enintään 10 miljoonan euron tai 2 % liikevaihdosta sakot tiettyjen muiden velvoitteiden laiminlyönnistä, kuten maahantuojien ja jakelijoiden velvoitteiden sekä CE-merkintää, teknisiä asiakirjoja ja vaatimustenmukaisuuden arviointia koskevien sääntöjen laiminlyönnistä
• Enintään 5 miljoonan euron tai 1 % liikevaihdosta sakot virheellisten, puutteellisten tai harhaanjohtavien tietojen toimittamisesta vastauksena ilmoitettujen laitosten ja markkinavalvontaviranomaisten pyyntöön
• Tuotteita, jotka eivät täytä vaatimuksia, ei voida merkitä CE-merkillä, joten niitä ei voida myydä laillisesti EU:n sisällä
• Markkinavalvontaviranomaiset voivat vaatia markkinoilta poistamista tai takaisinvetoa
• Raportointivelvoitteiden laiminlyönteihin sovelletaan samaa korkeinta hallinnollisten sakkojen tasoa. Mikroyrityksille ja pienille yrityksille ei määrätä sakkoa ennakkovaroitusilmoituksen 24 tunnin määräajan laiminlyönnistä
• Avoimen lähdekoodin ohjelmistovastaaviin ei sovelleta hallinnollisia sakkoja
• Koneasetuksen tai radiolaitedirektiivin (RED) kattamien tuotteiden on täytettävä samanaikaisesti CRA:n kyberturvallisuusvaatimukset.