24. syyskuuta 2026 kello 17.55

Cyber Resilience Act: Uusi aikakausi digitaalisten tuotteiden turvallisuudessa

Euroopan unionin yksi merkittävimmistä askelista digitaalisen turvallisuuden alalla, Cyber Resilience Act (CRA), määrittelee perusteellisesti uudelleen digitaalisten tuotteiden kyberturvallisuusstandardit. Tämä kattava lainsäädäntö, joka hyväksyttiin vuonna 2024, säätelee kaikkia prosesseja laitteisto- ja ohjelmistotuotteiden suunnittelusta markkinoille saattamiseen ja elinkaarensa aikaisiin tietoturvapäivityksiin. Turkissa toimivien ja EU-markkinoille tuotteita tarjoavien yritysten on nyt kriittisen tärkeää ymmärtää CRA:n vaatimukset ja aloittaa vaatimustenmukaisuusprosessit.

Aikana, jolloin kyberhyökkäykset ovat yhä monimutkaisempia ja digitaalisten toimitusketjujen tietoturva-aukot voivat aiheuttaa globaaleja vaikutuksia, Cyber Resilience Act ei ole vain lakisääteinen velvollisuus, vaan sitä pidetään myös yhtenä turvallisen digitaalisen ekosysteemin peruskivistä. Tässä artikkelissa tarkastelemme yksityiskohtaisesti CRA:n laajuutta, perusvaatimuksia ja kriittisiä seikkoja, joihin organisaatioiden tulee kiinnittää huomiota vaatimustenmukaisuusprosesseissaan.

Mikä on Cyber Resilience Act ja miksi se on tärkeä?

Cyber Resilience Act on EU:n asetus, joka velvoittaa Euroopan unionin markkinoille saatettavat digitaaliset tuotteet täyttämään tietyt kyberturvallisuusstandardit. Euroopan komission vuonna 2022 ehdottama ja vuonna 2024 hyväksytty laki kattaa laajan tuotevalikoiman IoT-laitteista yrityssoftaan, älykkäistä kotijärjestelmistä teollisiin ohjausjärjestelmiin.

CRA:n päätavoitteena on suojella kuluttajia ja organisaatioita kyberuhilta nostamalla EU-markkinoiden digitaalisten tuotteiden turvallisuustasoa. Laki pyrkii varmistamaan tietoturva-aukkojen ennakoivan hallinnan ja nopean korjaamisen asettamalla valmistajille kyberturvallisuusvastuun koko tuotteen elinkaaren ajalta.

CRA:n syntymisen syyt

Euroopan unionin tämän kattavan sääntelyn laatimisen taustalla on useita kriittisiä tekijöitä:

• Kasvava kyberhyökkäysriski: Epäturvalliset IoT-laitteet ja ohjelmistot ovat muodostuneet ensisijaisiksi kohteiksi botnet-hyökkäyksille ja kiristysohjelmistoille.
• Hajautetut turvallisuusstandardit: Erilaiset turvallisuusvaatimukset EU-jäsenmaiden välillä aiheuttivat hämmennystä sekä valmistajille että kuluttajille.
• Toimitusketjun turvallisuus: Suuret tietoturva-aukot, kuten SolarWinds ja Log4Shell, osoittivat, että ohjelmistotoimitusketjun haavoittuvuudet voivat johtaa systeemisiin riskeihin.
• Riittämätön kuluttajatietoisuus: Useimmilla käyttäjillä ei ole tietoa arvioidakseen ostamansa digitaalisten tuotteiden turvallisuustasoa.
• Heikkolaatuisten tuotteiden markkinoille saattaminen: Erityisesti edullisissa IoT-laitteissa on havaittu, ettei edes perustason turvatoimia ole toteutettu.

Cyber Resilience Actin soveltamisala ja tuotteet, joihin se vaikuttaa

CRA kattaa lähes kaikki laitteisto- ja ohjelmistotuotteet, joilla on suorat tai epäsuorat yhteysominaisuudet. Tämä laaja soveltamisala osoittaa, kuinka laajalle lain vaikutus ulottuu eri toimialoilla.

Soveltamisalaan kuuluvat tuotteet

• Älykoti ja kulutuselektroniikka: Älytelevisiot, turvakamerat, älykkäät kaiuttimet, yhdistetyt kodinkoneet
• IoT ja teolliset laitteet: Anturit, älykkäät mittarit, teolliset ohjausjärjestelmät, lääkinnälliset laitteet
• Tietokoneet ja mobiililaitteet: Kannettavat tietokoneet, tabletit, älypuhelimet ja niiden käyttöjärjestelmät
• Verkko- ja viestintälaitteet: Reitittimet, modeemit, verkkokytkinten, palomuurilaitteet
• Ohjelmistotuotteet: Käyttöjärjestelmät, selaimet, tietoturvaohjelmat, yrityssovellukset
• Pilvi- ja SaaS-ratkaisut: Pilvessä toimivat palvelut ja ohjelmisto-palveluna tarjottavat alustat

Poikkeukset

CRA jättää soveltamisalansa ulkopuolelle tietyt erityissäännösten alaiset tuotteet. Näihin kuuluvat autoteollisuus (omien erityissäännöstensä alaiset), lääkinnälliset laitteet (MDR:n piirissä), ilmailujärjestelmät ja puolustustuotteet. Nämä poikkeukset eivät kuitenkaan tarkoita, etteikö kyseisillä toimialoilla olisi kyberturvallisuusvastuuta; ne vain osoittavat, että ne ovat eri säännösten alaisia.

CRA:n perusvaatimukset ja velvoitteet

Cyber Resilience Act asettaa valmistajille ja muille sidosryhmille erilaisia velvoitteita. Nämä vaatimukset kattavat koko tuotteen elinkaaren suunnitteluvaiheesta käytöstä poistamiseen.

Suunnittelu- ja kehitysvaiheen vaatimukset

Turvallisen suunnittelun periaatteet (Security by Design): Tuotteet tulee kehittää lähestymistavalla, jossa turvatoimet on integroitu suunnitteluun alusta alkaen. Tämä sisältää laajan kirjon turvallisuusvalvontaa koodausstandardeista salausteknisiin vaatimuksiin, todennusmekanismeista tietosuojatoimiin.

Riskien arviointi ja hallinta: Valmistajien on systemaattisesti arvioitava tuotteidensa mahdollisesti kohtaamat kyberturvallisuusriskit ja toteutettava asianmukaiset toimenpiteet näiden riskien vähentämiseksi. Riskiarviointia on päivitettävä säännöllisesti koko tuotteen elinkaaren ajan.

Turvalliset oletusasetukset: Tuotteet on saatettava markkinoille turvallisilla oletuskonfiguraatioilla. Oletussalasanoja, tarpeettomia avoimia portteja tai epävarmoja protokollia ei tule käyttää.

Dokumentointi ja läpinäkyvyys

CRA edellyttää, että valmistajat tarjoavat kattavaa ja ymmärrettävää tietoa tuotteidensa turvallisuusominaisuuksista.