Kyberturvallisuuslaki

Yleiskatsaus

Kyberturvallisuuslaki (CRA) asettaa pakolliset kyberturvallisuusvaatimukset laitteisto- ja ohjelmistotuotteille, jotka sisältävät digitaalisia elementtejä. Se kattaa koko tuotteen elinkaaren suunnittelusta tukipalveluiden päättymiseen ja pyrkii torjumaan epävarmojen IoT- ja ohjelmistotuotteiden leviämistä.^[1]

CRA koskee EU:n markkinoille saatettuja tuotteita riippumatta niiden valmistuspaikasta.

Soveltamisaikataulu

Soveltamisalaan kuuluvat tuotteet

Katetut tuotteet

Tuotteet, joilla on digitaalisia elementtejä ja jotka:

• Ovat suorassa tai epäsuorassa loogisessa tai fyysisessä tietoyhteydessä laitteeseen tai verkkoon
• Sisältävät laitteisto- ja ohjelmistokomponentteja

Luokat

Poikkeukset

• Avoimen lähdekoodin ohjelmistot (ei-kaupallinen kehitys)
• SaaS (katettu muissa säädöksissä)
• Jo säännellyt tuotteet (lääketieteelliset laitteet, ajoneuvot, ilmailu)
• Puolustus- ja kansallisen turvallisuuden tuotteet

Keskeiset kyberturvallisuusvaatimukset^[2]

Turvallisuus suunnittelusta lähtien

Tuotteet on suunniteltava ja kehittävä siten, että ne varmistavat:

1. Sopiva turvallisuustaso: Ennakoitavien riskien perusteella
2. Ei tunnettuja hyväksikäytettäviä haavoittuvuuksia: Markkinoille saattamishetkellä
3. Turvallinen oletusasetusten konfiguraatio: Sisältäen tehdasasetusten palautusmahdollisuuden
4. Luottamuksellisuuden suojaus: Tallennetuille, siirrettäville ja käsiteltäville tiedoille
5. Eheys: Suojaus luvattomalta muokkaukselta
6. Saatavuus: Kestävyys palvelunestohyökkäyksiä vastaan
7. Minimaalinen hyökkäyspinta-ala: Mahdollisten hyökkäysvektorien vähentäminen
8. Häiriötilanteiden vaikutusten rajoittaminen: Vahinkojen minimointi

Todennus ja pääsynhallinta

• Vahvat, yksilölliset oletustunnukset tai käyttäjän asettamat ensimmäisellä käyttökerralla
• Suojaus brute force -hyökkäyksiä vastaan
• Turvalliset todennusmenetelmät

Tietosuoja

• Salattu tallennus arkaluonteisille tiedoille
• Turvallinen tiedonsiirto
• Tietojen poistaminen tai anonymisointi, kun niitä ei enää tarvita

Haavoittuvuuksien käsittelyvaatimukset^[3]

Valmistajien on:

1. Tunnistettava haavoittuvuudet: Testauksen ja seurannan avulla
2. Dokumentoida komponentit: Ylläpidettävä ohjelmistokomponenttien luetteloa (SBOM)
3. Käsiteltävä haavoittuvuudet: Tarjottava tietoturvapäivitykset viivytyksettä
4. Ilmoitettava haavoittuvuuksista: Tehtävä yhteistyötä asianosaisten kanssa
5. Tietoturvapäivitykset: Maksuttomat päivitykset määritellyn tukikauden ajan (vähintään 5 vuotta)

Haavoittuvuuksien raportointi

Syyskuusta 2026 alkaen valmistajien on raportoitava:

Vaatimustenmukaisuuden arviointi

Tuotteissa on oltava CE-merkintä vaatimustenmukaisuuden vahvistamiseksi.

Rangaistukset

• Vaatimusten noudattamatta jättäminen: Jopa 15 miljoonaa euroa tai 2,5 % maailmanlaajuisesta liikevaihdosta
• Keskeisten vaatimusten rikkominen: Jopa 10 miljoonaa euroa tai 2 % liikevaihdosta
• Muut rikkomukset: Jopa 5 miljoonaa euroa tai 1 % liikevaihdosta^[4]

Kehittäjän toimenpiteet

Ohjelmisto- ja laitevalmistajille:

1. Tuoteinventaario: Määritä soveltuvat tuotteet ja niiden luokka
2. Turvallisuus suunnittelussa: Integroi turvallisuus kehitysprosesseihin
3. Haavoittuvuuksien hallinta: Perusta havaitsemis- ja käsittelymenettelyt
4. SBOM:n laatiminen: Dokumentoi ohjelmistokomponentit ja riippuvuudet
5. Tukisuunnittelu: Määritä ja viesti tukikaudet
6. Päivitysmenetelmät: Rakenna turvalliset päivitysjärjestelmät
7. Vaatimustenmukaisuuden valmistelu: Valmistele tekninen dokumentaatio