Kyberkestävyyssäädöksen vaatimukset selkiytyvät - EU-komissio julkaisi uuden soveltamisohjeen
29. heinäkuuta 2026 klo 10.55
Euroopan komissio on julkaissut uuden soveltamisohjeen kyberkestävyyssäädöksen (Cyber Resilience Act, CRA) toimeenpanon tueksi. Ohjeistus on suunnattu erityisesti valmistajille, ohjelmistokehittäjille sekä muille yrityksille, jotka saattavat markkinoille digitaalisia tuotteita. Ohjeistus tarjoaa yrityksille konkreettisia neuvoja siihen, miten ne voivat valmistautua tuleviin kyberturvallisuusvaatimuksiin ja osoittaa tuotteidensa vaatimustenmukaisuuden.
Yritysten näkökulmasta ohjeistuksen keskeinen hyöty on sen tarjoama konkreettinen tuki asetuksen soveltamiseen. Komissio tarkentaa esimerkiksi, mitkä tuotteet kuuluvat säädöksen piiriin, miten vastuut jakautuvat toimitusketjuissa sekä millaisia kyberturvallisuusvaatimuksia tuotteiden koko elinkaaren aikana on noudatettava. Käytännön esimerkit auttavat erityisesti mikro- ja pk-yrityksiä arvioimaan säädöksen vaikutuksia omaan toimintaansa.
Vaikka ohjeistus ei ole oikeudellisesti sitova, se tarjoaa yrityksille tärkeää tukea vaatimustenmukaisuuden suunnitteluun. Samalla se auttaa tunnistamaan mahdollisia kehitystarpeita tuotekehityksessä, riskienhallinnassa, dokumentoinnissa ja haavoittuvuuksien hallinnassa ennen velvoitteiden voimaantuloa.
Kyberkestävyyssäädöksen ensimmäiset velvoitteet, jotka koskevat haavoittuvuuksien ja tietoturvapoikkeamien raportointia, tulevat voimaan 11. syyskuuta 2026. Säädöksen keskeiset kyberturvallisuusvaatimukset alkavat koskea valmistajia 11. joulukuuta 2027.
Säädös edellyttää valmistajilta muun muassa tuotteisiin liittyvien kyberturvallisuusriskien hallintaa, tietoturvapäivitysten tarjoamista koko tukiajan ajan, teknisen dokumentaation ylläpitämistä sekä vakavista haavoittuvuuksista ja tietoturvapoikkeamista raportointia viranomaisille. Kyberturvallisuus on jatkossa huomioitava jo tuotteiden suunnitteluvaiheessa niin sanotun security by design -periaatteen mukaisesti.
Komission tavoitteena on vähentää säädöksen tulkintaan liittyvää epävarmuutta ja tukea yhdenmukaista toimeenpanoa koko EU:ssa. Yrityksille uusi ohjeistus tarjoaa mahdollisuuden arvioida omaa valmiuttaan ja käynnistää tarvittavat valmistelut hyvissä ajoin ennen määräaikoja.