24 tunnin haavoittuvuuksien raportointipalveluiden tarjoajat: Markkinakatsaus & hinnat (2026)

• 24h-raportointivelvollisuus alkaa 11.9.2026 digitaalisia tuotteita valmistaville (CRA Art. 14)
• REP27, kadano ja Euverify tarjoavat asianmukaista edustusta
• Hinnat: REP27 alkaen 490 €/vuosi, kadano 999 €/vuosi, Euverify 590 GBP/vuosi
• Palvelut vaihtelevat: toimeksianto, raportointikanava, ei teknistä tarkastusta tai SBOM-laadintaa
• Ei vaadita maahantuojilta, jakelijoilta tai pelkiltä markkinapaikkakauppiailta

Päivitetty 26 October 2026 · 4 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 26 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Mitä laki vaatii? (CRA Art. 14, Art. 18)

EU:n Cyber Resilience Act (CRA) velvoittaa 11. syyskuuta 2026 alkaen digitaalisia elementtejä sisältävien tuotteiden valmistajat raportoimaan aktiivisesti hyödynnetyt haavoittuvuudet tai vakavat turvallisuuspoikkeamat 24 tunnin kuluessa tiedon saamisesta (artikla 14). Raportointi tapahtuu keskitetyn ENISA-portaalin kautta ja kohdistuu jäsenvaltion vastuulliselle CSIRT-yksikölle. Aikataulut ovat tiukat: 24 tuntia varhaisvaroitukseen, 72 tuntia ensimmäiseen täydelliseen raporttiin ja 14 päivää loppuraporttiin. Aika lasketaan reaaliajassa – myös öisin, viikonloppuisin ja pyhinä.

EU:n ulkopuoliset valmistajat on artiklan 18 mukaan nimettävä valtuutettu edustaja EU:ssa. Tämä edustaja toimii raportointikanavana ja viranomaisten yhteyshenkilönä. Ilman edustajaa raportointi ei ole lainmukaista. Maahantuojat, jakelijat ja markkinapaikkakauppiaat (esim. Amazon, Etsy, eBay), jotka eivät tuo tuotteita oman nimensä alla markkinoille, ovat velvollisuudesta vapautettuja. Avoimen lähdekoodin ei-kaupalliset projektit kuuluvat kevennetyn raportointijärjestelmän piiriin, mutta raportointivelvollisuus säilyy.

• Artikla 14 CRA: 24h varhaisvaroitus, 72h täydellinen raportti, 14 päivän loppuraportti
• Artikla 18 CRA: valtuutettu edustaja EU:n ulkopuolisille valmistajille

Tarkka määritelmä siitä, mikä on raportoitava haavoittuvuus, on ratkaiseva: vain aktiivisesti hyödynnetyt haavoittuvuudet tai vakavat turvallisuuspoikkeamat, jotka vaikuttavat tuotteen turvallisuuteen, aiheuttavat velvollisuuden. Löydetyt mutta hyödyntämättömät haavoittuvuudet eivät ole raportointivelvollisia. Vastuu määräaikojen noudattamisesta on valmistajalla – viivästykset tai virheelliset raportit voivat johtaa ankarisiin seuraamuksiin.

Palveluiden vertailu: Mitä sisältyy, mitä ei?

Tarjoajat eroavat selvästi läpinäkyvyydessä ja tarjottujen palveluiden laajuudessa. REP27 on ainoa, joka julkaisee kaikki hinnat ja listaa selkeästi, mitä toimeksiantoon kuuluu ja mitä ei. Toimeksianto kattaa oikeudellisen edustuksen artiklan 18 mukaisesti, 24 tunnin palvelupisteen Euroopassa, ilmoitusten vastaanoton ja välityksen viranomaisille sekä toimeksiannon julkisen vahvistamisen. REP27 ei tee teknisiä tarkastuksia, SBOM-laadintaa, vaatimustenmukaisuuden arviointeja tai testauksia – nämä tehtävät ovat valmistajan vastuulla tai ne on tilattava erikseen.

kadano ja Euverify ovat julkaisseet hinnat, mutta tiedot sisältyvistä palveluista, mahdollisista lisämaksuista tai poissulkemisista ovat "pyynnöstä". On suositeltavaa kysyä kirjallisesti ennen sopimuksen tekemistä, mitä palveluita tarkalleen katetaan ja aiheutuuko lisämaksuja esimerkiksi ilmoitusta kohden, kielikohtaisesti tai erityistilanteissa.

Tärkeää: Tekninen käsittely, SBOMien (Software Bill of Materials) laatiminen ja turvallisuustarkastukset eivät sisälly edustuksen hintaan. Nämä palvelut on tilattava erikseen erikoistuneilta palveluntarjoajilta.

Päätösmatriisi: Kuka tarvitsee mitä?

Tarve CRA-edustajalle ja 24h-raportoinnille riippuu toimitusketjun roolistasi, sijainnistasi ja jakelurakenteestasi. Seuraava matriisi auttaa nopeassa arvioinnissa:

Käytännön esimerkkejä: Yhdysvaltalainen SaaS-toimittaja, joka myy EU-asiakkaille, tarvitsee edustajan ja 24h-raportointijärjestelmän. Kiinalainen IoT-valmistaja, joka myy omalla nimellään EU:ssa, on myös velvollinen. Brittiläinen verkkokauppa, joka toimii vain jälleenmyyjänä ilman omaa tuotemerkkiä, ei tarvitse edustajaa eikä raportointia.

Ostajan tarkistuslista: Näin toimitaan

1. Tarkista roolisi: Oletko digitaalisen tuotteen valmistaja, joka myy EU:ssa?
2. Määritä sijaintisi: Onko yrityksesi kotipaikka EU:n ulkopuolella?
3. Vertaa tarjoajia: Valitse palveluntarjoaja, jolla on julkaistu hinta ja selkeä toimeksianto. Tarkista, kattaako hinta kaikki palvelut vai onko lisämaksuja.
4. Vahvista palvelut kirjallisesti: Varmista ennen sopimusta, mitä toimeksiantoon kuuluu ja mitä ei.
5. Valmistele sisäiset prosessit: Määritä vastuuhenkilöt 24h-raportointiin. Laadi selkeät ohjeet ja raportointipohjat.
6. Tallenna edustajatiedot: Kirjaa edustajan tiedot compliance-dokumentaatioon ja tiedota tiimiäsi.
7. Testaa raportointiprosessi: Suorita ennen määräaikaa 24h-raportoinnin simulaatio heikkouksien löytämiseksi.
8. Tee säännölliset tarkistukset: Arvioi vuosittain, onko jakelurakenteessa tai tuotevalikoimassa muutoksia, jotka vaikuttavat raportointivelvollisuuteen.

Tämän tarkistuslistan avulla vältät tyypilliset virheet ja varmistat lainmukaisuuden määräaikaan mennessä.

Mitä tarjoajat usein eivät kerro (poissulkemiset, aikarajat, maksut)

Monet tarjoajat eivät avoimesti kerro, mitä palveluita toimeksiantoon sisältyy ja mitä ei. REP27 listaa selvästi, että tekniset tarkastukset, vaatimustenmukaisuuden arviointi, SBOM-laadinta ja testaus eivät kuulu toimeksiantoon. Myös lisäpalvelut kuten pohjien laatiminen, tekninen analyysi tai asiakasviestintä ovat poissuljettuja.

• REP27:n hinta on kiinteä eikä sisällä piilokuluja. Uusintahinta on etukäteen tiedossa eikä muutu ilman ilmoitusta.
• kadano ja Euverify eivät anna tietoja lisämaksuista, irtisanomisajoista tai vastuurajoista. Näistä kannattaa kysyä erikseen.
• Vastuu raportointiaikataulujen noudattamisesta ja raportin laadusta on aina valmistajalla. Edustaja voi vain vastaanottaa ja välittää ilmoitukset, ei tehdä teknistä arviointia.
• Toimeksiannon myöntämisen aikaraja REP27:llä on 24 tuntia. Muilla tarjoajilla kesto on "pyynnöstä".

Yleinen väärinkäsitys: toimeksianto ei kata koko CRA-yhteensopivuutta. Kustannuksiltaan vaativat osat (vaatimustenmukaisuuden arviointi, tekninen dokumentaatio, SBOM) on järjestettävä erikseen. Valmius näihin puutteisiin voi aiheuttaa viiveitä ja sakkoja.

Kolme käytännön skenaariota: Kuka tekee mitä?

• Yhdysvaltalainen SaaS-toimittaja: USA:ssa toimiva yritys tarjoaa pilviohjelmistoa eurooppalaisille yrityksille. Koska se on digitaalisten tuotteiden valmistaja, joka myy EU:ssa, sen on nimettävä CRA-edustaja. 24h-raportointi tapahtuu tämän edustajan kautta, joka on selkeästi määritelty toimeksiannossa. Toimittajan tulee nimetä sisäiset vastuuhenkilöt ja valmistella raportointipohjat.
• Kiinalainen Amazon-myyjä: Kiinalainen yritys myy IoT-laitteita omalla tuotemerkillään suoraan EU:n loppukäyttäjille. Velvollisuus koskee myös tätä: ilman EU-sijaintia tarvitaan artiklan 18 mukainen edustaja. Raportointi tapahtuu tämän edustajan kautta. Jos yritys toimii vain kauppiaana eikä käytä omaa tuotemerkkiä, velvollisuus ei koske.
• Brittiverkkokauppa: Brittiläinen kauppa myy kolmansien osapuolten tuotteita Eurooppaan, mutta ei omalla tuotemerkillä. Tässä tapauksessa ei ole 24h-raportointivelvollisuutta eikä edustajan nimeämistä, koska kauppa ei ole valmistaja. Vastuu on varsinaisella valmistajalla.

Nämä esimerkit korostavat oman roolin tarkkaa määrittelyä. Virheet arvioinnissa johtavat tarpeettomiin kustannuksiin tai compliance-aukkoihin.