Cyber Resilience Act -velvollisuudet EU:n ulkopuolisille valmistajille

• CRA koskee EU:n ulkopuolisia valmistajia, jotka myyvät EU:ssa 11. syyskuuta 2026 alkaen
• Artikla 18: EU:n valtuutettu edustaja vaaditaan, jos ei ole EU-toimipaikkaa
• 24 tunnin raportointivelvollisuus hyväksikäytetyistä haavoittuvuuksista (artikla 14)
• Vaatimustenmukaisuuden arviointimenetelmä riippuu tuoteluokasta
• Sakot voivat olla jopa 15 miljoonaa euroa tai 2,5 % liikevaihdosta rikkomuksista

Päivitetty 18 October 2026 · 9 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 18 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Lain vaatimukset (artiklanumerot mukana)

Cyber Resilience Act (CRA) on EU:n uusi säädös digitaalisia elementtejä sisältäville tuotteille, mukaan lukien laitteisto, ohjelmisto ja komponentit. Se koskee kaikkia valmistajia sijainnista riippumatta, jos heidän tuotteensa saatetaan EU:n markkinoille. Laki tuli voimaan 10. joulukuuta 2024. Raportointivelvollisuudet alkavat 11. syyskuuta 2026; täysi vaatimustenmukaisuus (mukaan lukien CE-merkintä ja vaatimustenmukaisuuden arviointi) on pakollista 11. joulukuuta 2027 alkaen.

• Artikla 18: EU:n ulkopuolisten valmistajien on nimettävä EU:ssa valtuutettu edustaja jokaiselle tuotelinjalle, ellei heillä ole EU-toimipaikkaa. Edustaja toimii viranomaisten ja markkinavalvonnan virallisena yhteyshenkilönä.
• Artikla 14: Valmistajien on raportoitava aktiivisesti hyväksikäytetyt haavoittuvuudet ja vakavat tuoteturvallisuuteen vaikuttavat tapaukset. Aikataulu on tiukka: varoitus 24 tunnin sisällä, täydellinen ilmoitus 72 tunnin sisällä ja lopullinen raportti 14 päivän sisällä korjaustoimenpiteistä tai ilmoituksesta. Raportointialustan hallinnoi ENISA, ja vastaanottaja määräytyy edustajan jäsenvaltion mukaan.
• Liitteet I & II: Valmistajien on täytettävä olennaiset kyberturvallisuusvaatimukset, mukaan lukien haavoittuvuuksien käsittely, turvallinen suunnittelu ja selkeät käyttöohjeet helposti ymmärrettävällä kielellä käyttäjille ja viranomaisille.
• Vaatimustenmukaisuuden arviointi: Tarvittava prosessi riippuu tuoteluokasta. Oletustuotteet voivat itsearvioida; tärkeä luokka I käyttää harmonisoituja standardeja tai kolmannen osapuolen arviointia; tärkeä luokka II ja kriittiset tuotteet vaativat ilmoitetun laitoksen tai sertifiointijärjestelmän arviointia.
• Tukijakso: Valmistajien on tarjottava turvallisuuspäivityksiä ja haavoittuvuuksien käsittelyä koko ilmoitetun tukijakson ajan (vähintään viisi vuotta).
• Poikkeukset: Mikro- ja pienyritykset sekä avoimen lähdekoodin ylläpitäjät ovat vapautettuja myöhästyneistä raporteista seuraavista sakoista, mutta heidän on silti noudatettava teknisiä ja raportointivelvoitteita.

Tuojat ja jakelijat katsotaan valmistajiksi, jos he saattavat tuotteet markkinoille omalla nimellään tai muokkaavat niitä olennaisesti. Muussa tapauksessa alkuperäinen valmistaja on vastuussa CRA-vaatimusten täyttämisestä ja raportoinnista.

Kuinka valita CRA-edustaja tai vaatimustenmukaisuuden palveluntarjoaja

Oikean artikla 18 edustajan tai vaatimustenmukaisuuden palveluntarjoajan valinta on ratkaisevaa EU:n ulkopuolisille valmistajille. Markkinoilla on suuria eroja hinnoissa, läpinäkyvyydessä ja palveluissa. Tässä huomioitavaa:

• Oikeushenkilö ja sijainti: Tarkista palveluntarjoajan oikeushenkilö ja EU-toimipaikka. Esimerkiksi REP27 on Europe Services, SE, Prahasta ja se on rekisteröity Tšekin kaupparekisteriin. Tarkista aina ennen maksua.
• Valtuutuksen laajuus: Jotkut tarjoavat vain artikla 18 valtuutuksen (lain vaatima), toiset yhdistävät GDPR- tai NIS2-edustuksen. Varmista, että valtuutus rajoittuu artiklan 18(3) mukaisiin tehtäviin eikä kata artiklan 18(2) kieltämiä velvollisuuksia.
• Hinnoittelun läpinäkyvyys: Etsi palveluntarjoajia, jotka julkaisevat sekä ensimmäisen vuoden että uusintahinnat. Varo aloitushintoja, joiden uusinnat ovat hiljaisia ja korkeampia. REP27 ilmoittaa selvästi uusintahinnat ensimmäisen vuoden hintojen rinnalla.
• Varmennus ja tuki: Varmista, että palveluntarjoaja tarjoaa varmennettavan todistuksen, julkisen varmennusmenetelmän ja henkilöstön ylläpitämän pyyntöpalvelun. Kysy viranomaisten tai CSIRT-pyyntöjen välityksestä, tuetuista kielistä ja vasteajoista.
• Palvelupaketit: Jos tarvitset myös GDPR artikla 27 tai GPSR artikla 16 edustusta, jotkut tarjoajat (esim. REP27) tarjoavat yhdistelmäpaketteja alennettuun hintaan.

Päätösmatriisi:

Pyydä aina kirjallinen valtuutus ja todistus ennen tuotteiden saattamista EU-markkinoille.

Mitä hinta todella sisältää: palveluntarjoajien vertailu

Hinnat ja palvelut vaihtelevat merkittävästi. Artikla 18 valtuutukset ovat yleensä CRA-vaatimustenmukaisuuden edullisin ulkoinen kustannus, mutta monet tarjoajat eivät julkaise kaikkia tietoja. Alla vertailu siitä, mitä kukin palveluntarjoaja sisältää, ei sisällä tai voi veloittaa lisämaksuja (tilanne lokakuu 2026):

Suurimmalle osalle valmistajista artikla 18 valtuutus on yhden sivun asiakirja ja velvollisuus välittää pyynnöt. Vaatimustenmukaisuuden arviointi, tekniset testaukset ja SBOM:n luonti ovat erillisiä kustannuksia eivätkä sisälly perusedustajan palkkioon.

Piilokustannukset ja poissulkemiset

Vaikka artikla 18 valtuutus on lain vaatimus, se on vain pieni osa kokonaiskustannuksista CRA-vaatimustenmukaisuuteen. Kalleimmat osat — vaatimustenmukaisuuden arviointi, ilmoitetun laitoksen maksut, tekninen dokumentaatio ja tukijakso — eivät sisälly useimpiin edustajapaketteihin. Tässä huomioitavaa:

• Vaatimustenmukaisuuden arviointimaksut: Tärkeän luokan II tai kriittisille tuotteille ilmoitetun laitoksen tai sertifiointijärjestelmän kustannukset voivat olla tuhansia euroja ja kestää kuukausia. Varaudu näihin erikseen.
• Tekninen dokumentaatio: Palveluntarjoajat kuten Reglyze ja EmberKat tarjoavat teknisen tiedoston luontia, SBOM:n vastaanottoa ja dokumentaation puutteiden analyysiä, mutta nämä eivät kuulu perusedustajan valtuutukseen.
• Uusinta- ja pyyntömaksut: Jotkut tarjoajat voivat veloittaa korkeampia uusintahintoja tai maksua pyynnöistä/raporteista. Pyydä aina kirjallinen vahvistus uusintahinnoista ja lisämaksuista ennen sopimuksen allekirjoitusta.
• Irtisanomisajat ja vastuurajat: Hiljaiset uusinnat ja epäselvät peruutusehdot voivat johtaa odottamattomiin kustannuksiin. Vastuu vaatimustenmukaisuuden laiminlyönneistä on usein rajattu tai poissuljettu edustajalla.
• Tukijakson kustannukset: Laki edellyttää vähintään viiden vuoden turvallisuuspäivityksiä ja haavoittuvuuksien käsittelyä, mikä on resurssi- ja budjettikysymys tuotelinjalle.

REP27 on avoin siitä, mitä ei sisälly: oikeudellinen neuvonta, tekninen arviointi ja SBOM:n luonti ovat valtuutuksen ulkopuolella. Selkeytä aina poissulkemiset ja piilokustannukset palveluntarjoajan kanssa.

Nimeämisprosessi: vaihe vaiheelta

Artikla 18 edustajan nimeäminen ja CRA-vaatimusten täyttäminen sisältää useita konkreettisia vaiheita. Tässä käytännönläheinen prosessi EU:n ulkopuolisille valmistajille:

1. Määritä, kuuluvatko tuotteesi soveltamisalaan: Tunnista kaikki digitaalisia elementtejä sisältävät tuotteet (laitteisto, ohjelmisto, komponentit tai etädatankäsittelyratkaisut), jotka saatetaan EU-markkinoille.
2. Luokittele tuotteesi: Käytä CRA:n määritelmiä selvittääksesi, ovatko tuotteesi oletusluokkaa, tärkeitä luokkaa I/II vai kriittisiä. Tämä vaikuttaa vaatimustenmukaisuuden arviointiin.
3. Valitse edustaja: Valitse artikla 18 edustaja, jolla on varmennettava EU-oikeushenkilö. Vahvista valtuutuksen laajuus, hinnoittelu ja uusintaehdot kirjallisesti.
4. Allekirjoita valtuutus: Tee kirjallinen valtuutus (artikla 18(3)) valitun palveluntarjoajan kanssa. Hanki todistus ja julkinen varmennusmenetelmä.
5. Valmistele dokumentaatio: Kokoa tekninen dokumentaatio (liite VII), SBOM, EU-vaatimustenmukaisuusvakuutus ja käyttöohjeet vaadituilla kielillä.
6. Perusta 24 tunnin raportointikanava: Varmista, että sinulla on henkilöstöä ylläpitävä kanava haavoittuvuuksien ja tapausten raportointiin. Kirjoita valmiiksi varoitus- ja ilmoitusmallit.
7. Rekisteröidy ENISA:n alustalle: Rekisteröi vähintään kaksi henkilöä eri aikavyöhykkeiltä ENISA:n raportointialustalle.
8. Budjetoi jatkuvaan vaatimustenmukaisuuteen: Suunnittele tukijakson kustannukset (vähintään viisi vuotta päivityksiä), vaatimustenmukaisuuden arviointi (tarvittaessa) ja dokumentaation ylläpito.
9. Tarkista ja päivitä säännöllisesti: Aikatauluta säännölliset tarkastukset vaatimustenmukaisuudesta, dokumentaatiosta ja raportointiprosesseista.

Tämän tarkistuslistan noudattaminen varmistaa, että olet valmis sekä lain että käytännön vaatimuksiin CRA-vaatimustenmukaisuudessa.

Riskejä ja sakkoja vaatimustenmukaisuuden laiminlyönnistä

CRA tuo merkittäviä seuraamuksia vaatimusten laiminlyönnistä. Olennaisten kyberturvallisuusvaatimusten tai valmistajan velvoitteiden rikkomisesta voi seurata jopa 15 miljoonan euron sakot tai 2,5 % maailmanlaajuisesta vuosiliikevaihdosta, kumpi on suurempi. Rangaistukset koskevat sekä EU- että EU:n ulkopuolisia valmistajia, jotka saattavat tuotteita EU-markkinoille.

• Raportointivirheet: 24 tunnin haavoittuvuuksien raportointiajan ylittäminen altistaa valvontatoimille. Mikro- ja pienyritykset sekä avoimen lähdekoodin ylläpitäjät ovat vapautettuja myöhästyneiden raporttien sakoista, mutta eivät raportointivelvollisuudesta.
• Hankinta- ja markkinoillepääsyriskit: Ilman artikla 18 edustajaa hankintaprosessit voivat viivästyä, ja yritys voi jäädä ulos julkisista tai yrityshankinnoista.
• Markkinavalvontatoimet: Viranomaiset voivat ryhtyä toimiin vaatimusten vastaisia tuotteita vastaan, mukaan lukien tuotteiden poistaminen markkinoilta tai takaisinvetäminen.
• Jakelija/tuoja-riskit: Jos et nimeä edustajaa, EU:n tuojat tai jakelijat voidaan katsoa raportointikanavaksi, mikä voi johtaa hallinnan menetykseen vaatimustenmukaisuuden viestinnästä.
• Hiljaiset laiminlyönnit: Valtuutusten uusimatta jättäminen tai dokumentaation päivittämättä jättäminen voi johtaa huomaamattomiin laiminlyönteihin ja valvontatoimiin ilman varoitusta.

Tehokas vaatimustenmukaisuus ei ole vain sakkojen välttämistä, vaan myös markkinoille pääsyn varmistamista ja luottamuksen ylläpitämistä asiakkaiden ja kumppaneiden kanssa.

Mitä palveluntarjoajat yleensä eivät kerro

Monet palveluntarjoajat keskittyvät artikla 18 valtuutuksen lainmukaiseen tarpeeseen, mutta eivät aina kerro koko totuutta. Tässä usein jätettyjä asioita:

• Valtuutuksen laajuus: Artikla 18 valtuutus rajoittuu pyyntöjen välittämiseen ja yhteyshenkilönä toimimiseen. Se ei sisällä oikeudellista neuvontaa, teknistä arviointia tai SBOM:n luontia, ellei erikseen mainita.
• Vaatimustenmukaisuuden arviointi: Tärkeän luokan II ja kriittisille tuotteille ilmoitetun laitoksen tai sertifiointijärjestelmän kustannukset ovat huomattavasti suuremmat kuin edustajan palkkio ja voivat kestää kuukausia. Näitä ei sisälly perusedustuksen hintaan.
• Tukijakso: Vähintään viiden vuoden turvallisuuspäivitysten ja haavoittuvuuksien käsittelyn vaatimus on merkittävä operatiivinen kustannus, jota mikään edustajapalvelu ei kata.
• Uusinta- ja irtisanomisehdot: Jotkut tarjoajat käyttävät matalia ensimmäisen vuoden hintoja, mutta huomattavasti korkeampia uusintoja tai pitkiä irtisanomisaikoja. Pyydä aina kirjalliset ehdot uusinnasta.
• Vastuu: Edustajat yleensä rajoittavat vastuunsa vaatimustenmukaisuuden laiminlyönneistä. Valmistaja on vastuussa kaikista CRA:n velvoitteista.

Läpinäkyvyys siitä, mitä ei sisälly, on yhtä tärkeää kuin se, mitä sisältyy. Pyydä aina täydellinen lista poissulkemisista ja selvitä palveluntarjoajan rooli ennen sopimuksen allekirjoitusta.

Realistisia skenaarioita: mikä reitti soveltuu?

• Yhdysvaltalainen SaaS-yritys: Yhdysvalloissa toimiva SaaS-palveluntarjoaja myy ohjelmistoa suoraan EU-asiakkaille. Yrityksen on nimettävä artikla 18 edustaja, valmisteltava tekninen dokumentaatio ja SBOM sekä perustettava 24 tunnin raportointikanava. Oletusluokan tuotteissa itsearviointi voi riittää; tärkeissä tai kriittisissä tarvitaan ilmoitettu laitos. Helpoin reitti on edustajan nimeäminen (esim. REP27), dokumentaation valmistelu ja rekisteröityminen ENISA:an.
• Kiinalainen Amazon-myyjä: Kiinassa toimiva valmistaja myy IoT-laitteita omalla nimellään Amazonissa EU-asiakkaille. Myyjän on nimettävä artikla 18 edustaja ja noudatettava kaikkia CRA-vaatimuksia. Jos EU-pohjainen tuoja saattaa tuotteen markkinoille, tuoja voi ottaa velvoitteet; muuten alkuperäinen valmistaja vastaa raportoinnista ja dokumentaatiosta.
• Brittiläinen verkkokauppa: Iso-Britanniassa toimiva jälleenmyyjä toimittaa yhdistettyjä laitteita EU-asiakkaille. Jälleenmyyjän on nimettävä artikla 18 edustaja, valmisteltava tekniset tiedostot ja varmistettava 24 tunnin haavoittuvuuksien raportointiprosessi. Jos myynti tapahtuu EU-jakelijan kautta, joka saattaa tuotteen omalla nimellään markkinoille, jakelija ottaa velvoitteet; muuten brittiläinen jälleenmyyjä on vastuussa.

Kaikissa skenaarioissa avain on kartoittaa myyntikanavat, määrittää kuka saattaa tuotteen markkinoille ja nimetä edustaja tarvittaessa. Tämä estää hankintaviiveet, varmistaa vaatimustenmukaisuuden ja välttää sakot.

Tarkistuslista: kuinka täyttää vaatimukset tänään

1. Kartoittele EU:n myyntikanavat ja tunnista kaikki digitaalisia elementtejä sisältävät tuotteet.
2. Luokittele jokainen tuote (oletus, tärkeä I/II, kriittinen) CRA-määritelmien mukaan.
3. Määritä, tarvitsetko artikla 18 edustajan (pakollinen EU:n ulkopuolisille valmistajille).
4. Pyydä kirjallinen valtuutus ja todistus valitulta palveluntarjoajalta (esim. REP27, kadano, Euverify).
5. Valmistele tekninen dokumentaatio: liite VII tiedosto, SBOM, EU-vaatimustenmukaisuusvakuutus, käyttöohjeet EU-kielillä.
6. Perusta henkilöstöä ylläpitävä 24 tunnin haavoittuvuuksien raportointikanava. Kirjoita valmiiksi varoitus- ja ilmoitusmallit.
7. Rekisteröi vähintään kaksi henkilöä ENISA:n raportointialustalle (eri aikavyöhykkeiltä, jos mahdollista).
8. Budjetoi ilmoitetun laitoksen tai sertifiointijärjestelmän kustannukset, jos tuotteesi on tärkeä luokka II tai kriittinen.
9. Ilmoita ja varaa resursseja vähintään viiden vuoden tukijaksolle turvallisuuspäivityksiä ja haavoittuvuuksien käsittelyä varten.
10. Aikatauluta säännölliset vaatimustenmukaisuuden tarkastukset ja dokumentaation päivitykset.

Noudattamalla näitä vaiheita varmistat valmiutesi CRA:n 2026-2027 täytäntöönpanon määräaikoihin ja vältät kalliit vaatimustenmukaisuuden puutteet.