Cyber Resilience Act: Velvollisuudet EU:n ulkopuolisille valmistajille

• CRA koskee kaikkia digitaalisia elementtejä sisältäviä tuotteita EU-markkinoilla (artikla 2)
• EU:n ulkopuolisten valmistajien on nimettävä EU-edustaja (artikla 15)
• Ilmoitusvelvollisuus aktiivisesti hyväksikäytetyistä haavoittuvuuksista: 24 tunnin määräaika (artikla 14)
• Tekninen dokumentaatio ja vaatimustenmukaisuusvakuutus vaaditaan (artikla 13)
• Sakot jopa 15 miljoonaa euroa tai 2,5 % maailmanlaajuisesta liikevaihdosta (artikla 71)
• CE-merkintä vaaditaan vaatimustenmukaisille tuotteille (artikla 13)

Päivitetty 24 October 2026 · 5 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 24 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Mitä laki vaatii? (artiklanumerot mukana)

Cyber Resilience Act (CRA, asetus (EU) 2024/2847) koskee kaikkia digitaalisia elementtejä sisältäviä tuotteita, jotka saatetaan EU-markkinoille – riippumatta valmistusmaasta (artikla 2). EU:n ulkopuolisten valmistajien on nimettävä valtuutettu edustaja EU:ssa artiklan 15 mukaisesti. Tämä velvoite koskee sekä laitteistoa että ohjelmistoa, joita myydään EU:ssa. Edustaja toimii viranomaisten yhteyshenkilönä ja hoitaa viestinnän valmistajan puolesta.

Valmistajien on varmistettava, että tuotteet on kehitetty turvallisesti eikä niissä ole tunnettuja hyväksikäytettäviä haavoittuvuuksia (artikla 13). Heidän on tehtävä riskianalyysi ja toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet. Aktiivisesti hyväksikäytetyistä haavoittuvuuksista on ilmoitettava ENISA:lle ja asianomaiselle CSIRT:lle 24 tunnin kuluessa (artikla 14). Ensimmäinen arviointi on toimitettava 72 tunnin sisällä ja loppuraportti 14–30 päivän kuluessa.

Lisäksi CRA edellyttää teknisen dokumentaation laatimista ja EU-vaatimustenmukaisuusvakuutuksen toimittamista, joka todistaa vaatimusten noudattamisen (artikla 13). Tuotteissa on oltava CE-merkintä vaatimustenmukaisuuden osoittamiseksi. Näiden velvoitteiden laiminlyönnistä voi seurata merkittäviä sakkoja – jopa 15 miljoonaa euroa tai 2,5 % maailmanlaajuisesta vuosiliikevaihdosta, riippuen kumpi on suurempi (artikla 71).

Miten valita sopiva tarjoaja?

CRA-edustajan valinnan tulee perustua selkeisiin kriteereihin. Tärkeitä ovat:

• Hinnoittelun läpinäkyvyys: Varmista, että tarjoaja julkaisee kaikki hinnat, erityisesti myös uusimiskustannukset. REP27 julkaisee kaikki hinnat ja takaa kiinteän uusimishinnan, kun taas muut tarjoajat antavat tiedot yleensä vain pyynnöstä.
• Palvelun laajuus: Tarkista, tarjoaako palveluntarjoaja 24h-päivystyksen ilmoituksille, julkisesti tarkistettavan sertifikaatin ja oikeudellisesti pätevän nimityksen (esim. eIDAS-allekirjoitus). REP27 erottuu täydellisellä, julkisesti tarkistettavalla sertifikaatilla ja 24h-päivystyksellä.
• Reagointiajat ja saavutettavuus: Koska ilmoitusajat (24h/72h) ovat tiukat, jatkuva saavutettavuus on välttämätöntä. REP27 takaa 24/7-valmiuden myös pyhinä ja viikonloppuisin.
• Selkeä rajaus: Luotettava tarjoaja listaa selkeästi, mitä mandaatio ei sisällä (esim. ei vaatimustenmukaisuuden arviointia, ei teknisiä testejä). Tämä suojaa myöhemmiltä yllätyksiltä.

Päätösmatriisi:

Käytännön vinkki: Pyydä kirjallinen tarjous, jossa kaikki palvelut, poissulkemiset ja uusimishinta on kirjattu. Tarkista, tarjoaako tarjoaja julkisen sertifikaatin tarkistuksen – tämä on kriittistä hätätilanteessa.

Mitä hinta todella sisältää?

Hintaan sisältyvät palvelut vaihtelevat merkittävästi tarjoajittain. REP27:n peruspaketti EUR 490/vuosi (CRA) sisältää:

• Kirjallinen mandaatio valtuutettuna edustajana artiklan 18 mukaisesti
• 24h-päivystys haavoittuvuuksien ilmoituksille ja viestintään ENISA/CSIRT:n kanssa
• Julkisesti tarkistettava sertifikaatti QR-koodilla viranomais- ja liikekumppanivarmennukseen
• Viranomaisten pyyntöjen hallinta ja välitys kahden työpäivän sisällä
• Monikieliset viestintäpohjat tarvittavaa kommunikaatiota varten

Tärkeää: REP27 ei tee vaatimustenmukaisuuden arviointia, teknisiä testejä, SBOM:n laatimista tai tapausanalyysiä. Nämä tehtävät kuuluvat valmistajalle tai ulkopuolisille asiantuntijoille. Muilla tarjoajilla, kuten kadano ja Euverify, hintaan sisältyvät palvelut eivät ole yksityiskohtaisesti julkisia (tilanne lokakuu 2026). Lisäkustannukset esimerkiksi lisäpalveluista selviävät vain pyynnöstä.

Palvelujen vertailu:

Yrityksille, jotka arvostavat vastuiden selkeää erottelua ja läpinäkyvää hinnoittelua, REP27 on tällä hetkellä ainoa täysin julkinen palveluntarjoaja.

Piilokustannukset & tyypilliset poissulkemiset

CRA-vaatimustenmukaisuuden suurimmat kustannukset syntyvät edustajamandaatin ulkopuolella. CRA-edustajan nimitys on vain pieni osa kokonaiskustannuksista. Todelliset kulut aiheutuvat:

• Vaatimustenmukaisuuden arvioinnista: "Tärkeille" tai "kriittisille" tuotteille vaaditaan ulkoinen tarkastus nimetyltä laitokselta. Nämä kustannukset ovat tyypillisesti nelin- tai viisinumeroisia eivätkä sisälly edustajapalkkioon.
• Turvapäivityksistä: Valmistajien on tarjottava turvapäivityksiä vähintään viiden vuoden ajan ja varmistettava niiden organisointi ja rahoitus. Tämä velvoite on riippumaton edustajamandaatista.
• Teknisen dokumentaation ja SBOM:n ylläpidosta: Valmistajan vastuulla on teknisen dokumentaation ja ohjelmistokomponenttiluettelon (SBOM) laatiminen ja päivittäminen.

Mitä tarjoajat yleensä eivät kerro:

• REP27 sulkee nimenomaisesti pois vaatimustenmukaisuuden arvioinnin, tekniset testit, SBOM:n luomisen ja tapausanalyysin. Ei piilokustannuksia, kaikki hinnat julkaistu ennen sopimusta.
• Kadano ja Euverify eivät julkisesti ilmoita lisäkustannuksia, vastuurajoja tai irtisanomisaikoja (tilanne lokakuu 2026).

Käytännön vinkki: Kysy jokaiselta tarjoajalta erikseen poissulkemisista, irtisanomisaikatauluista ja lisäkustannuksista erikoispalveluista (esim. lisäpyynnöt, lisäkielet, kiireelliset käsittelyt). Pyydä kaikki ehdot kirjallisina.

Nimitys vaihe vaiheelta

1. Tarkista, kuuluuko tuotteesi CRA:n piiriin: Koskee kaikkia digitaalisia elementtejä sisältäviä tuotteita (laitteisto/ohjelmisto) EU-markkinoilla.
2. Määrittele sisäiset prosessit: Päätä, kuka tunnistaa ja käynnistää haavoittuvuuksien ilmoitukset. Määrittele, mitä pidetään "aktiivisesti hyväksikäytettynä".
3. Valitse sopiva edustaja: Vertaa hintoja, palvelun laajuutta, todentamista ja saavutettavuutta. Pyydä kirjallinen tarjous kaikista ehdoista.
4. Sopimuksen tekeminen ja mandaatin vastaanotto: REP27 nimittää edustajan 24 tunnin sisällä, sisältäen varmennettavan sertifikaatin.
5. Päivitä dokumentaatio ja ilmoituskanavat: Lisää edustajan yhteystiedot tekniseen dokumentaatioon ja tapausten hallintasuunnitelmaan.
6. Valmistele 24h-ilmoituspohjat: Luo vakioilmoitukset ensihälytykselle, 72h-arvioinnille ja loppuraportille. Nimitä vähintään kaksi vastuuhenkilöä, joilla on pääsy alustalle.
7. Säännöllinen tarkistus: Tarkista vuosittain, että nimitys ja prosessit ovat ajan tasalla.

Tänään tehtävä tarkistuslista:

1. Kuuluuko tuotteesi CRA:n piiriin?
2. Onko sisäiset ilmoitusprosessit ja vastuuhenkilöt määritelty?
3. Onko sopiva edustaja valittu ja mandaatio allekirjoitettu?
4. Onko tekninen dokumentaatio ja ilmoituskanavat päivitetty?
5. Onko ilmoituspohjat valmisteltu?

Riskit & sakot laiminlyönneistä

CRA:ssa on säädetty ankarista rangaistuksista: jopa 15 miljoonan euron sakot tai 2,5 % maailmanlaajuisesta vuosiliikevaihdosta (artikla 71). Tyypillisiä riskejä ovat:

• Myöhästyneet tai puuttuvat haavoittuvuuksien ilmoitukset: 24 tunnin määräaika alkaa tiedon saamisesta, ei analyysin valmistumisesta. Aikavyöhykkeiden erot tai epäselvät vastuut johtavat helposti rikkomuksiin.
• Puuttuva tai virheellinen edustajan nimitys: Ilman voimassa olevaa edustajaa tuote voidaan poistaa markkinoilta. Viranomaisten pyynnöt jäävät vastaamatta, mikä lisää sakon riskiä.
• Puuttuva tai puutteellinen tekninen dokumentaatio: Markkinavalvonnassa kaikki dokumentit on esitettävä välittömästi. Viiveet tai puutteet johtavat seuraamuksiin.
• Virheellinen tai puuttuva CE-merkintä: Tuotteita ilman voimassa olevaa CE-merkintää ei saa saattaa markkinoille.

Ilmoitusajat (24h/72h/14-30 päivää) ovat reaaliaikaisia – viiveet aikavyöhykkeiden tai epäselvien vastuiden vuoksi johtavat helposti rikkomuksiin. Vastuu määräaikojen noudattamisesta on valmistajalla; edustaja voi vain välittää ajoissa saamansa tiedot.

Kolme realistista skenaariota

• Yhdysvaltalainen SaaS-toimittaja: Yhdysvaltalainen ohjelmistoyritys tarjoaa pilvipalvelua eurooppalaisille yrityksille. Koska ohjelmisto saatetaan EU-markkinoille, on nimettävä CRA-edustaja. Toimittaja valitsee REP27:n, saa mandaatin ja sertifikaatin 24 tunnissa, perustaa 24h-ilmoituskanavan ja lisää yhteystiedot tekniseen dokumentaatioon. Vaatimustenmukaisuuden arviointi ja turvapäivitykset hoidetaan sisäisesti tai ulkopuolisten asiantuntijoiden toimesta.
• Kiinalainen Amazon-myyjä: Kiinalainen yritys myy IoT-laitteita omalla nimellään Amazon.de:ssä. Koska se toimii valmistajana, CRA-edustaja on pakollinen. Myyjä käyttää tarjoajaa kuten kadano tai Euverify (mieltymyksen mukaan), varmistaa CE-merkinnän ja valmistaa teknisen dokumentaation. Ilman edustajaa uhkaavat sakot ja myyntikielto markkinapaikalla.
• Brittiläinen verkkokauppa: Brittiläinen verkkokauppa myy laitteistoa, johon kuuluu firmware-päivityksiä EU:n loppukäyttäjille. CRA-edustaja on myös pakollinen. Kauppa valitsee yhdistelmäpaketin (esim. REP27: CRA+GDPR) kattaakseen sekä CRA- että GDPR-edustajavelvollisuudet. Ilmoituskanavat ja dokumentaatio mukautetaan vastaavasti.

Nämä skenaariot osoittavat, että edustajavelvollisuus koskee kaiken kokoisia ja toimialaisia yrityksiä, kun ne toimittavat digitaalisia tuotteita EU:hun.