Kuinka ilmoittaa haavoittuvuuksista 24 tunnin kuluessa Cyber Resilience Actin mukaisesti

• CRA:n 14 artikla: 24 tunnin ilmoitus aktiivisesti hyödynnetyistä haavoittuvuuksista/ vakavista tapauksista.
• Ilmoitus tehdään ENISA:n alustan kautta koordinoivalle CSIRT:lle.
• EU:n ulkopuolisten valmistajien on nimettävä valtuutettu edustaja.
• REP27 — Europe Services, SE: 490 €/vuosi valtuutus (hinta vahvistettu).
• Piilokustannukset: sisäinen insinöörityö, tukijakso, vaatimustenmukaisuuden arviointi.
• Palveluntarjoajat eroavat hinnoissa, sisällöissä ja läpinäkyvyydessä.

Päivitetty 19 October 2026 · 12 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 19 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Mitä Cyber Resilience Act vaatii (artiklanumerot mukana)

Cyber Resilience Act (CRA) on laaja säädös, joka koskee kaikkia EU-markkinoille saatettuja digitaalisia tuotteita, olivatpa ne laitteistoa tai ohjelmistoa (1 artikla, lähde). Sen keskeinen tavoite on varmistaa, että tuotteet suunnitellaan, kehitetään ja ylläpidetään kyberturvallisuus huomioiden koko elinkaaren ajan. Laki tuli voimaan 10. joulukuuta 2024 (71 artiklan 1 kohta), mutta useimmat velvoitteet, mukaan lukien raportointi, tulevat pakollisiksi 11. syyskuuta 2026 alkaen 14 artiklan osalta ja kokonaisuudessaan 11. joulukuuta 2027 (71 artiklan 2 kohta).

14 artikla on keskeinen tapahtumien hallinnassa: valmistajien on ilmoitettava aktiivisesti hyödynnetystä haavoittuvuudesta tai vakavasta turvallisuusongelmasta 24 tunnin kuluessa tiedostamisesta. Ilmoitus tehdään ENISA:n alustan kautta koordinoivalle CSIRT:lle. Aika alkaa tiedostamishetkestä, ei tutkinnan tai vahvistuksen jälkeen. Täydellinen ilmoitus on toimitettava 72 tunnin sisällä ja lopullinen raportti 14 päivän kuluessa. Raportointiaika kattaa viikonloput ja pyhäpäivät – jatkoaikaa tai taukoja ei ole.

18 artikla edellyttää EU:n ulkopuolisilta valmistajilta valtuutetun edustajan nimeämistä EU:ssa. Tämä edustaja toimii virallisena raportointikanavana ja viranomaisten yhteyshenkilönä. Ilman tätä maahantuoja tai jakelija vastaa oletuksena, mikä voi aiheuttaa kaupallisia ja vaatimustenmukaisuusriskkejä.

Markkinoille ennen 11. joulukuuta 2027 saatetut tuotteet kuuluvat CRA:n piiriin vain, jos niitä muokataan merkittävästi tämän päivämäärän jälkeen (69 artiklan 2 kohta). Vaatimusten rikkomisesta voi seurata jopa 15 miljoonan euron sakot tai 2,5 % maailmanlaajuisesta liikevaihdosta (lähde).

• 14 artikla: 24 tunnin ilmoitus aktiivisesti hyödynnetyistä haavoittuvuuksista/vakavista tapauksista
• 18 artikla: Valtuutettu edustaja EU:n ulkopuolisille valmistajille
• 69 artikla (2): Vanhojen tuotteiden säännöt

Miten valita CRA:n valtuutettu edustaja

Oikean CRA-valtuutetun edustajan valinta on ratkaisevaa EU:n ulkopuolisille valmistajille. Edustaja on virallinen kanavasi haavoittuvuuksien raportointiin ja viranomaisyhteyksiin EU:ssa. Tässä tärkeimmät huomioon otettavat tekijät:

• Hintaläpinäkyvyys: Vain harvat palveluntarjoajat julkaisevat vahvistettuja hintoja. REP27 — Europe Services, SE tarjoaa selkeän 490 €/vuosi valtuutuksen (uusinta 440 €), kadano listaa 999 €/vuosi ja Euverify 590 £/vuosi. Muut vaativat suoran tarjouksen.
• Palvelun laajuus: Varmista, mitä maksu sisältää. 18 artiklan valtuutus on vähimmäisvaatimus, mutta jotkut tarjoavat lisäpalveluita kuten seurantaa, todisteiden säilytystä tai itsearviointidokumentaatiota (ks. CRAguard, ProvenVEX, SECURiMENT).
• Poissulkemiset: Kukaan yllä mainituista ei sisällä vaatimustenmukaisuuden arviointia, turvallisuustestausta tai SBOM:n luontia valtuutusmaksussa. Nämä ovat erillisiä insinööri- tai ilmoitetun laitoksen kustannuksia.
• Sertifikaatti ja varmennus: Etsi palveluntarjoaja, joka tarjoaa varmennettavan sertifikaatin (REP27 tarjoaa QR-koodin ja julkisen varmennussivun).
• Uusimisehdot: Varmista, että uusintahinta on kirjallisesti ilmoitettu ennen ensimmäisen laskun maksua. Hiljaiset tai epäselvät uusimiset ovat yleinen ongelma tällä alalla.
• Vastausprosessi: Kysy, miten viranomaisten pyynnöt käsitellään, millä kielillä ja milloin. 24/7 miehitetty piste on välttämätön 24 tunnin raportointiajan täyttämiseksi.

Alta löydät vertailun siitä, mitä kukin palveluntarjoaja sisältää ja ei sisällä julkisten tietojen perusteella:

Pyydä aina kirjallinen sopimus, jossa luetellaan kaikki sisältyvät ja poissuljetut asiat sekä uusimisehdot.

Mitä hinta todellisuudessa sisältää

On tärkeää ymmärtää, mitä julkaistu hinta sisältää ja mitä ei, budjetointia ja vaatimustenmukaisuutta suunniteltaessa. 18 artiklan valtuutusmaksu kattaa yleensä vain laillisen nimityksen ja raportointipisteen toiminnan EU:ssa. Käytännössä tämä tarkoittaa:

• Valtuutus ja raportointipiste: Edustajalla on valtuudet toimia virallisena yhteyshenkilönä haavoittuvuuksien raportoinnissa. REP27:n tapauksessa tämä sisältää 24/7 miehitetyn pisteen, CSIRT/ENISA-kanavan hallinnan ja varmennettavan sertifikaatin QR-koodilla. Kadano ja Euverify tarjoavat vastaavia valtuutuksia, mutta eivät julkisesti erittele lisäominaisuuksia.
• Yhdistetyt palvelut: Jotkut tarjoavat lisäpalveluita kuten riippuvuuksien seurantaa, todisteiden säilytystä tai tapahtumavasteen työnkulkuja (CRAguard, ProvenVEX, SECURiMENT). Näiden hinnat eivät ole julkisia ja voivat olla merkittäviä.
• Mitä ei sisälly: Kukaan vertailun palveluntarjoajista ei sisällä vaatimustenmukaisuuden arviointia, turvallisuustestausta tai SBOM:n luontia. Nämä ovat erillisiä ja usein merkittäviä kustannuksia, jotka hoitaa ilmoitettu laitos tai oma insinööriryhmä.
• Uusintahinnat: Vain REP27 julkaisee uusintahinnan (440 €/vuosi), joka on alhaisempi kuin ensimmäisen vuoden maksu. Kadano ja Euverify eivät julkista uusimisehtojaan.

Vertailtaessa palveluntarjoajia pyydä aina yksityiskohtainen erittely siitä, mitä hinta sisältää ja mitkä ovat lisämaksut. Jotkut tarjoavat myös yhdistettyjä GDPR 27 artiklan tai NIS2 edustuksia (REP27: 690 €/vuosi CRA+GDPR, 990 €/vuosi CRA+GDPR+NIS2).

Yhteenvetotaulukko:

Piilokustannukset ja poissulkemiset

Vaikka edustajan valtuutusmaksu on usein pienin kustannuserä CRA-vaatimustenmukaisuudessa, piilokustannukset ja poissulkemiset voivat olla merkittäviä:

• Sisäinen insinöörityö: Itsearviointi, dokumentointi ja SBOM-valmistelu ovat pakollisia, mutta eivät sisälly edustajan maksuun. Nämä vaativat omia teknisiä resursseja.
• Tukijakso: CRA edellyttää useimmille tuotteille vähintään viiden vuoden tietoturvapäivityksiä. Budjetoi jatkuva ylläpito tuotelinjana, ei kertaluonteisena projektina.
• Vaatimustenmukaisuuden arviointi: Tärkeille luokan II tai kriittisille tuotteille tarvitaan ilmoitetun laitoksen arviointi, joka voi maksaa tuhansia euroja ja kestää kuukausia. Kukaan edustaja ei kata tätä kustannusta.
• Tapahtumien havaitseminen: Edustaja ei valvo järjestelmiäsi haavoittuvuuksien varalta. Turvatiimisi vastaa havaitsemisesta ja ensiluokkaisesta käsittelystä.
• Tapauksen tai pyynnön lisämaksut: Vaikka REP27 ei ilmoita lisämaksuja pyynnöistä, muut voivat veloittaa lisäpalveluista tai tapahtumien hallinnasta. Varmista aina kirjallisesti.
• Vastuun rajat: Palveluntarjoajat rajoittavat vastuunsa valtuutuksen laajuuteen. He eivät ole vastuussa puuttuvista raporteista sisäisten virheidesi vuoksi.
• Ilmoitusajat ja uusimisehdot: Hiljaiset tai epäselvät uusimiset voivat johtaa odottamattomiin kustannuksiin tai katkoksiin. REP27 julkaisee uusimishinnat ja ehdot; muut eivät välttämättä.

Palveluntarjoajat eivät yleensä kerro:

• Valtuutus ei kata haavoittuvuuksien havaitsemista, korjaamista tai käyttäjien ilmoittamista – nämä ovat sinun vastuullasi.
• Viranomaisten dokumenttipyynnöt voivat viivästyä, jos toimintasuunnitelmasi on puutteellinen tai tiimisi valmistautumaton.
• Palveluntarjoajan vaihtaminen voi olla monimutkaista, jos valtuutus ei ole selkeästi rajattu 18 artiklan 3 kohtaan.

Pyydä aina poissulkemislista ja varmista kaikki ehdot kirjallisesti ennen sopimuksen allekirjoittamista.

Miten nimitys toimii: vaihe vaiheelta

CRA-valtuutetun edustajan nimeäminen on jäsennelty prosessi. Näin se toimii käytännössä, konkreettiset vaiheet ja vinkit:

1. Määritä asemassasi: Oletko valmistaja, jonka digitaalisia tuotteita saatetaan EU-markkinoille? Jos kyllä, jatka. Jos olet vain maahantuoja tai jakelija, tarkista asetatko tuotteen omalla nimelläsi markkinoille.
2. Tarkista toimipaikkasi: Jos sinulla ei ole oikeushenkilöä EU:ssa, sinun on nimettävä valtuutettu edustaja. Jos sinulla on EU-tytäryhtiö, joka toimii valmistajana, raportoit suoraan.
3. Valitse palveluntarjoaja: Vertaa palveluntarjoajia julkisten hintojen, palvelun laajuuden ja läpinäkyvyyden perusteella. REP27, kadano ja Euverify julkaisevat hinnat; muut antavat tiedot pyynnöstä.
4. Allekirjoita kirjallinen valtuutus: Palveluntarjoaja (esim. REP27) antaa allekirjoitetun nimityskirjeen, yleensä eIDAS-sähköisellä allekirjoituksella ja varmennettavalla sertifikaatilla. Varmista, että valtuutus rajoittuu 18 artiklan 3 kohtaan.
5. Päivitä vaatimustenmukaisuusdokumentaatiosi: Lisää edustajan tiedot teknisiin tiedostoihisi, toimintasuunnitelmaan ja kaikkiin CRA:n vaatimiin tuotetietoihin.
6. Perusta raportointiprosessi: Nimeä vähintään kaksi henkilöä, joilla on pääsy ENISA:n raportointialustalle. Valmistele varhaisvaroitus- ja ilmoitusmallit etukäteen.
7. Määrittele laukaisimet ja sisäinen prosessi: Dokumentoi, milloin haavoittuvuudesta tai vakavasta tapauksesta katsotaan tulleen tieto. Päätä, kuka voi julistaa sen ja mitä todisteita tarvitaan (esim. havaittu hyödyntäminen, uskottava asiakasilmoitus).
8. Tallenna aikaleimat: Säilytä tiedot tiedostamisajasta, lähetyksestä ja päivityksistä. Tämä on todisteesi, jos määräaikaa kyseenalaistetaan.
9. Jatkuva valmius: Kouluta tiimisi, testaa raportointiprosessi ja tarkista toimintasuunnitelma säännöllisesti.

Tämä prosessi varmistaa, että olet valmis täyttämään 24 tunnin raportointiajan ja välttämään vaatimustenmukaisuuden puutteet.

Riskit ja sakot

CRA:n noudattamatta jättämisen riskit ovat merkittäviä sekä taloudellisesti että toiminnallisesti:

• Sakot: Noudattamatta jättäminen voi johtaa hallinnollisiin sakkoihin, jotka voivat olla jopa 15 miljoonaa euroa tai 2,5 % maailmanlaajuisesta liikevaihdosta, kumpi on suurempi. Sakot koskevat myöhästyneitä raportteja, valtuutetun edustajan nimeämättä jättämistä tai puutteellista tapahtumien hallintaa (lähde).
• Toiminnalliset riskit: Raportoinnin viivästykset voivat johtaa viranomaistutkintoihin, tuotteen takaisinvetoon tai markkinoille pääsyn estoon. Hankinta ja jakelu voivat estyä, jos et voi osoittaa voimassa olevaa EU-edustajaa.
• Mainehaitat: Käyttäjien tai viranomaisten viivästynyt ilmoittaminen voi aiheuttaa negatiivista julkisuutta ja asiakasluottamuksen menetyksen.
• Sisäinen häiriö: Ilman selkeää raportointiprosessia arvokasta aikaa voi mennä hukkaan tapahtuman aikana, mikä lisää riskiä ja kustannuksia.

Esimerkkejä mahdollisista ongelmista:

• Kulutat tapahtuman alkuhetket etsimällä oikeaa CSIRT:iä tai raportointireittiä, hukaten arvokasta aikaa.
• Dokumenttipyynnöt saapuvat eri aikavyöhykkeellä olevalle toimistolle, mikä viivästyttää vastausta.
• Jakelija toimii oletuksena raportointikanavana, mikä johtaa hallinnan menetykseen tapahtuman käsittelyssä.
• Hiljaiset valtuutuksen uusimisen katkokset epäselvien ehtojen vuoksi.

Vähennä riskejä nimeämällä läpinäkyvä, reagoiva edustaja ja ylläpitämällä vahvaa sisäistä prosessia.

Päätösmatriisi: Tarvitsetko CRA-edustajan?

Käytä alla olevaa matriisia arvioidaksesi, tarvitsetko CRA-valtuutetun edustajan liiketoimintamallisi ja sijaintisi perusteella:

Varmista aina asemastasi ja velvoitteistasi ennen edustajan nimeämistä.

Tarkistuslista: Vaiheet CRA:n 24 tunnin raportointivaatimuksen täyttämiseen

1. Tunnista, kuuluuko tuotteesi CRA:n piiriin (digitaalinen osa, EU-markkinat).
2. Vahvista, oletko valmistaja (et pelkkä maahantuoja/jakelija).
3. Jos olet EU:n ulkopuolella, nimeä CRA-valtuutettu edustaja ja hanki allekirjoitettu valtuutus.
4. Dokumentoi edustajan tiedot teknisiin tiedostoihin ja vaatimustenmukaisuuskirjauksiin.
5. Perusta 24/7 vastaanottokanava haavoittuvuuksien raportointiin (oma tai edustajan kautta).
6. Nimeä vähintään kaksi henkilöä, joilla on pääsy ENISA:n raportointialustalle.
7. Kirjoita valmiiksi varhaisvaroitus- ja ilmoitusmallit nopeaa täyttöä varten.
8. Kouluta henkilöstöä siitä, mikä laukaisee raportoinnin ja miten toimia 24 tunnin sisällä.
9. Määrittele ja dokumentoi todisteet, jotka tarvitaan "tiedostamiseksi" haavoittuvuudesta tai tapahtumasta.
10. Tallenna kaikki asiaankuuluvat aikaleimat vaatimustenmukaisuuden todistamiseksi ja auditointeja varten.
11. Tarkista ja päivitä toimintasuunnitelma ja raportointiprosessi säännöllisesti.

Tämän tarkistuslistan noudattaminen auttaa välttämään yleisimmät vaatimustenmukaisuuden puutteet.

Realistisia skenaarioita: Mikä velvoite koskee sinua?

• Yhdysvaltalainen SaaS-yritys, joka myy EU:hun: EU:n ulkopuolisena valmistajana sinun on nimettävä CRA-valtuutettu edustaja (esim. REP27) raportointikanavaksi. Perusta 24/7 vastaanottokanava ja varmista, että vähintään kaksi henkilöä voi lähettää raportteja ENISA:n alustan kautta. Valmistele varhaisvaroitusmallit ja dokumentoi prosessi, jolla määritellään, milloin haavoittuvuus on aktiivisesti hyödynnetty.
• Kiinalainen Amazon-myyjä (oma merkki): Jos valmistat ja myyt omia digitaalisia tuotteita EU-ostajille, tarvitset CRA-edustajan. Jos vain jälleenmyyt kolmannen osapuolen merkkejä, et tarvitse. Nimeä edustaja, päivitä vaatimustenmukaisuustiedostot ja valmistaudu 24 tunnin raportointiin.
• Brittiläinen verkkokauppa, jolla oma IoT-laite: Jos myyt suoraan EU-kuluttajille, olet valmistaja ja sinun on nimettävä CRA-edustaja. Jos myyt vain Isossa-Britanniassa, CRA ei koske sinua. Jos käytät EU-jakelijaa, joka asettaa tuotteen omalla nimellään markkinoille, vastuu siirtyy heille.

Kaikissa tapauksissa yksinkertaisin vaatimustenmukainen tapa on nimetä läpinäkyvä, kiinteähintainen edustaja, dokumentoida raportointiprosessi ja kouluttaa tiimi ennen lain voimaantuloa.