24h haavoittuvuuksien raportoinnin kustannukset EU:n ulkopuolisille valmistajille (CRA 2026)

• Velvoite 11. syyskuuta 2026 alkaen kaikille EU:ssa myytäville digitaalisille tuotteille valmistajasta riippumatta
• REP27 tarjoaa palvelun hintaan 490 €/vuosi, uusinta 440 €, hinta julkisesti saatavilla
• Kadano: 999 €/vuosi, Euverify: £590/vuosi (~690 €), hinnat julkisesti saatavilla
• Palvelu kattaa vain raportointikanavan, ei testejä tai teknisiä arviointeja
• Velvoitteen rikkomisesta sakot jopa 15 miljoonaa € tai 2,5 % maailmanlaajuisesta liikevaihdosta
• Ei koske maahantuojia, jakelijoita tai EU:n ulkopuolella myyviä

Päivitetty 22 October 2026 · 7 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 22 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Lain vaatimukset: Artikla 14 CRA

Cyber Resilience Actin (EU-asetus 2024/2847) Artikla 14 asettaa tiukan raportointivelvoitteen kaikille EU:ssa myytäville digitaalisille tuotteille valmistajan sijainnista riippumatta. 11. syyskuuta 2026 alkaen jokaisen valmistajan on ilmoitettava 24 tunnin sisällä tiedon saatuaan aktiivisesti hyödynnetystä haavoittuvuudesta tai vakavasta turvallisuusongelmasta, joka vaikuttaa tuotteeseen. Raportointi tapahtuu ENISA:n hallinnoiman yhtenäisen alustan kautta, osoitettuna kyseisen EU-maan CSIRT-yksikölle.

• Raportointi koostuu kolmesta vaiheesta: varhainen varoitus (24h sisällä), yksityiskohtainen ilmoitus (72h sisällä), lopullinen raportti (14 päivän sisällä).
• Velvoite koskee myös EU:n ulkopuolisia valmistajia, jotka myyvät suoraan tai markkinapaikkojen kautta EU-asiakkaille.
• Edustajalta ei vaadita turvallisuustestejä tai teknisiä arviointeja: sen tehtävä on välittää ilmoitukset ja toimia yhteyspisteenä.
• Velvoite koskee myös turvallisuusongelmia, ei pelkästään hyödynnettyjä haavoittuvuuksia.

Ilmoituksen laiminlyönti tai viivästys voi johtaa jopa 15 miljoonan euron sakkoihin tai 2,5 % maailmanlaajuisesta liikevaihdosta, riippuen kumpi on suurempi. Säännökset koskevat kaikkia EU-markkinoille digitaalisia tuotteita tuovia, mukaan lukien ohjelmisto-, laite-, IoT- ja SaaS-valmistajat.

Lähteet: NIS2.gov.ie, Licentium

Miten valita palveluntarjoaja: käytännön kriteerit ja vertailu

Oikean palveluntarjoajan valinta CRA:n mukaiseen haavoittuvuuksien raportointiin vaatii huomion useisiin käytännön seikkoihin hinnan lisäksi. Tässä tärkeimmät arviointikriteerit:

• Julkaistu ja läpinäkyvä hinta: Valitse palveluntarjoaja, joka ilmoittaa selkeästi vuosihinnan ja uusintahinnan välttäen yllätyksiä.
• Maantieteellinen kattavuus: Palveluntarjoajan tulee kattaa kaikki EU-maat, joissa tuotteitasi myydään.
• Vahvistettu ja julkisesti tarkistettava valtuutus: Sähköisesti allekirjoitettu ja julkisesti varmennettavissa oleva valtuutus on luotettavuuden tae.
• 24/7 toimiva raportointikanava: Palvelun tulee olla käytettävissä vuoden jokaisena tuntina, myös viikonloppuisin ja pyhinä.
• Selkeys poissulkemisissa: Mikään mukana olevista palveluntarjoajista ei sisällä perushintaan turvallisuustestejä, SBOM:ia tai teknistä tukea: valtuutus kattaa vain ilmoitusten välityksen.

Yksityiskohtainen vertailu:

Käytännön vinkki: kysy aina etukäteen, mitä palvelu sisältää, onko yksittäisistä ilmoituksista lisämaksuja ja miten uusinta toimii. Suosi palveluntarjoajia, jotka antavat julkisesti tarkistettavan todistuksen ja ilmoittavat selkeästi oikeushenkilönsä ja kattavuuden.

Mitä hinta todella kattaa: käytännön tiedot

Palveluntarjoajien ilmoittama hinta kattaa ainoastaan edustajavaltuutuksen haavoittuvuuksien raportointiin Art. 18 CRA:n mukaisesti. Tämä tarkoittaa, että edustaja:

• Vastaanottaa ja välittää haavoittuvuus- tai turvallisuusilmoitukset viranomaisille (CSIRT/ENISA) virallisen alustan kautta.
• Toimii yhteyspisteenä eurooppalaisille valvontaviranomaisille pyynnöissä tai lisäselvityksissä.
• Toimittaa allekirjoitetun ja sertifioidun valtuutuksen, usein QR-koodilla julkiseen tarkistukseen.
• Varmistaa 24/7 toimivan raportointikanavan (vähintään REP27:n mukaan, heidän virallisilla sivuillaan ilmoitettuna).

Perushintaan ei sisälly:

• Turvallisuustestit tai haavoittuvuuksien arvioinnit
• Software Bill of Materials (SBOM) -dokumentin laatiminen
• Tekninen, juridinen tai operatiivinen tuki ilmoitusten laatimisessa
• Kriisinhallinta tai loppukäyttäjien tiedottaminen (ilmoitusten välityksen lisäksi)

Esimerkiksi REP27 korostaa, että "vaatimustenmukaisuuden arviointi kuuluu ilmoitetuille laitoksille, testaus turvallisuusyrityksille, SBOM tuotantoputkellesi ja raportointi turvallisuustiimillesi". Valtuutus kattaa vain viranomaisille välittämisen ja vastaanoton. Ei lisämaksuja yksittäisistä ilmoituksista eikä piilomyyntiä.

Vinkki: varmista, että organisaatiossasi on osaamista valmistella ilmoitukset ja vastata viranomaisten lisäkyselyihin.

Piilokustannukset, palvelun rajat ja käytännön riskit

Edustajavaltuutuksen kustannus on vain osa Cyber Resilience Actin noudattamisen kokonaisbudjettia. Piilokustannukset ja palvelun rajat jäävät usein huomiotta:

• Sisäinen valmistelu: Tietojen keruu, ilmoitusten laatiminen ja yhteydenpito edustajaan ovat valmistajan vastuulla.
• Tarkastukset ja arvioinnit: Viranomaisten pyynnöstä voi joutua kustantamaan ulkopuolisia auditointeja tai teknisiä arviointeja, joita valtuutus ei kata.
• Tekninen ja juridinen tuki: Edustaja ei tarjoa teknistä tai juridista neuvontaa ilmoitusten välityksen lisäksi; mahdolliset konsultoinnit ovat erikseen maksettavia.
• Vastuun rajaus: Mikään mukana olevista palveluntarjoajista ei ota vastuuta asiakkaan toimittamien tietojen virheistä tai puutteista ilmoituksissa.
• Uusinta ja vaihtaminen: Tarkista aina uusinnan ehdot ja mahdolliset vaihtokulut; REP27 julkaisee hinnat selkeästi, muut eivät välttämättä.

Käytännön riskit:

• Jos sisäinen prosessi ei ole valmis, aikarajojen noudattamisen riski kasvaa merkittävästi.
• Ilmoituksen laiminlyönti tai viivästys voi johtaa suuriin hallinnollisiin sanktioihin ja EU-myyntien estoon.

Vinkki: pidä valtuutusta "prosessivakuutuksena", ei teknisenä ratkaisuna. Todellinen vaatimustenmukaisuus riippuu organisaatiosi sisäisestä toiminnasta.

Miten nimitys toimii: vaihe vaiheelta ja tarkistuslista

CRA-edustajan nimitys noudattaa selkeää toimintamallia. Tässä käytännön vaiheet ja tarkistuslista:

1. Tarkista myytkö digitaalisia tuotteita EU:ssa: Jos kyllä, varmista oletko valmistaja (et pelkkä jakelija/maahantuoja).
2. Valitse palveluntarjoaja: Vertaa hintoja, sisältöjä, poissulkemisia ja sopimusten läpinäkyvyyttä.
3. Tilaa palvelu verkossa: Täytä tilauslomake ja vastaanota Art. 18 valtuutus.
4. Allekirjoita ja arkistoi valtuutus: Valtuutus tulee allekirjoittaa molempien osapuolten toimesta ja säilyttää mahdollisia tarkastuksia varten.
5. Lisää edustajan tiedot yritysdokumentaatioon: Päivitä runbookit, sisäiset ohjeistukset ja vaatimustenmukaisuusdokumentit.
6. Valmistele sisäinen raportointiprosessi: Määrittele kuka voi ilmoittaa haavoittuvuuden, miten todisteet kerätään ja miten raportointimallit täytetään (varhainen varoitus, ilmoitus, lopullinen raportti).
7. Nimennä vähintään kaksi ilmoittajaa: Varmista, että vähintään kahdella henkilöllä on pääsy ENISA-alustalle estääksesi katkoksia poissaolojen aikana.
8. Tallenna kaikki vaiheet: Dokumentoi kuka, milloin ja miten kukin ilmoitus on tehty. Tämä on olennaista auditointitilanteissa.

Toiminnallinen tarkistuslista:

1. Tarkista asemasi (valmistaja, maahantuoja, jakelija)
2. Valitse ja nimeä edustaja
3. Valmistele sisäinen raportointiprosessi
4. Nimennä ilmoittajat ja päivitä dokumentaatio
5. Esitäytä raportointimallit
6. Tallenna jokainen ilmoitus ja viestintä

Vinkki: selkeä prosessi on edustajapalvelun todellinen lisäarvo.

Päätösmatriisi: kenelle palvelu on tarpeen?

Kaikki yritykset eivät tarvitse edustajavaltuutusta haavoittuvuuksien raportointiin. Tässä päätösmatriisi todellisten tapausten perusteella:

Vinkki: jos olet vain jakelija tai maahantuoja etkä tuo tuotetta markkinoille omalla nimelläsi, nimitys ei ole pakollinen. EU:n ulkopuolisena valmistajana nimitys on välttämätön sakkojen välttämiseksi.

Mitä palveluntarjoajat eivät kerro (mutta sinun pitäisi tietää)

Monet palveluntarjoajat eivät julkaise tärkeitä yksityiskohtia, jotka voivat vaikuttaa vaatimustenmukaisuuteesi ja todellisiin kustannuksiin:

• Poissulkemiset: Mikään mukana olevista palveluntarjoajista ei sisällä perushintaan turvallisuustestejä, SBOM:ia tai teknisiä arviointeja. Valtuutus kattaa vain ilmoitusten välityksen.
• Vastuu: Raporttien oikeellisuudesta ja ajantasaisuudesta vastaa aina valmistaja. Edustaja ei tarkista eikä muokkaa vastaanotettuja sisältöjä.
• Uusinta ja vaihtaminen: Jotkut palveluntarjoajat eivät julkaise uusintahintoja tai edustajan vaihtoehtoja. REP27 julkaisee molemmat, muut eivät välttämättä.
• Kielet ja aukioloajat: Varmista, että palveluntarjoaja on todella toiminnassa 24/7 ja pystyy käsittelemään tarvittaessa useita kieliä.
• Palvelun rajat: Edustaja ei hoida loppukäyttäjien tiedottamista, kriisinhallintaa tai juridista neuvontaa.

Vinkki: pyydä aina kirjallinen lista poissulkemisista ja vastuista ennen sopimuksen allekirjoittamista.

Käytännön skenaariot: kolme todellista tapausta ja helpoin polku

• Yhdysvaltalainen SaaS-yritys, joka myy EU:ssa: Sen on nimettävä CRA-edustaja, valmisteltava raportointiprosessi ja lisättävä edustaja virallisiin dokumentteihin. Haavoittuvuuden ilmetessä ilmoitus lähetetään edustajalle, joka välittää sen ENISA:lle/CSIRT:lle. Helpoin tapa on valita palveluntarjoaja, jolla on 24/7 toimiva kanava ja julkisesti varmennettava valtuutus.
• Kiinalainen myyjä Amazonissa: Jos hän on digitaalisien tuotteiden valmistaja, raportointivelvoite ja edustajan nimitys koskevat häntä; jos vain jakelija, ei. Helpoin tapa on selventää sopimusrooli ja tarvittaessa käyttää e-commerce-alan kokenutta palveluntarjoajaa.
• Brittiläinen verkkokauppa: Jos myy digitaalisia tuotteita EU-asiakkaille, on nimettävä edustaja ja noudatettava raportointiprosessia; jos myy vain UK:ssa, ei velvoitetta. Helpoin tapa on arvioida, kattavatko EU-myyntimäärät vaatimustenmukaisuuden kustannukset.

Kaikissa tapauksissa sisäinen valmistelu ja selkeä prosessi ovat ratkaisevia määräaikojen noudattamiseksi ja sakkojen riskin pienentämiseksi.