Cyber Resilience Act 24h haavoittuvuuksien raportointi: Tarjoajat & hinnat (2026)

• CRA:n 14 artikla vaatii 24 tunnin raportoinnin aktiivisesti hyödynnetyistä haavoittuvuuksista ENISA:lle.
• EU:n ulkopuolisten valmistajien on nimettävä EU:ssa toimiva valtuutettu edustaja raportointia varten.
• REP27 — Europe Services, SE veloittaa 490 €/vuosi 18 artiklan toimeksiannosta.
• Kilpailijoiden hinnat: kadano (999 €/vuosi), Euverify (590 £/vuosi), muut pyynnöstä.
• REP27 ei sisällä oikeudellista neuvontaa, SBOM:n laatimista tai vaatimustenmukaisuuden arviointia.
• Ei vaadita maahantuojille, jakelijoille tai ennen 11.9.2026 EU-markkinoille saatetuille tuotteille.

Päivitetty 17 October 2026 · 8 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 17 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Mitä laki vaatii: CRA:n 14 & 18 artikla

Cyber Resilience Act (CRA) asettaa tiukat vaatimukset digitaalisia elementtejä sisältävien tuotteiden EU-markkinoille saattaville valmistajille. Artikla 1 määrittelee soveltamisalan: laitteisto ja ohjelmisto, mukaan lukien yhdistetyt laitteet, laiteohjelmistot ja sovellukset, kuuluvat lain piiriin. Artikla 10 asettaa olennaiset kyberturvallisuusvaatimukset tuotteen elinkaaren ajaksi, ja artikla 11 määrittelee valmistajien velvollisuudet, kuten riskinarvioinnin, haavoittuvuuksien käsittelyn ja vaatimustenmukaisuuden arvioinnin.

Artikla 14 on keskeinen: se vaatii valmistajia raportoimaan aktiivisesti hyödynnetyt haavoittuvuudet tai vakavat tuoteturvallisuutta koskevat tapaukset ENISA:lle yhden raportointialustan kautta 24 tunnin kuluessa tiedon saamisesta. Velvollisuus käynnistyy uskottavan todisteen perusteella hyväksikäytöstä tai merkittävästä turvallisuustapahtumasta, ei pelkästään haavoittuvuuden löytymisestä. 24 tunnin määräaika lasketaan kalenteritunneissa, myös yöllä, viikonloppuisin ja pyhinä.

EU:n ulkopuolella toimivien valmistajien on artiklan 18 mukaan nimettävä EU:ssa toimiva valtuutettu edustaja. Tämä edustaja hoitaa 24 tunnin raportointiprosessin ja toimii viranomaisten yhteyspisteenä. Maahantuojilla ja jakelijoilla on omat velvollisuutensa artiklan 12 mukaan, mutta ensisijainen raportointivastuu on valmistajalla tai tämän valtuutetulla edustajalla.

Ennen 11.9.2026 EU-markkinoille saatetut tuotteet on vapautettu 24 tunnin raportointivelvollisuudesta, mutta niiden on noudatettava muita CRA:n määräyksiä. Rikkomuksista voi seurata jopa 15 miljoonan euron tai 2,5 % maailmanlaajuisesta liikevaihdosta suurimman määrän mukainen sakko. Laki on selkeä: jos olet EU:n ulkopuolinen valmistaja ja myyt digitaalisia tuotteita EU:ssa tämän päivämäärän jälkeen, sinun on oltava valtuutettu edustaja, joka pystyy toimimaan 24 tunnin kuluessa tapahtumasta.

Miten valita CRA:n valtuutettu edustaja

Oikean valtuutetun edustajan valinta on ratkaisevaa vaatimustenmukaisuuden ja toiminnan tehokkuuden kannalta. Tarkista ensin palveluntarjoajan oikeushenkilö, EU:ssa toimipaikka ja toimintahistoria. Esimerkiksi REP27 — Europe Services, SE on perustettu Prahassa, Tšekissä, ja toiminut vuodesta 2018, allekirjoittaen toimeksiantoja 24 maassa.

Tärkeitä valintakriteerejä ovat:

• Läpinäkyvä hinnoittelu: Etsi selkeät, julkaistut hinnat ja uusintahinnat. REP27 julkaisee molemmat. Jotkut tarjoajat, kuten kadano ja Euverify, julkaisevat myös hinnat, kun taas toiset vaativat tarjouksen.
• Toimeksiannon laajuus: Varmista, että toimeksianto rajoittuu 18 artiklan velvoitteisiin. Liian laajat toimeksiannot, jotka kattavat myös 13 artiklan velvoitteita, ovat kiellettyjä 18 artiklan 2 kohdan mukaan. REP27 rajoittaa toimeksiannon selvästi 18 artiklaan.
• Saatavuus: Raportointipisteen tulee olla miehitetty 24/7, myös viikonloppuisin ja pyhinä. REP27 takaa jatkuvan valmiuden, muiden tarjoajien osalta tiedot kannattaa varmistaa.
• Vahvistettava todistus: Todistuksella (kuten REP27:n QR-koodi ja julkinen varmennus) on todiste toimeksiannosta, jonka viranomaiset tai asiakkaat voivat tarkistaa.
• Poissulutukset: Selvitä, mitä ei sisälly, kuten oikeudellinen neuvonta, SBOM:n laatiminen tai tekniset testaukset. REP27 listaa poissulutukset selkeästi; monet kilpailijat eivät.

Paketoidut palvelut (esim. tekninen skannaus, SBOM:n laatiminen) voivat olla hyödyllisiä, jos sisäisiä resursseja ei ole, mutta tarkista aina piilokustannukset, epäselvät uusintahinnat tai epämääräiset palvelukuvaukset. Pyydä kirjallinen kuvaus prosessista, mukaan lukien pyyntöjen käsittelytavat, kielet ja aukioloajat.

Varmista lopuksi, että toimeksianto on varmennettavissa ja että viranomaispyyntöjen välitys on nopeaa ja dokumentoitua. Tämä ei ole pelkkä vaatimustenmukaisuuden rasti ruutuun – viivästykset tai väärinkäsitykset voivat johtaa oikeudellisiin ja kaupallisiin seuraamuksiin.

Mitä hinta todella sisältää: palveluntarjoajien vertailu

On tärkeää ymmärtää, mitä julkaistu hinta sisältää yllätyksien välttämiseksi. Alla on yksityiskohtainen vertailu saatavilla olevien tietojen perusteella:

REP27:n hinta (490 €/vuosi, uusinta 440 €) kattaa vain 18 artiklan toimeksiannon, selkeillä poissulkuilla. Kadano ja Euverify julkaisevat hinnat, mutta eivät julkisesti erittele sisältöä tai poissulkuja. ResilienceWP ja Seentrix tarjoavat teknisiä lisäpalveluita (SBOM, skannaus, dokumentaatio), mutta hinnat ja laajuus ovat vain pyynnöstä.

Pyydä aina yksityiskohtainen palvelukuvaus ja vahvistus uusintahinnoista ennen sopimuksen tekemistä. Kallein virhe on olettaa, että tekninen vaatimustenmukaisuus tai oikeudellinen neuvonta sisältyy, kun se ei ole.

Piilokustannukset & mitä palveluntarjoajat yleensä eivät kerro

Vaikka päähintalappu on tärkeä, piilokustannukset ja poissulutukset voivat merkittävästi vaikuttaa budjettiin ja operatiiviseen riskiin. Tässä mitä palveluntarjoajat usein eivät paljasta etukäteen:

• Poissulutukset: REP27 on selkeä: ei oikeudellista neuvontaa, tietosuojavastaavan palveluita, teknisiä vaatimustenmukaisuuden arviointeja, SBOM:n laatimista tai testauksia. Monet kilpailijat eivät julkaise tällaisia poissulkuja, joten kysy aina. Tekninen vaatimustenmukaisuus (SBOM, arviointi, suunnittelu) ei koskaan sisälly pelkkään edustajapalveluun ja se on budjetoida erikseen.
• Uusintahinnat: Jotkut tarjoajat tarjoavat alhaisen ensimmäisen vuoden hinnan, mutta eivät julkaise uusintahintoja. REP27 julkaisee molemmat. Pyydä aina kirjallinen vahvistus uusintahinnoista yllätyksien välttämiseksi.
• Pyynnöittäin veloitettavat maksut: Jotkut edustajat voivat periä lisämaksuja viranomais- tai rekisteröidyn pyynnöistä tai kiireellisistä ilmoituksista. REP27 ei ilmoita tällaisia maksuja, mutta muilla voi olla. Selvennä ennen sopimusta.
• Irtisanomisaika ja päättäminen: Toimeksiannon lopettamisen tai palveluntarjoajan vaihtamisen käytännöt ovat harvoin yksityiskohtaisia. Kysy irtisanomisajoista ja mahdollisista maksuista.
• Vastuunrajoitukset: Useimmat edustajat rajoittavat vastuunsa myöhästyneistä tai virheellisistä ilmoituksista. Nämä rajoitukset eivät aina ole julkisesti nähtävillä.
• Paketoidut palvelut: Teknisiä palveluita (SBOM, skannaus) tarjoavat voivat periä merkittäviä lisämaksuja tai vaatia pitkäaikaisia sopimuksia. Vahvista laajuus ja hinnat kirjallisesti.

Yhteenvetona: vaatimustenmukaisuuden todelliset kustannukset sisältävät edustajapalkkion lisäksi sisäiset insinööri-, teknisen vaatimustenmukaisuuden ja 24/7 häiriötilanteiden hallinnan kulut. Pyydä aina täydellinen erittely ja kirjallinen vahvistus kaikista ehdoista ennen sitoutumista.

Miten nimitys toimii: vaihe vaiheelta

CRA:n valtuutetun edustajan nimeäminen vaatii huolellista suunnittelua ja dokumentointia. Tässä käytännön vaiheittainen opas nykyisten parhaiden käytäntöjen ja lain vaatimusten mukaan:

1. Arvioi soveltuvuus: Varmista, että tuotteesi on digitaalinen elementti (laitteisto/ohjelmisto), joka saatetaan EU-markkinoille 11.9.2026 jälkeen. Jos näin on, CRA:n 24h raportointivelvoite koskee.
2. Valitse palveluntarjoaja: Vertaa tarjoajia julkistetun hinnan, toimeksiannon laajuuden, poissulkujen ja maineen perusteella. Pyydä kaikki ehdot ja uusintahinnat kirjallisesti.
3. Sopimus ja toimeksianto: Allekirjoita kirjallinen toimeksianto valitsemasi edustajan kanssa. REP27 toimittaa allekirjoitetun 18 artiklan toimeksiannon ja varmennettavan todistuksen 24 tunnin sisällä. Varmista, että oikeushenkilö on EU:ssa ja kaupparekisterissä.
4. Päivitä dokumentaatio: Merkitse edustajan tiedot vaatimustenmukaisuuskäsikirjaan. Valmistele selkeä raportointiprosessi, mukaan lukien kuka voi ilmoittaa tapauksen ja miten todisteet dokumentoidaan.
5. Sisäinen valmistautuminen: Nimeä vähintään kaksi henkilöä ENISA-alustan ilmoittajiksi, mieluiten eri aikavyöhykkeiltä. Kirjoita valmiiksi varoitusmallit ja nimeä vastuuhenkilöt 72 tunnin ilmoitukseen ja käyttäjien tiedottamiseen.
6. Häiriötilanteen hallinta: Kun havaitaan raportointivelvollinen haavoittuvuus tai tapaus, ilmoita edustajalle välittömästi. Edustaja tekee varoitusilmoituksen ENISA/CSIRT:lle 24 tunnin sisällä ja seuraa 72 tunnin ilmoituksella ja loppuraportilla.
7. Kirjanpito: Pidä tarkat lokit tiedon saannista, ilmoitusajoista ja viestinnästä. Tämä on tärkeää, jos viranomaiset kyseenalaistavat vaatimustenmukaisuutesi.
8. Jatkuva tarkastus: Tarkista säännöllisesti prosessit ja päivitä yhteystiedot, mallit ja vastuut tarpeen mukaan.

Tämä prosessi varmistaa CRA:n tiukkojen määräaikojen täyttämisen ja sakkojen välttämisen. Avain on valmistautuminen: määrittele laukaisijat, nimeä roolit ja harjoittele työnkulku ennen lain voimaantuloa.

Riskit, sakot ja vaatimustenmukaisuuden määräajat

Cyber Resilience Act tuo merkittäviä oikeudellisia ja taloudellisia riskejä vaatimustenmukaisuuden laiminlyönnistä. Artikla 15 määrittelee valvontamenettelyt ja sanktiot. Välittömin riski on 24 tunnin raportointiajan ylittäminen aktiivisesti hyödynnetyistä haavoittuvuuksista tai vakavista tapauksista. Kello alkaa käydä tiedon saamisesta, ei tutkinnan valmistumisesta. Viivästykset voivat johtaa jopa 15 miljoonan euron tai 2,5 % maailmanlaajuisesta liikevaihdosta suurimman määrän mukaisiin sakkoihin.

Muita riskejä ovat:

• Markkinoille pääsyn viivästykset: Edustajan nimeämättä jättäminen tai varmennettavan todistuksen puuttuminen voi viivästyttää tuotteen lanseerausta tai hankintaprosesseja, erityisesti yritysmyynnissä.
• Valvontatoimet: Viranomaiset voivat aloittaa tutkintoja, vaatia dokumentaatiota tai määrätä korjaavia toimenpiteitä, jos raportointivelvoitteita ei täytetä.
• Mainehaitat: Julkiset raportointivirheet voivat vahingoittaa brändiä ja asiakasluottamusta.
• Moninkertaiset raportointivelvoitteet: Yksi tapaus voi edellyttää raportointia CRA:n, NIS2:n, GDPR:n ja GPSR:n alaisuudessa, joilla on eri määräajat ja viranomaiset. Esimerkiksi kiristyshaittaohjelmahyökkäys voi vaatia kolme erillistä raporttia.

Vaatimustenmukaisuuden määräajat ovat tiukat: 24 tunnin raportointivelvoite koskee uusia tuotteita 11.9.2026 alkaen. Ennen tätä päivää markkinoille saatetut tuotteet ovat vapautettuja 24 tunnin säännöstä, mutta niiden on noudatettava muita CRA:n vaatimuksia. Turvapäivitysten tukijakso – vähintään viisi vuotta – on toinen piilokustannus, joka on suunniteltava ja budjetoitava tuotelinjana, ei kertaluonteisena projektina.

Yhteenvetona: vaatimustenmukaisuuden laiminlyönnin riskit ovat merkittäviä, ja valmistautumatta jättäminen maksaa huomattavasti enemmän kuin pätevän edustajan nimeäminen.

Päätösmatriisi: Tarvitsetko CRA:n valtuutetun edustajan?

Käytä alla olevaa matriisia arvioidaksesi, tarvitsetko CRA:n valtuutetun edustajan:

Tämä matriisi kattaa useimmat tilanteet. Epäselvissä tapauksissa ota yhteys lakimieheen tai palveluntarjoajaan. Muista, että velvollisuus on valmistajalla tai tämän nimeämällä edustajalla, ei maahantuojalla tai jakelijalla, ellei nämä saata tuotetta markkinoille omalla nimellään.

Tarkistuslista: CRA 24 tunnin raportointivaatimuksen täyttäminen

1. Kartoitus: Listaa kaikki EU:ssa myytävät digitaaliset tuotteet ja niiden lanseerauspäivät.
2. Sisäiset prosessit: Tarkista, miten haavoittuvuudet havaitaan, eskaloidaan ja dokumentoidaan organisaatiossasi.
3. Edustajan valinta: Vertaa tarjoajia, pyydä kirjallinen vahvistus kaikista maksuista, uusintahinnoista ja palvelun laajuudesta.
4. Toimeksiannon allekirjoitus: Hanki allekirjoitettu 18 artiklan toimeksianto ja varmennettava todistus valitulta edustajalta.
5. Dokumentaation päivitys: Lisää edustajan tiedot vaatimustenmukaisuuskäsikirjaan. Valmistele varoitus- ja ilmoitusmallit.
6. Raportointiroolien nimeäminen: Nimeä vähintään kaksi ilmoittajaa ENISA-alustalle, mieluiten eri aikavyöhykkeiltä.
7. Työnkulun testaus: Harjoittele simuloimalla hyödynnetty haavoittuvuus varmistaaksesi, että kaikki tietävät vastuunsa ja aikataulunsa.
8. Koulutus: Kouluta henkilöstöä 24 tunnin kellon laukaisimista ja eskalointiprosessista.
9. Sääntelypäivitysten seuranta: Seuraa CRA-vaatimusten ja raportointialustojen muutoksia ennen syyskuuta 2026.
10. Säännöllinen tarkistus ja päivitys: Käy prosessit ja dokumentaatio läpi vuosittain tai merkittävän tapauksen jälkeen.

Tämän tarkistuslistan noudattaminen auttaa varmistamaan, että täytät CRA:n tiukat raportointivelvoitteet ja vältät kalliit sanktiot.

Todelliset esimerkkitilanteet: Mikä reitti soveltuu?

• Yhdysvaltalainen SaaS-yritys myy EU:n yrityksille: Yritys on EU:n ulkopuolinen valmistaja, joka saattaa digitaalisia tuotteita EU-markkinoille. Sen on nimettävä 18 artiklan mukainen valtuutettu edustaja (esim. REP27, kadano, Euverify). Sisäinen tietoturvatiimi havaitsee haavoittuvuudet ja ilmoittaa edustajalle, joka hoitaa ENISA/CSIRT-asiat 24 tunnin sisällä. Maahantuojaa tai jakelijaa ei ole, joten velvollisuus on suora.
• Kiinalainen Amazon-myyjä toimittaa IoT-laitteita EU-kuluttajille: Jos myyjä on valmistaja ja EU:n ulkopuolella, sen on nimettävä valtuutettu edustaja. Jos Amazon toimii maahantuojana, raportointivelvollisuus voi siirtyä Amazonille. Myyjän tulee selvittää vastuut alustan kanssa ja tarvittaessa nimetä edustaja sekä päivittää tuotetiedot.
• Brittiläinen verkkokauppa myy omalla brändillä reitittimiä EU:ssa: EU:n ulkopuolisena valmistajana yrityksen on nimettävä valtuutettu edustaja 24 tunnin raportointia varten. Edustajan tiedot on sisällytettävä vaatimustenmukaisuusdokumentaatioon, ja sisäisten prosessien on oltava valmiina nopeaan eskalointiin. Jos kauppa toimii myös maahantuojana tai jakelijana omalla nimellään, voi olla lisävelvoitteita.

Nämä esimerkit korostavat toimitusketjun kartoittamisen ja roolien selkeyttämisen tärkeyttä. Yksinkertaisin vaatimustenmukainen reitti on nimetä edustaja, dokumentoida prosessi ja kouluttaa tiimi nopeaan reagointiin.