EU:n ulkopuolisen valmistajan velvoitteet Cyber Resilience Actin mukaan

• EU-edustajan nimitysvelvoite (Art. 18 CRA) EU:n ulkopuolisille valmistajille
• Haavoittuvuuksien ilmoittaminen 24 tunnissa (Art. 14 CRA) edustajan kautta
• REP27: CRA-mandaatin hinta €490/vuosi (julkaistu hinta, lokakuu 2026)
• Sisältyvät palvelut ja rajoitukset vaihtelevat toimittajittain, tarkista aina etukäteen
• Ei sisällä: vaatimustenmukaisuuden arviointi, testaus, SBOM, tekninen raportointi
• Tuojilla/jakelijoilla ilman omaa myyntiä ei nimitysvelvoitetta

Päivitetty 21 October 2026 · 4 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 21 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Lain vaatimukset: CRA:n keskeiset artiklat

Cyber Resilience Act (CRA, EU-asetus 2024/2847) asettaa tiukat velvoitteet digitaalisia elementtejä sisältävien tuotteiden valmistajille, jotka aikovat myydä tuotteitaan Euroopan unionissa. Jos valmistajalla ei ole toimipaikkaa EU:ssa, hänen on nimettävä valtuutettu edustaja unionissa Artikkelin 18 mukaisesti. Tämä edustaja toimii ainoana yhteyspisteenä kaikissa virallisissa viestinnöissä eurooppalaisten markkinavalvontaviranomaisten kanssa ja hoitaa virallisten pyyntöjen vastaanoton ja välityksen.

Toinen keskeinen velvoite on haavoittuvuuksien ilmoittaminen: Artikkeli 14 edellyttää valmistajalta ilmoitusta 24 tunnin kuluessa kaikista aktiivisesti hyödynnetyistä haavoittuvuuksista tai vakavista turvallisuusongelmista, jotka vaikuttavat tuotteeseen. Ilmoitus tehdään ENISA:n ja CSIRT-koordinaattorin kautta, joka määräytyy edustajan sijainnin mukaan. Valtuutettu edustaja on siis olennainen varmistamaan viestinnän oikea-aikaisuuden ja tarkkuuden, erityisesti eri aikavyöhykkeillä toimiville tai ilman Euroopan henkilöstöä oleville yrityksille.

Tärkeää: velvoite koskee vain valmistajia. Tuojilla ja jakelijoilla ei ole nimitysvelvoitetta, elleivät he myy tuotetta omalla nimellään. Myös markkinapaikkojen (Amazon, Etsy, eBay) kautta myyvien on arvioitava, katsotaanko heidät CRA:n määritelmän mukaan valmistajiksi. Jo markkinoilla ennen CRA:n voimaantuloa olevat tuotteet ovat silti ilmoitusvelvollisia.

• Artikkeli 18 CRA: EU-edustajan nimitys EU:n ulkopuolisille valmistajille
• Artikkeli 14 CRA: Haavoittuvuuksien ilmoittaminen 24 tunnin kuluessa
• Poikkeukset: Tuojat/jakelijat, jotka eivät myy omalla nimellään

Miten valita CRA-edustaja: kriteerit, vertailu ja keskeiset kysymykset

CRA-edustajan valinta on strateginen päätös, joka vaikuttaa vaatimustenmukaisuuteen, reagointinopeuteen ja kustannusten läpinäkyvyyteen. Keskeiset kriteerit ovat:

• Julkaistu hinta ja uusinnan selkeys: Vain osa toimittajista (esim. REP27) julkaisee hinnat ja uusinnan ehdot läpinäkyvästi; muut vaativat suoran yhteydenoton lisätietoja varten.
• Sisältyvät palvelut: Tarkista aina, mitä mandaatissa on: pyyntöjen vastaanotto ja välitys, varmennettava sertifikaatti, tuki ilmoittamiseen, 24/7-valmius.
• Selkeät poissulkemiset: Kukaan edustaja ei tarjoa vaatimustenmukaisuuden arviointia, turvallisuustestausta, SBOMin luontia tai teknistä raportointia; nämä ovat valmistajan vastuulla.
• Mandaatin varmistus: Suosi toimittajaa, joka tarjoaa QR-koodilla ja julkisella sivulla varmennettavan sertifikaatin.
• Kysymykset toimittajalle: Kuka allekirjoittaa mandaatin? Miten viranomaispyyntöihin vastataan? Millä kielillä? Mitkä ovat uusinnan ja lisämaksujen ehdot?

Tässä vertailutaulukko ilmoitetuista palveluista:

Läpinäkyvyys sisällöstä, poissulkemisista ja hinnoista on luotettavuuden merkki: varo toimittajia, jotka eivät selkeästi kerro tarjouksestaan.

Mitä hinta todella sisältää: läpinäkyvyys, rajat ja käytännön vertailu

CRA-edustajan mandaatti kattaa ainoastaan laillisen edustuksen ja viestinnän eurooppalaisten viranomaisten kanssa. REP27:n julkaisema hinta (€490/vuosi, uusinta €440) sisältää:

• Kirjallisen Art. 18 CRA -mandaatin, sähköisesti allekirjoitetun
• Varmennettavan sertifikaatin QR-koodilla ja julkisella sivulla
• Kaikkien markkinavalvontaviranomaisten pyyntöjen vastaanoton ja välityksen
• Haavoittuvuuksien ilmoittamisen hallinnan CRA-aikataulujen mukaisesti

Ei sisällä:

• Tuotteen vaatimustenmukaisuuden arviointia (vastuu ilmoitetuilla laitoksilla, ei edustajalla)
• Turvallisuustestausta tai SBOMin luontia
• Teknisten raporttien laatimista tai lähettämistä
• Operatiivista tukea tai teknistä neuvontaa

Useimmat toimittajat eivät julkaise palveluiden sisältöä: kadano (€999/vuosi) ja Euverify (£590/vuosi) eivät erittele, mitä hinta sisältää tai ei sisällä. On tärkeää aina pyytää yksityiskohtainen palveluluettelo ennen sopimuksen allekirjoittamista.

Huomioi myös automaattiset uusinnat ja laskutuskäytännöt: REP27 takaa yhden vuosittaisen laskun ja ilmoittaa uusintahinnan etukäteen.

Piilokustannukset ja riskit: mitä arvioida vaatimustenmukaisuuden kannalta

Edustajan mandaatin kustannus on vain pieni osa CRA-vaatimustenmukaisuuden kokonaiskustannuksista. Suurimmat, usein piilossa olevat tai aliarvioidut kustannukset ovat:

• Vaatimustenmukaisuuden arviointi: Tärkeiden tai kriittisten luokkien tuotteille vaaditaan ilmoitetun laitoksen osallistuminen, jonka kustannukset voivat ylittää edustajan hinnan merkittävästi.
• Tekninen tuki ja päivitykset: Valmistajan on taattava vähintään viiden vuoden tietoturvapäivitykset ja varattava niihin resurssit.
• Häiriöiden hallinta ja raportointi: Viivästynyt haavoittuvuuksien ilmoittaminen voi johtaa sanktioihin, markkinoilta poistamiseen ja mainehaittoihin.
• Uusinnat ja lisämaksut: Jotkut toimittajat veloittavat lisämaksuja yöaikaisista pyynnöistä, lisäkielistä tai monimutkaisten tapausten hallinnasta. REP27 ilmoittaa, ettei lisämaksuja ole, mutta muut eivät välttämättä kerro.

Vakavin operatiivinen riski on, ettei ilmoituskanava ole auki 24/7: edustajan on oltava tavoitettavissa ympäri vuorokauden myös öisin ja pyhinä, jotta 24 tunnin määräaika voidaan täyttää.

Yhteenvetona: CRA-vaatimustenmukaisuus vaatii suunnittelua, sisäisiä resursseja ja harkittua edustajan valintaa, ei pelkkää halvimman hinnan valintaa.

Nimitysprosessi: toimenpiteet ja parhaat käytännöt

CRA-edustajan nimitys etenee tarkasti määriteltyä prosessia, joka on välttämätön vaatimustenmukaisuuden ja viranomaispyyntöihin reagoinnin varmistamiseksi:

1. Arvioi tarve: Oletko EU:n ulkopuolinen valmistaja, joka myy digitaalisia tuotteita EU:ssa? Jos kyllä, jatka.
2. Valitse tarjoaja: Tarkastele julkaistuja hintoja, sisältyviä palveluita, mandaatin varmennustapaa ja 24/7-valmiutta.
3. Pyydä palvelu: Täytä valitun tarjoajan verkkosivun lomake.
4. Allekirjoita mandaatti: Saat ja allekirjoitat kirjallisen Art. 18 CRA -mandaatin, mieluiten tunnistettavasti sähköisesti (esim. eIDAS).
5. Vastaanota sertifikaatti: Saat varmennettavan sertifikaatin (QR-koodi, julkinen sivu) ja liitä se tekniseen dokumentaatioon.
6. Päivitä sisäiset prosessit: Lisää edustajan tiedot tietoturvapolitiikkaan, häiriötilanteiden toimintamalleihin ja tekniseen dokumentaatioon.
7. Valmistele ilmoitus: Täytä haavoittuvuuksien ilmoitusmallipohjat (varoitus, 72h-ilmoitus, loppuraportti) ja nimeä vähintään kaksi ilmoittajaa ENISA-alustalle.
8. Varmista tavoitettavuus: Tarkista, että edustaja on tavoitettavissa 24/7 ilmoitusten välittämiseksi määräaikojen puitteissa.

Parhaat käytännöt: pyydä aina simuloitu ilmoitus palveluntarjoajalta ennen sopimuksen allekirjoittamista, jotta voit arvioida vasteaikoja ja prosessien selkeyttä.

CRA-vaatimustenmukaisuuden tarkistuslista (EU:n ulkopuolisille valmistajille)

1. Tarkista, myytkö digitaalisia tuotteita EU:ssa
2. Luokittele tuotteesi CRA:n mukaan (oletus, tärkeä I/II, kriittinen)
3. Nimennä EU-edustaja Art. 18 mandaatilla
4. Valmistele kanavat ja prosessit haavoittuvuuksien ilmoittamiseen 24/7
5. Dokumentoi nimitys teknisessä dokumentaatiossa ja sisäisissä politiikoissa
6. Nimennä vähintään kaksi ilmoittajaa ENISA-alustalle
7. Täytä ilmoitusmallipohjat (varoitus, ilmoitus, loppuraportti)
8. Varaa resurssit vähintään viiden vuoden tietoturvapäivityksiin
9. Varmista edustajan kattavuus kaikissa kiinnostavissa EU-maissa
10. Simuloi ilmoitus operatiivisen valmiuden testaamiseksi

Mitä toimittajat usein eivät kerro: poissulkemiset, rajat ja käytännön riskit

• Mandaatti kattaa vain laillisen edustuksen: Kukaan edustaja ei voi tarjota vaatimustenmukaisuuden arviointia, turvallisuustestausta, SBOMia tai teknistä tukea perushintaan.
• Suurimmat kustannukset ovat sisäisiä: CRA-vaatimustenmukaisuus vaatii insinööriresursseja, tukea ja päivityksiä, joita ei sisällytetä edustajapalveluun.
• Automaattiset uusinnat ja piilokustannukset: Jotkut toimittajat eivät kerro uusintahintoja tai lisäävät ei-läpinäkyviä korotuksia. REP27 julkaisee hinnat ja uusinnat etukäteen.
• Desk ei aina ole auki: 24/7-tavoitettavuus ei ole itsestäänselvyys: kysy aina, miten ilmoitukset hoidetaan yöaikaan.
• Vastuun rajaus: Edustaja ei ota teknistä vastuuta tuotteesta, vaan ainoastaan viestinnästä viranomaisten kanssa.
• Lisämaksut pyynnöistä: Jotkut toimittajat voivat veloittaa lisämaksuja monimutkaisista pyynnöistä, lisäkielistä tai yöaikaisista häiriöiden hallinnoinneista: tarkista aina ennen sopimusta.

Päätösmatriisi: kuka on velvollinen nimeämään CRA-edustajan

Tämä matriisi auttaa nopeasti määrittämään nimitysvelvoitteen roolin ja liiketoimintamallin perusteella.

Käytännön esimerkit: kolme todellista tilannetta ja yksinkertaisin ratkaisu

• USA:n SaaS: Yhdysvaltalainen yritys tarjoaa ohjelmistoalustan EU-asiakkaille. Sen on nimettävä CRA-edustaja, valmisteltava haavoittuvuuksien ilmoituskanavat ja liitettävä sertifikaatti tekniseen dokumentaatioon. Ratkaisu: REP27 tarjoaa mandaatin €490/vuosi, 24/7-valmiuden ja varmennettavan sertifikaatin.
• Kiinalainen Amazon-myyjä: Jos myyjä on digitaalisen tuotteen valmistaja, hänen on nimettävä CRA-edustaja ja valmisteltava ilmoitusdokumentaatio. Jos on vain jälleenmyyjä/maahantuoja, velvoite ei koske. Ratkaisu: arvioi CRA:n määritelmän mukainen valmistajuus ja nimeä edustaja vain tarvittaessa.
• UK-kauppa: Brittiläinen verkkokauppa, joka valmistaa ja myy digitaalisia laitteita EU:ssa, on nimettävä CRA-edustaja ja valmisteltava ilmoitusprosessit. Jos tuo kolmansien osapuolten tuotteita muuttamatta tai merkitsemättä, velvoite ei koske. Ratkaisu: selkeytä rooli toimitusketjussa ja valitse tarjoaja, jolla on julkaistut hinnat ja 24/7-valmius.

Kaikissa tapauksissa läpinäkyvän tarjoajan valinta vähentää riskejä ja odottamattomia kustannuksia.