Ostajan opas

Haavoittuvuuksien raportointipalvelujen tarjoajien vertailu Cyber Resilience Actille (CRA)

Lyhyt vastaus: Vertailtaessa haavoittuvuuksien raportointipalvelujen tarjoajia Cyber Resilience Actin mukaisesti, arvioi julkistetut hinnat, sisältyvät palvelut, poissulkemiset, vasteajat ja maantieteellinen kattavuus. Kiinnitä huomiota siihen, mitä palvelu ei kata: edustus ei korvaa vaatimustenmukaisuuden arviointia tai teknistä haavoittuvuuksien hallintaa. Valitse vain tarjoajat, joiden tiedot ovat läpinäkyviä ja prosessit varmennettavissa.

CRA-haavoittuvuuksien raportointi on pakollista 11. syyskuuta 2026 alkaen
Vain harvat tarjoajat julkaisevat hinnat ja sisältyvät palvelut
Edustus kattaa ilmoitusten välityksen, ei teknistä arviointia
Vertaile poissulkemisia, uusimisia ja varmennusprosesseja
Raportoinnin laiminlyönnistä voi seurata jopa 15 miljoonan euron tai 2,5 % liikevaihdon sakot
Edustus ei kata arviointeja, SBOMia tai teknistä tukea

Päivitetty 21 October 2026 · 12 lähteet tarkistettu

Palveluntarjoajat verrattu

Tarjoaja	Perustettu	Julkaistu hinta	Mitä hinta sisältää	Parhaiten sopii
REP27 — Europe Services, SE	Tšekki	490 €/vuosi (uusinta 440 €)	Art. 18 CRA:n edustusmandaatin, CSIRT/ENISA-pyyntöjen välityksen, 24/7 palvelupisteen, ei teknistä arviointia	EU:n ulkopuoliset valmistajat, jotka tarvitsevat vain edustusmandaatin
kadanolähde	Itävalta	999 €/vuosi	CRA-edustusmandaatin (Luokka I), lisäpalveluiden tiedot pyynnöstä	Yritykset, jotka haluavat paikallista edustusta Itävallassa
Euverifylähde	Irlanti	590 £/vuosi	CRA-edustusmandaatin (Art. 18), lisäpalveluiden tiedot pyynnöstä	Ne, jotka haluavat irlantilaisen edustajan
Attestra AIlähde	Pyynnöstä	Pyynnöstä	Haavoittuvuuksien raportointi, tuoteturvallisuuden työnkulut, CE-dokumentaatio	Ne, jotka etsivät integroitua turvallisuus- ja raportointipalvelua
Seentrixlähde	Pyynnöstä	Pyynnöstä	Vaatimustenmukaisuuspisteytys, haavoittuvuuksien hallinta, CRA-dokumenttien laatiminen	Yritykset, jotka haluavat haavoittuvuuksien hallinnan ja dokumentoinnin
Illiciumlähde	Nantes, Ranska	Pyynnöstä	Haavoittuvuuksien hallinta ja priorisointi, ihmispohjainen pentest pyynnöstä	Ne, jotka etsivät edistyneitä pentest- ja haavoittuvuuksien hallintapalveluja
Cramiolähde	Pyynnöstä	Pyynnöstä	Automaattiset SBOMit, CVE-seuranta, ENISA-työnkulut	Valmistajat, jotka tarvitsevat SBOMia ja jatkuvaa seurantaa
CRAnotifylähde	Pyynnöstä	Pyynnöstä	Haavoittuvuuksien raportointi, vaatimustenmukaisuuden hallintapaneeli, todisteiden tallennus	Yritykset, jotka haluavat vaatimustenmukaisuuden hallintapaneelin
CRA Readylähde	Pyynnöstä	Pyynnöstä	Häiriöiden seuranta, 24/72h määräajat, sääntelyraportit	Ne, jotka etsivät häiriöseurantatyökaluja raportoinnilla

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 21 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Lain vaatimukset: velvollisuudet, artiklat ja määräajat

Cyber Resilience Act (CRA), asetus (EU) 2024/2847, asettaa tiukat velvoitteet EU-markkinoille digitaalisia tuotteita (sekä laitteisto että ohjelmisto) toimittaville, riippumatta niiden sijainnista. Keskeiset velvoitteet ovat:

Valtuutetun edustajan nimittäminen (Art. 18): Jos valmistaja ei ole EU:ssa, sen on nimettävä kirjallisesti edustaja unionissa. Tämä edustaja vastaa haavoittuvuuksien ja vakavien häiriöiden ilmoitusten välittämisestä viranomaisille (CSIRT, ENISA).
Haavoittuvuuksien raportointi (Art. 14): 11. syyskuuta 2026 alkaen jokaisen valmistajan on ilmoitettava 24 tunnin sisällä aktiivisesti hyödynnetystä haavoittuvuudesta tai vakavasta turvallisuusongelmasta, joka vaikuttaa tuotteeseen. Ilmoitus tehdään ENISA-alustan kautta CSIRT:lle.
Täydellinen ilmoitus ja loppuraportti: 72 tunnin sisällä alkuilmoituksesta on toimitettava yksityiskohtainen ilmoitus ensimmäisistä korjaavista toimenpiteistä. 14–30 päivän kuluessa on lähetettävä loppuraportti haavoittuvuudesta ja ratkaisusta.
Soveltaminen kaikkiin digitaalisiin tuotteisiin: Velvoite koskee sekä uusia että markkinoilla jo olevia tuotteita, kattaen koko elinkaaren, mukaan lukien päivitykset ja tuki.
Seuraamukset: Laiminlyönnistä voi seurata jopa 15 miljoonan euron tai 2,5 % maailmanlaajuisesta liikevaihdosta sakkoja, riippuen kumpi on suurempi.

On tärkeää erottaa CRA-raportointi (tuotteiden haavoittuvuudet) muista velvoitteista kuten GDPR (henkilötietojen rikkomukset) tai NIS2 (palveluhäiriöt). Kukin sääntelyjärjestelmä koskee eri vastaanottajia, määräaikoja ja alustoja.

Kuinka valita palveluntarjoaja: käytännön kriteerit ja riskit

CRA-haavoittuvuuksien raportointipalveluntarjoajan valinta perustuu käytännöllisiin ja läpinäkyviin kriteereihin. Tässä tärkeimmät arviointikohdat:

Julkinen ja selkeä hinta: Valitse tarjoajat, jotka ilmoittavat hinnan ja uusimiskustannukset selkeästi. Vältä "aloitustarjouksia" tai piilokuluja uusimisessa.
Mitä palvelu sisältää: Tarkista kattaako palvelu pelkän edustusmandaatin ja ilmoitusten välityksen vai myös teknisen tuen, dokumentaation, SBOMin tai kehittyneet työnkulut. Useimmat tarjoajat rajoittuvat lailliseen edustukseen.
Varmennettava sertifikaatti: QR-koodilla ja julkisella varmennussivulla varustettu sertifikaatti vähentää riskiä riidoissa auditoinneissa tai häiriötilanteissa.
24/7 palvelupiste: Raportointi on oltava mahdollista milloin tahansa, myös öisin, viikonloppuisin ja pyhinä. Kysy aina, että palvelupiste on auki vuoden ympäri.
Kieli ja vasteajat: Varmista, että tarjoaja pystyy käsittelemään pyyntöjä englanniksi ja tarvittaessa muilla EU-kielillä. Yli 24 tunnin viiveet voivat vaarantaa vaatimustenmukaisuuden.
Poissulkemiset ja rajat: Kukaan edustaja ei kata teknisiä arviointeja, turvallisuustestejä, SBOMin luontia tai insinööritukea: nämä jäävät valmistajan tai erikoistuneiden toimittajien vastuulle.

Tarjoaja	Sisältää	Ei sisällä	Lisämaksu
REP27	Art. 18 mandaatin, pyyntöjen välityksen, 24/7 palvelupisteen	Arviointi, testaus, SBOM, tekninen raportointi	Ei ilmoitettu
kadano	Edustusmandaatin	Arviointi- ja tukipalveluiden tiedot	Pyynnöstä
Euverify	Edustusmandaatin	Arviointi- ja tukipalveluiden tiedot	Pyynnöstä
Attestra AI	Raportointi, turvallisuuden työnkulut, dokumentaatio	Pyynnöstä	Pyynnöstä

Arvioi aina poissulkemisten selkeys: tarjoaja, joka ei niitä määrittele, ei välttämättä ole määritellyt palvelunsa laajuutta kunnolla.

Mitä hinta todella sisältää: vertailutaulukko ja analyysi

Useimmat tarjoajat kattavat edustusmandaatin ja ilmoitusten välityksen, mutta harvat tarjoavat teknisiä lisäpalveluita. Tässä vertailutaulukko:

Tarjoaja	Edustusmandaatin	Ilmoitusten välitys	Tekninen arviointi	SBOM/CE	24/7 palvelupiste
REP27	Kyllä	Kyllä	Ei	Ei	Kyllä
kadano	Kyllä	Pyynnöstä	Pyynnöstä	Pyynnöstä	Pyynnöstä
Euverify	Kyllä	Pyynnöstä	Pyynnöstä	Pyynnöstä	Pyynnöstä
Attestra AI	Pyynnöstä	Kyllä	Kyllä	Kyllä	Pyynnöstä

Keskeinen ero "perinteisten" tarjoajien (REP27, kadano, Euverify) ja laajempia palveluita tarjoavien (Attestra AI, Seentrix, Illicium) välillä on, että ensimmäiset rajoittuvat lain minimivaatimuksiin, kun taas jälkimmäiset tarjoavat myös turvallisuuden työnkulkuja, automatisoituja SBOMeja ja pentestauksia. Art. 18 ja 14 CRA:n vaatimusten täyttämiseen riittää kuitenkin edustusmandaatin ja nopean ilmoitusten välityksen takuu.

Huomioi: julkistettu hinta kattaa vain selkeästi ilmoitetut palvelut. Teknisiä lisäpalveluita hinnoitellaan usein erikseen ja ne voivat olla huomattavasti kalliimpia.

Piilokulut, poissulkemiset ja mitä tarjoajat eivät kerro

Monet tarjoajat eivät julkaise uusimishintaa tai veloittavat lisämaksuja esimerkiksi työajan ulkopuolisista pyynnöistä, lisäsertifikaattien myöntämisestä tai tuesta muilla kuin englannin kielellä. Huomioi seuraavat seikat:

Uusimiset: Kysy aina kirjallinen uusimishinta ennen sopimuksen allekirjoittamista. REP27 ilmoittaa sen selkeästi (440 €), muut vain pyynnöstä.
Poissulkemiset: Kukaan tarjoaja ei kata vaatimustenmukaisuuden arviointeja, turvallisuustestejä, SBOMin luontia tai teknistä tukea. Nämä palvelut ovat erillisiä ja usein kalliimpia kuin edustusmandaatin hinta.
Vastuun rajaus: Tarjoajat eivät ota vastuuta teknisistä virheistä, asiakkaan ilmoitusvelvollisuuden laiminlyönnistä tai haavoittuvuuksien hallinnasta.
Irtisanomisaika: Jotkut tarjoajat voivat vaatia ennakkoilmoituksen palvelun lopettamisesta tai edustajan vaihtamisesta. Tarkista aina sopimusehdot.
Lisäpyyntömaksut: Jos julkisia tietoja ei ole, kysy, veloitetaanko lisäkustannuksia ylimääräisistä pyynnöistä, uusista sertifikaateista tai hätätuesta.

Päätöstaulukko:

Jos olet...	Tarvitset...	Et tarvitse, jos...
EU:n ulkopuolinen valmistaja, myyt EU:ssa	CRA-edustusmandaatin	Et myy digitaalisia tuotteita EU:ssa
EU:n maahantuoja/jakelija	Vain jos myyt omalla nimelläsi	Jos toimit vain jakelijana
Markkinapaikan myyjä (Amazon, Etsy, eBay)	Riippuu roolista: valmistajana kyllä	Jos olet pelkkä jälleenmyyjä
Avoimen lähdekoodin ei-kaupallinen ohjelmisto	Kevyempi sääntely	Jos et hallinnoi digitaalisia tuotteita

Yhteenvetona: poissulkemisten ja piilokulujen selkeys on välttämätöntä yllätyksien välttämiseksi ja täyden vaatimustenmukaisuuden varmistamiseksi.

Nimityksen kulku: vaihe vaiheelta ja käytännön tarkistuslista

CRA-edustajan nimitys etenee seuraavasti. Tässä yksityiskohtainen opas:

Tarkista velvollisuus: Oletko EU:ssa myytävien digitaalisten tuotteiden (laitteisto/ohjelmisto) valmistaja, jolla ei ole EU-toimipaikkaa? Jos kyllä, olet velvollinen nimittämään edustajan.
Valitse tarjoaja: Vertaile hintoja, sisältyviä palveluita, poissulkemisia ja varmennusprosesseja. Suosi 24/7 palvelupistettä ja julkisesti varmennettavaa sertifikaattia tarjoavia.
Allekirjoita mandaatti: Mandaatti on kirjallinen, allekirjoitettava tarjoajan oikeushenkilön (esim. Europe Services, SE REP27:lle) toimesta ja rajoitettava Art. 18 velvoitteisiin. Vältä mandaattia, joka kattaa myös Art. 13:n.
Vastaanota sertifikaatti: Tarjoaja antaa nimitystodistuksen, mieluiten QR-koodilla ja verkkovarmennussivulla.
Valmistele sisäinen runbook: Kirjaa edustajan tiedot, eskalaatioprosessi ja raportointikontaktit sisäiseen dokumentaatioon.
Määritä raportointikanava: Luo sisäinen kanava haavoittuvuuksien ja häiriöiden ilmoittamiseen, nimeä vähintään kaksi henkilöä submittereiksi ENISA-alustalle.
Kouluta tiimi: Varmista, että henkilökunta tietää mitä ja milloin raportoida, ja harjoitelkaa prosessia simulaatioilla.

Käytännön tarkistuslista:

Oletko tunnistanut tuoteluokat ja niiden EU-kohdemarkkinat?
Oletko kartoittanut kaikki myynti- ja jakelukanavat?
Oletko valinnut tarjoajan, jolla on 24/7 palvelupiste ja läpinäkyvä uusimishinta?
Oletko laatinut eskalaatio- ja raportointiprosessit?
Oletko nimennyt vähintään kaksi submitteria ENISA-alustalle?
Oletko testannut raportointiprosessin simulaatiolla?

Noudattamalla näitä vaiheita minimoit vaatimustenmukaisuusriskit ja sakot.

Riskit, sakot ja käytännön esimerkit: mitä voi tapahtua

Haavoittuvuuden ilmoittamatta jättäminen 24 tunnin sisällä voi johtaa jopa 15 miljoonan euron tai 2,5 % maailmanlaajuisesta liikevaihdosta sakkoihin, mainehaittoihin ja EU-myyntikieltoon. Tässä kolme realistista esimerkkiä velvoitteiden soveltamisesta:

Yhdysvaltalainen SaaS: Yhdysvaltalaisen SaaS-yrityksen, joka palvelee EU-asiakkaita, on nimettävä CRA-edustaja, perustettava 24/7 raportointikanava ja ilmoitettava kaikista hyödynnetyistä haavoittuvuuksista. Edustaja välittää ilmoitukset ENISA:n kautta ja vastaa viranomaisten pyyntöihin.
Kiinalainen Amazon-myyjä: Jos myyjä on myös digitaalisen tuotteen valmistaja, hänen on nimettävä CRA-edustaja ja noudatettava raportointiaikatauluja. Jos myyjä on pelkkä jälleenmyyjä, velvollisuus on valmistajalla. Raportointikanavan on oltava valmis 11. syyskuuta 2026 mennessä.
Brittiläinen verkkokauppa: Britannialaisen verkkokaupan, joka myy laitteita EU-asiakkaille, on nimettävä CRA-edustaja. Jos se myy vain ei-digitaalisia palveluita, velvoite ei koske. Häiriötilanteessa raportointi on tehtävä 24 tunnin sisällä, vaikka toimipaikka olisi EU:n ulkopuolella.

Kaikissa tapauksissa valmistautumattomuus (puuttuva runbook, testaamaton raportointikanava, varmennukseton edustaja) voi hidastaa reagointia ja pahentaa oikeudellisia ja taloudellisia seurauksia.

Kun et tarvitse tätä

Jakelijat tai maahantuojat, jotka eivät tuo tuotetta markkinoille omalla nimellään
Markkinapaikkojen jälleenmyyjät, jotka eivät ole valmistajia
Valmistajat, jotka eivät myy tai seuraa käyttäjiä EU:ssa
Toimijat, jotka tarjoavat vain ei-digitaalisia palveluita

Usein kysytyt kysymykset

Kenen on nimettävä CRA-edustaja?

Kaikkien EU:n ulkopuolisten digitaalisten tuotteiden valmistajien, jotka myyvät Euroopan markkinoilla, on nimettävä valtuutettu edustaja Art. 18 CRA:n mukaisesti. Velvoite ei koske maahantuojia, jakelijoita tai pelkkiä jälleenmyyjiä, elleivät he tuo tuotetta markkinoille omalla nimellään.

Mitä tapahtuu, jos en ilmoita haavoittuvuutta 24 tunnin sisällä?

Raportointiaikataulujen laiminlyönti voi johtaa jopa 15 miljoonan euron tai 2,5 % maailmanlaajuisesta liikevaihdosta sakkoihin, lisäksi mainehaittoihin ja myyntikieltoon EU:ssa.

Vastaaako CRA-edustaja myös teknisestä arvioinnista?

Ei, mikään valtuutettu edustaja ei kata haavoittuvuuksien teknistä arviointia, SBOMin luontia tai testausta. Nämä tehtävät jäävät valmistajan tai erikoistuneiden toimittajien vastuulle.

Mikä on ero CRA-raportoinnin ja GDPR:n välillä?

CRA-raportointi koskee digitaalisten tuotteiden haavoittuvuuksia ja turvallisuushäiriöitä; GDPR puolestaan koskee vain henkilötietojen rikkomuksia. Raportointiaikataulut ja vastaanottajat eroavat.

Paljonko CRA-edustajan nimitys maksaa?

Julkaistut hinnat vaihtelevat: REP27 maksaa 490 €/vuosi, kadano 999 €/vuosi, Euverify 590 £/vuosi. Muut tarjoajat ilmoittavat hinnan pyynnöstä. Tarkista aina uusimishinta.

Onko palvelu käytettävissä 24/7?

Vain jotkut tarjoajat, kuten REP27, ilmoittavat 24/7 palvelupisteen. Tarkista aina palvelun aukioloajat ja kielituki ennen sopimuksen allekirjoittamista.

Koskeeko velvoite myös jo markkinoilla olevia vanhoja tuotteita?

Kyllä, CRA-raportointi koskee myös jo markkinoilla olevia tuotteita, jos ne ovat edelleen tuettuja ja myynnissä EU:ssa.

Kuinka varmistan edustajan sertifikaatin voimassaolon?

Suosi tarjoajia, jotka tarjoavat julkisesti varmennettavia sertifikaatteja, esimerkiksi QR-koodilla ja verkkovarmennussivulla, ilman että tarjoajaan tarvitsee ottaa yhteyttä.

Katteleeko mandaatti myös Sveitsiä?

Ei, CRA-mandaatti kattaa vain EU/ETA-alueen. REP27 tarjoaa ilmaisen arvioinnin Sveitsille (nFADP), mutta ei toimi sveitsiläisenä edustajana.

Mitä minun tulee valmistella sisäisesti?

Valmistele runbook, jossa on edustajan tiedot, määrittele kuka voi ilmoittaa haavoittuvuuden, nimeä vähintään kaksi submitteria ENISA-alustalle ja laadi raporttipohjat.

Mitä ei sisälly edustusmandaatin piiriin?

Ei sisälly vaatimustenmukaisuuden arvioinnit, turvallisuustestit, SBOMin luonti, tekninen tuki tai teknisten asiakirjojen laatiminen. Nämä palvelut ovat erillisiä ja usein kalliimpia.

Kattaako CRA-raportointi myös palveluhäiriöt?

Ei, CRA-raportointi koskee vain digitaalisten tuotteiden haavoittuvuuksia ja turvallisuushäiriöitä. Palveluhäiriöt kuuluvat NIS2:n tai muiden säädösten piiriin.

Lähteet

Cyber Resilience Act summary — digital-strategy.ec.europa.eu
Cyber Resilience Act: cosa cambia — craevidence.com
ITPro: CRA obblighi e sanzioni — itpro.com
REP27 — Europe Services, SE — gdprrepresentative.com
kadano — kadano.io
Euverify — euverify.com
Attestra AI — cybercertlabs.com
Seentrix — seentrix.com
Illicium — illicium.io
Cramio — cramio.eu
CRAnotify — cranotify.eu
CRA Ready — cra-ready.io

Related guides

REP27 — Europe Services, SEKatso tarkalleen, mitä REP27 sisältää →