Kaikki mitä sinun tarvitsee tietää kyberturvallisuuslaista

By Rebecca Harper • 23. kesäkuuta 2026 • 10 minuutin lukuaika

Euroopan unionin kyberturvallisuuslaki (CRA) on ensimmäinen merkittävä asetus, joka käsittelee kyberturvallisuutta tuoteturvallisuusvaatimuksena organisaation hallintotapaan liittyvän vaatimuksen sijaan.

Vaikka organisaatioiden sisäistä kyberriskien hallintaa koskevat monet säännökset keskittyvät, CRA:lla on erilainen lähestymistapa. Se keskittyy itse tuotteisiin. Tarkemmin sanottuna siihen, ovatko Euroopan markkinoille tulevat ohjelmistot, laitteet, alustat ja verkottuneet teknologiat turvallisia, ylläpidettyjä ja tuettuja koko niiden elinkaaren ajan.

Kyberturvallisuutta on vuosien ajan usein pidetty hallintokysymyksenä, operatiivisena huolenaiheena tai teknisenä haasteena, josta vastaavat pitkälti tietoturvatiimit. CRA viestii jostain laajemmasta: kyberturvallisuutta käsitellään yhä enemmän tuoteturvallisuusvaatimuksena, ja EU:n markkinoille tuotteita myyville organisaatioille vaikutukset ulottuvat paljon vaatimustenmukaisuutta pidemmälle.

Mikä on kyberturvallisuuslaki?

Ytimessään CRA on suunniteltu parantamaan digitaalisia elementtejä sisältävien tuotteiden kyberturvallisuutta.

Käytännössä, jos tuote sisältää ohjelmistoa, yhdistyy verkkoon, vaihtaa tietoja digitaalisesti tai sisältää sulautettua verkkoon kytkettyä teknologiaa, se todennäköisesti kuuluu soveltamisalaan.

Asetus koskee tuotteen koko elinkaarta ja tuo mukanaan velvoitteita, jotka koskevat sisäänrakennettua turvallisuutta kehityksessä, haavoittuvuuksien hallintaa, tietoturvapäivityksiä ja -korjauksia, haavoittuvuuksien raportointia, teknistä dokumentointia ja vaatimustenmukaisuuden arviointeja sekä jatkuvaa tuoteturvallisuuden ylläpitoa. Se tuo mukanaan myös taloudellisia seuraamuksia ja, ehkä vielä merkittävämpää, mahdollisuuden rajoittaa tuotteiden myyntiä tai poistaa ne kokonaan markkinoilta, jos organisaatiot eivät jatkuvasti ja vakavasti noudata sääntöjä.

Tarkoituksena on vähentää Euroopan markkinoille tulevien turvattomien digitaalisten tuotteiden määrää ja samalla luoda johdonmukaisempi lähtötaso kyberturvallisuusodotuksille kaikissa jäsenvaltioissa. On tärkeää huomata, että tämä ei ole ohjeistus tai suositeltu kehys. CRA on oikeudellisesti täytäntöönpanokelpoinen asetus.

Miksi CRA:lla on merkitystä

Yksi syy siihen, miksi CRA on herättänyt niin paljon huomiota, on se, että se muuttaa vastuullisuuden sijaintia.

Historiallisesti monet kyberturvallisuussäännökset ovat keskittyneet organisaatioiden selviytymiskykyyn: miten yritykset hallitsevat riskejä, reagoivat vaaratilanteisiin, ohjaavat toimittajia ja suojaavat kriittisiä palveluita. CRA siirtää huomion itse tuotteen turvallisuuteen.

Käytännössä asetus kohtelee kyberturvallisuutta enemmän kuin perinteistä tuoteturvallisuutta. Aivan kuten valmistajien odotetaan varmistavan, että fyysiset tuotteet täyttävät turvallisuusstandardit ennen markkinoille tuloa, CRA odottaa digitaalisten tuotteiden täyttävän kyberturvallisuuden perustason vaatimukset ennen kuin niitä voidaan myydä EU:ssa. Tällä on merkittäviä vaikutuksia tuotekehitystiimeille, suunnittelutoiminnoille, ohjelmistotoimittajille, hankintapäälliköille ja toimitusketjuille.

Se vahvistaa myös laajempaa markkinatrendiä. Asiakkaat, sääntelyviranomaiset, vakuutusyhtiöt ja sijoittajat odottavat yhä useammin organisaatioilta paitsi kykyään reagoida kyberongelmiin, myös sen, että turvallisuus on sisäänrakennettu tuotteisiin alusta alkaen.

Ketä CRA koskee?

Yleinen väärinkäsitys on, että asetus koskee vain EU:ssa pääkonttoriaan pitäviä organisaatioita. Todellisuudessa CRA:ta sovelletaan kaikkiin organisaatioihin, jotka saattavat EU:n markkinoille vaatimukset täyttäviä tuotteita, riippumatta siitä, missä itse yritys sijaitsee. Tämä tarkoittaa, että Yhdistyneen kuningaskunnan, Yhdysvaltojen ja maailmanlaajuiset organisaatiot voivat kaikki kuulua asetuksen soveltamisalaan, jos ne myyvät digitaalisia elementtejä sisältäviä tuotteita Eurooppaan.

Asetuksen odotetaan vaikuttavan laajaan joukkoon organisaatioita, mukaan lukien:

Ohjelmistotoimittajat
SaaS- ja pilvipalveluntarjoajat
IoT-valmistajat
Laitteistovalmistajat, joilla on sulautettu ohjelmisto
Teollisuusteknologian toimittajat
Digitaalisten tuotteiden maahantuojat ja jakelijat

Valmistajilla on asetuksen mukaan suurin vastuu, koska he ovat vastuussa vaatimustenmukaisuuden varmistamisesta koko tuotteen elinkaaren ajan.

On myös olemassa "kriittisten tuotteiden" luokkia, joihin sovelletaan tehostettua valvontaa ja tiukempia vaatimustenmukaisuuden arviointivaatimuksia niihin liittyvän kyberriskin tason vuoksi.

Mitä CRA vaatii

Monet organisaatiot todennäköisesti kokevat suurimman paineen CRA:n operatiivisten vaikutusten osalta. Sääntely ei koske pelkästään dokumentaation luomista tai käytäntöjen päivittämistä. Se edellyttää organisaatioilta, että ne osoittavat, että tietoturva on otettu käyttöön koko tuotteen elinkaaren ajan. Tämä sisältää sisäänrakennetun turvallisuuden periaatteiden sisällyttämisen kehitysprosesseihin, tehokkaiden haavoittuvuuksien hallintaominaisuuksien ylläpidon, tietoturvapäivitysten asianmukaisen julkaisemisen ja teknisen vaatimustenmukaisuuden näytön ylläpitämisen.

Monille yrityksille tämä edellyttää parempaa näkyvyyttä ohjelmistokomponenttien, riippuvuuksien, toimittajien ja kolmansien osapuolten riskien välillä. Se myös painottaa enemmän kypsiä haavoittuvuuksien hallintaprosesseja ja selkeämpiä eskalointipolkuja tietoturva-, suunnittelu-, tuote- ja vaatimustenmukaisuustiimien välillä. Käytännössä jotkut organisaatiot saattavat huomata, että suurin haaste ei olekaan itse sääntelyn ymmärtäminen, vaan operatiivinen valmius.

Tapahtumaraportointi CRA:n ja ENISA-alustan kautta

Yksi CRA:n toiminnallisesti merkittävimmistä näkökohdista on pakollisten vaaratilanteiden ja haavoittuvuuksien raportointivelvoitteiden käyttöönotto. Valmistajien on raportoitava:

Aktiivisesti hyödynnetyt haavoittuvuudet
Vakavat digitaalisia elementtejä sisältävien tuotteiden turvallisuuteen vaikuttavat häiriöt

Tärkeää on, että raportointivelvollisuudet liittyvät erityisesti tuoteturvallisuuteen ja haavoittuvuuksien hyödyntämiseen. Tämä erottaa luottotietorekisterin laajemmista tietomurtoilmoitusvaatimuksista, joita sovelletaan esimerkiksi GDPR:n tai NIS II:n kaltaisten asetusten mukaisesti..

Aikataulut itsessään ovat tarkoituksella vaativia. CRA:n 14 artikla organisaatioiden odotetaan toimittavan:

Ennakkovaroitusilmoitus 24 tunnin kuluessa aktiivisesti hyväksikäytetystä haavoittuvuudesta tai vakavasta vaaratilanteesta tiedon saamisesta
Tarkempi ilmoitus 72 tunnin kuluessa
Loppuraportti kuukauden kuluessa

Monille organisaatioille näiden raportointi-ikkunoiden saavuttaminen voi osoittautua operatiivisesti vaikeaksi, erityisesti silloin, kun ohjelmistojen toimitusketjut ovat monimutkaisia tai riippuvuuksien näkyvyys on rajallinen.

Asetuksella otetaan käyttöön myös keskitetty raportointirakenne, joka on yhteydessä Euroopan unionin kyberturvallisuusvirastoon (ENISA). ENISA kehittää yhtenäistä raportointialustaa (SRP) suunniteltu virtaviivaistamaan raportointia kaikissa jäsenvaltioissa. Sen sijaan, että yritysten tarvitsisi ilmoittaa erikseen useille kansallisille viranomaisille, tarkoituksena on luoda yhtenäisempi raportointimekanismi. Julkaistu raportointiprosessi kuvaa odotettua prosessia seuraavasti:

Valmistaja tunnistaa hyväksikäytetyn haavoittuvuuden tai vakavan vaaratilanteen.
Alustava ilmoitus tehdään ENISAn raportointialustan kautta.
Asianomaisille kansallisille viranomaisille ja tietoturvahäiriöihin reagoiville ryhmille (CSIRT) ilmoitetaan asiasta.
Tekniset seurantatiedot ja korjaustoimenpiteet lähetetään sitten saman rakenteen kautta.

Kirjoitushetkellä itse alustaa kehitetään vielä, ja raportointivelvoitteiden on määrä tulla voimaan syyskuussa 2026.

Operatiivisesti nämä velvoitteet todennäköisesti asettavat suurempaa painetta seuraaville:

Haavoittuvuuksien seuranta
Sisäiset eskalointimenettelyt
Ohjelmiston osaluettelon (SBOM) näkyvyys
Toimittajien valvonta
Tapahtumavasteen koordinointi
Toimintojen välinen viestintä suunnittelu-, tietoturva-, laki- ja vaatimustenmukaisuustiimien välillä

Tärkeimmät päivämäärät, jotka yritysten on tiedettävä

Organisaatioiden tulisi jo valmistautua kahteen tärkeään päivämäärään.

Luottotietorekisterien haavoittuvuuksien ja häiriöiden raportointivelvoitteet tulevat voimaan 11. syyskuuta 2026.

Laajemmat vaatimustenmukaisuusvelvoitteet tulevat voimaan 11. joulukuuta 2027. Tähän mennessä EU:n markkinoille tulevien tuotteiden on täytettävä luottoluokituslaitosten kyberturvallisuusvaatimukset, ylläpidettävä teknistä dokumentaatiota, suoritettava asiaankuuluvat vaatimustenmukaisuuden arvioinnit ja täyttää CE-merkintään liittyvät velvoitteet– fyysisestä tuoteturvallisuudesta tuttu vaatimustenmukaisuusmerkintävaatimus, jolla vahvistetaan, että tuote täyttää sovellettavat EU:n sääntelystandardit ennen markkinoille tuloa.

Vaikka nämä määräajat saattavat vaikuttaa kaukaisilta, monet organisaatiot, joilla on monimutkaiset toimitusketjut tai rajoitettu SBOM-näkyvyys, huomaavat jo, että operatiivinen valmistelu kestää huomattavasti odotettua kauemmin.

Mitä yritykset usein ymmärtävät väärin luottotietorekisteristä

Yksi yleisimmistä väärinkäsityksistä on uskomus, että CRA on ensisijaisesti esineiden internetiä koskeva asetus. Vaikka verkottuneet kuluttajalaitteet kuuluvatkin sen soveltamisalaan, asetusta sovelletaan paljon laajemmin kuin monet organisaatiot alun perin olettavat. Yritysohjelmistot, pilvipalveluihin kytketyt alustat, teollisuusteknologiat, sulautetut ohjelmistojärjestelmät ja laaja valikoima verkottuneita tuotteita voivat kaikki vaikuttaa asetukseen.

Toinen väärinkäsitys on, että asetus koskee vain EU:ssa pääkonttoriaan pitäviä organisaatioita. Todellisuudessa CRA koskee organisaatioita, jotka saattavat digitaalisia elementtejä sisältäviä tuotteita EU:n markkinoille riippumatta siitä, missä itse yritys sijaitsee. Eurooppaan myyvillä Yhdistyneen kuningaskunnan ja Yhdysvaltojen organisaatioilla on samat velvoitteet kuin EU:ssa toimivilla palveluntarjoajilla.

Sääntelyn toimivuutta on myös taipumus aliarvioida. CRA ei ole pelkkä dokumentointiprosessi tai muu politiikkalähtöinen vaatimustenmukaisuuskehys. Se edellyttää organisaatioilta näyttöä turvallisista kehityskäytännöistä, haavoittuvuuksien käsittelyprosesseista, korjauspäivitysten hallintakyvyistä ja jatkuvasta tuoteturvallisuuden ylläpidosta.

Tämä tarkoittaa, että asetus todennäköisesti vaikuttaa:

Suunnittelu- ja kehitystiimit
Tuotteen toiminnot
DevOps ja tietoturvatoiminnot
Hankinta ja toimittajien hallinta
Laki- ja vaatimustenmukaisuustiimit
Toimeenpaneva johtajuus

Monet organisaatiot myös aliarvioivat tarvittavan valmisteluajan. Suurin haaste tuskin on itse asetuksen ymmärtäminen. Useimmiten vaikeus piilee operatiivisessa valmiudessa. Yleisiä puutteita ovat:

Rajoitettu näkyvyys ohjelmistokomponentteihin ja riippuvuuksiin
Epätäydellinen SBOM-hallinta
Heikko toimittajien tietoturvavalvonta
Pirstaloituneet haavoittuvuuksien hallintaprosessit
Epäkypsät eskalointi- ja raportointimenettelyt
Vaikeus osoittaa turvalliset suunnitteluperiaatteet kehityskäytännöissä

Lopuksi monet yritykset keskittyvät aluksi asetukseen liittyviin taloudellisiin seuraamuksiin ja jättävät huomiotta laajemmat kaupalliset vaikutukset. Viranomaiset voivat rajoittaa myyntiä, vaatia korjaavia toimenpiteitä, määrätä takaisinvetoja tai poistaa vaatimustenvastaiset tuotteet kokonaan EU:n markkinoilta. Monille organisaatioille jatkuva pääsy Euroopan markkinoille voi lopulta olla luottoluokituslaitosten vaatimustenmukaisuuden vahvin ajuri.

Noudattamatta jättämisen rangaistukset

CRA:n mukaiset taloudelliset seuraamukset ovat huomattavia. Vakavimmista rikkomuksista organisaatioille voidaan määrätä sakkoja jopa 15 miljoonaa euroa tai 2.5 prosenttia niiden maailmanlaajuisesta vuotuisesta liikevaihdosta, sen mukaan kumpi on suurempi. Näitä seuraamuksia voidaan soveltaa, jos organisaatiot eivät täytä kyberturvallisuusvaatimuksia, laiminlyö raportointivelvoitteita tai saattavat markkinoille vaatimustenvastaisia tuotteita.

Lisärangaistuksia voidaan soveltaa, jos organisaatiot antavat sääntelyviranomaisille virheellisiä tai harhaanjohtavia tietoja.

Pelkät taloudelliset seuraamukset eivät kuitenkaan täysin kata sääntelyyn liittyvää liiketoimintariskiä. Markkinoille pääsyyn, asiakkaiden luottamukseen, hankintakelpoisuuteen ja toimittajasuhteisiin kohdistuvat mahdolliset vaikutukset voivat osoittautua kaupallisesti vielä merkittävämmiksi.

Valmistautuminen CRA:han: Mistä aloittaa

Monille organisaatioille valmistelu vaatii enemmän kuin käytäntöjen tarkistamista tai vaatimustenmukaisuusdokumentaation päivittämistäAsetus todennäköisesti pakottaa yritykset tarkastelemaan, miten tietoturva on integroitu tuotesuunnitteluun, -kehitykseen, -ylläpitoon, toimittajien valvontaan ja tietoturvaloukkauksiin reagointiin.

Monille organisaatioille paras lähtökohta on soveltamisala: sen ymmärtäminen, mitkä tuotteet kuuluvat asetuksen piiriin ja mitkä eivät. Siitä eteenpäin valmistelu voi seurata loogista järjestystä:

Perusta: näkyvyyden luominen. Useimmat organisaatiot huomaavat, että suurin varhainen puute ei ole prosessien kypsyys, vaan perusnäkyvyys, erityisesti kyky kartoittaa ohjelmistokomponentteja ja riippuvuuksia ylläpidetyn ohjelmiston osaluettelon (SBOM) avulla. Ilman tätä haavoittuvuuksien hallinnalla ja toimittajien valvonnalla ei ole luotettavaa perustaa, jolle rakentaa.

Prosessi: haavoittuvuuden ja tapauksiin reagoinnin vahvistaminen. Näkyvyyden luomisen myötä organisaatiot voivat arvioida haavoittuvuuksien hallintaprosessiensa kypsyyttä, kykyään noudattaa CRA:n tiukkoja raportointiaikatauluja sekä suunnittelu-, tietoturva- ja vaatimustenmukaisuustoimintojen välisten eskalointipolkujen tehokkuutta.

Varmuus: todisteet sisäänrakennetun turvallisuuden käytännöistä. Viimeinen kerros osoittaa, että tietoturva on integroitu itse kehityssykliin, eikä sitä ole asennettu jälkikäteen. Tyypillisesti näin on, kun organisaatiot, joilla on kypsät hallintomallit, kuten ISO 27001, ovat paremmassa asemassavalvontainfrastruktuuri on jo olemassa; sitä on laajennettava ja suunnattava tuoteturvallisuuteen.

Tästä syystä monet yritykset yhdenmukaistavat yhä enemmän olemassa olevia hallinto- ja tietoturvakehyksiään uusien tuoteturvallisuusvaatimusten kanssa. Pelkät viitekehykset eivät takaa vaatimustenmukaisuutta, mutta organisaatiot, joilla on kypsä hallinto, riskienhallinta, toimittajien valvonta ja häiriötilanteisiin reagointivalmiudet, ovat todennäköisesti vahvemmassa asemassa, kun CRA-velvoitteet tulevat voimaan.

Matkan suunta

Kyberturvallisuuslaki (CRA) edustaa merkittävää kehitysaskelta kyberturvallisuussääntelyssä. Sen sijaan, että CRA keskittyisi pelkästään organisaatioiden hallintoon tai sietokykyyn, se asettaa kyberturvallisuusodotukset suoraan digitaalisille tuotteille itselleen. Euroopan markkinoille myyville organisaatioille tästä tulee todennäköisesti paitsi vaatimustenmukaisuuskysymys, myös tuotestrategiaan, toiminnan sietokykyyn ja kaupalliseen luottamukseen liittyvä kysymys.

Parhaimmassa asemassa reagoimaan menestyksekkäästi ovat todennäköisesti ne organisaatiot, jotka eivät enää pidä CRA:ta viime hetken vaatimustenmukaisuustoimenpiteenä, vaan käsittelevät sitä osana laajempaa siirtymistä kohti turvallisia toimintoja, vahvempaa resilienssiä ja suurempaa tuotevastuuta.

Viime kädessä CRA heijastaa nykyaikaisten yritysten laajempaa todellisuutta: kyberturvallisuus ei ole enää pelkästään IT-vastuu. Siitä on tulossa yhä enemmän keskeinen odotus tuotteen laadun, asiakkaiden luottamuksen ja markkinoillepääsyn suhteen.