# CRA:n raportointivelvoitteet selkeästi

**11. syyskuuta 2026** alkaen jokaisen EU:n markkinoilla olevan digitaalisia elementtejä sisältävän tuotteen valmistajan on ilmoitettava aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista poikkeamista - tunneissa, ei viikoissa.

Source: https://kernwatch.com/fi/cra-ilmoitusvelvollisuus · Päivitetty viimeksi: 2026-10-17

## Keskeiset tiedot

- Kyberkestävyysasetus (Cyber Resilience Act, CRA) on asetus (EU) 2024/2847; se tuli voimaan 10. joulukuuta 2024.
- Raportointivelvoitteita (14 artikla) sovelletaan 11. syyskuuta 2026 alkaen, myös jo markkinoilla oleviin tuotteisiin.
- Aktiivisesti hyödynnetty haavoittuvuus: varhainen varoitus 24 tunnin kuluessa, ilmoitus 72 tunnin kuluessa ja loppuraportti 14 päivän kuluessa siitä, kun korjaus on saatavilla.
- Vakava poikkeama: varhainen varoitus 24 tunnin kuluessa, ilmoitus 72 tunnin kuluessa ja loppuraportti kuukauden kuluessa.
- Ilmoitukset tehdään ENISAn yhteisen raportointialustan kautta koordinoivalle CSIRT-yksikölle ja ENISAlle.
- Kaikkia muita CRA-vaatimuksia sovelletaan 11. joulukuuta 2027 alkaen; sakot ovat jopa 15 milj. € tai 2,5 % maailmanlaajuisesta vuotuisesta liikevaihdosta.

## Mikä laukaisee ilmoitusvelvollisuuden

Kyberkestävyysasetuksen (asetus (EU) 2024/2847, Cyber Resilience Act) 14 artiklassa on kaksi laukaisevaa tekijää:

- **Aktiivisesti hyödynnetty haavoittuvuus** tuotteessasi - on luotettavaa näyttöä siitä, että joku on hyödyntänyt sitä.

- **Vakava poikkeama**, joka vaikuttaa tuotteesi turvallisuuteen - esimerkiksi sellainen, joka vaarantaa päivitysmekanismisi tai tuotteesi käsittelemien tietojen eheyden.

Velvoite koskee myös jo markkinoilla olevia tuotteita, ei vain uusia, eikä se riipu yrityksen koosta.

## Määräajat

|  | Aktiivisesti hyödynnetty haavoittuvuus | Vakava poikkeama |
|---|---|---|

| Varhainen varoitus | 24 tunnin kuluessa tiedon saamisesta | 24 tunnin kuluessa tiedon saamisesta |

| Ilmoitus | 72 tunnin kuluessa tiedon saamisesta | 72 tunnin kuluessa tiedon saamisesta |

| Loppuraportti | viimeistään 14 päivän kuluttua siitä, kun korjaava tai lieventävä toimenpide on saatavilla | kuukauden kuluessa ilmoituksesta |

Määräaika alkaa siitä, kun saat tiedon - siksi on tärkeää tietää, mitä jokaisessa toimittamassasi julkaisussa on.

## Kuka ilmoitukset vastaanottaa

Ilmoitukset tehdään EU:n kyberturvallisuusviraston ylläpitämän **ENISAn yhteisen raportointialustan** kautta. Ne menevät päätoimipaikkasi jäsenvaltiossa koordinaattoriksi nimetylle CSIRT-yksikölle sekä ENISAlle. Lisäksi sinun on tiedotettava **asianomaisille käyttäjille** haavoittuvuudesta tai poikkeamasta ja toimenpiteistä, joita he voivat tehdä.

## Mitä muuta CRA edellyttää

- Tietoturvapäivitykset tuotteen odotetun käyttöiän ajan - useimmiten vähintään viisi vuotta.

- Toimintaperiaatteet ja yhteyspiste koordinoitua haavoittuvuuksien julkistamista varten.

- Ohjelmistoluettelo (SBOM) ja jokaisen haavoittuvuuden dokumentoitu käsittely.

- Tekninen dokumentaatio ja EU-vaatimustenmukaisuusvakuutus, joita säilytetään kymmenen vuotta.

**11. joulukuuta 2027** alkaen kaikki vaatimukset ovat voimassa, eikä tuotteita ilman CRA-vaatimustenmukaisuutta voi enää saattaa EU:n markkinoille.

## Miten Kernwatch auttaa

- Merkitsee tukemissasi julkaisuissa komponentit, joissa on tunnettuja hyödynnettyjä haavoittuvuuksia, ja lisää tehtävälaatikkoosi tehtävän raportointitapauksen avaamisesta.

- Avaa tapauksen 24 tunnin, 72 tunnin ja loppuraportin määräaikoineen ja muistuttaa oikeita henkilöitä ajoissa.

- Luonnostelee varhaisen varoituksen, ilmoituksen ja loppuraportin tuote-, julkaisu- ja arviointitiedoistasi tarkistettavaksi ja hyväksyttäväksi.

- Auttaa lähettämisessä: kopioi hyväksytty teksti, avaa ENISAn alusta, lähetä raportti siellä ja kirjaa viite ja kuittaus Kernwatchiin. ENISAn alustalla ei ole rajapintaa valmistajille, joten Kernwatch ei voi lähettää raporttia puolestasi.

- Tunnistaa korjauksen: kun uudempi julkaisu ei enää sisällä haavoittuvaa versiota, se ehdottaa korjaavan toimenpiteen päivää, josta loppuraportin 14 päivän määräaika alkaa.

- Tiedottaa käyttäjille hyväksyntäsi jälkeen - sähköposti tuotteen asiakasyhteyshenkilöille ja Professional-paketissa julkaistu tietoturvatiedote - ja kirjaa, kenelle tiedotettiin ja milloin.

## Viralliset lähteet

- [Asetus (EU) 2024/2847 (kyberkestävyysasetus), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/2847/oj)
- [Cyber Resilience Act, Euroopan komissio](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act)
- [ENISA - Euroopan unionin kyberturvallisuusvirasto](https://www.enisa.europa.eu/)

Tämä sivu tiivistää asetuksen (EU) 2024/2847 suuntaa antavasti eikä ole oikeudellista neuvontaa.