# Täytä kyberkestävyysasetus ilman omaa tietoturvatiimiä.

Kernwatch pitää ohjelmistoluettelosi (SBOM) ajan tasalla, tarkistaa komponenttisi uusien haavoittuvuuksien varalta (maksullisissa paketeissa päivittäin, Free-paketissa viikoittain) ja ohjaa sinut 24 tunnin, 72 tunnin ja loppuraportin CRA-ilmoitusten läpi - jotta pienikin tuotekehitystiimi pysyy vaatimusten mukaisena.

Source: https://kernwatch.com/fi · Päivitetty viimeksi: 2026-10-17

## Määräajat ovat jo käynnissä

- **11.9.2026** - Raportointivelvoitteet voimassa: Aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista poikkeamista on ilmoitettava ENISAn yhteisen raportointialustan kautta.
- **11.12.2027** - Kaikki CRA-vaatimukset voimassa: Digitaalisia elementtejä sisältävät tuotteet tarvitsevat CRA-vaatimustenmukaisuuden ja CE-merkinnän, jotta ne voidaan saattaa EU:n markkinoille.
- **Jopa 15 milj. €** - tai 2,5 % maailmanlaajuisesta liikevaihdosta: Enimmäissakot olennaisten kyberturvallisuusvaatimusten ja valmistajan velvoitteiden rikkomisesta.

## Kyberkestävyysasetus (CRA) ja SBOM: lyhyet vastaukset

### Mikä on kyberkestävyysasetus (CRA), ja ketä se koskee?

Kyberkestävyysasetus (Cyber Resilience Act, CRA) on asetus (EU) 2024/2847, EU:n säädös digitaalisia elementtejä sisältävien tuotteiden kyberturvallisuusvaatimuksista. Se koskee EU:n markkinoille saatettavia ohjelmistoja sisältäviä laitteita ja ohjelmistotuotteita, ja sen velvoitteet kohdistuvat ennen kaikkea valmistajiin niiden koosta riippumatta. Alat, joilla on omat sääntönsä, kuten lääkinnälliset laitteet, moottoriajoneuvot ja siviili-ilmailu, on rajattu ulkopuolelle, ja pelkkä ohjelmistopalvelu (SaaS) ilman tuotetta jää yleensä sen ulkopuolelle. Asetus tuli voimaan 10. joulukuuta 2024.

[CRA:n raportointivelvoitteet tarkemmin](https://kernwatch.com/fi/cra-ilmoitusvelvollisuus)

Lähde: [Asetus (EU) 2024/2847, EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/2847/oj), [Cyber Resilience Act, Euroopan komissio](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act)

### Mitä CRA:n ilmoitusvelvollisuus edellyttää?

Valmistajien on 11. syyskuuta 2026 alkaen ilmoitettava jokaisesta tuotteensa aktiivisesti hyödynnetystä haavoittuvuudesta ja jokaisesta sen turvallisuuteen vaikuttavasta vakavasta poikkeamasta - myös jo markkinoilla olevien tuotteiden osalta. Varhainen varoitus on tehtävä 24 tunnin kuluessa siitä, kun asia tuli tietoon, ilmoitus 72 tunnin kuluessa ja loppuraportti viimeistään 14 päivän kuluttua korjauksen saatavuudesta (haavoittuvuudet) tai kuukauden kuluessa ilmoituksesta (poikkeamat). Ilmoitukset tehdään ENISAn yhteisen raportointialustan kautta koordinoivalle CSIRT-yksikölle ja ENISAlle; alustalla ei ole rajapintaa valmistajille, joten jokainen ilmoitus lähetetään käsin selaimessa.

[CRA-raportointi: laukaisijat, määräajat, vastaanottajat](https://kernwatch.com/fi/cra-ilmoitusvelvollisuus) · [CRA-raportointityönkulku](https://kernwatch.com/fi/opetusvideot#cra-reporting)

Lähde: [Asetus (EU) 2024/2847, 14 artikla, EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/2847/oj), [ENISA](https://www.enisa.europa.eu/)

### Miten SBOM luodaan?

Luo ohjelmistoluettelo (SBOM) automaattisesti käännösputkessa sen sijaan, että kirjoittaisit sen käsin. Käytä jompaakumpaa kahdesta yleisestä koneluettavasta muodosta, CycloneDX:ää tai SPDX:ää, ja luo yksi SBOM jokaista julkaistua versiota kohden. Useimpiin ympäristöihin on valmiit generaattorit, esimerkiksi Syft tai cdxgen konteille ja tiedostojärjestelmille, CycloneDX-liitännäiset Mavenille, Gradlelle ja npm:lle sekä Yocto Projectin SPDX-tuloste sulautetulle Linuxille.

1. **Valitse muoto.** CycloneDX tai SPDX - molemmat ovat koneluettavia.
2. **Luo SBOM CI:ssä.** Aja ympäristösi SBOM-generaattori jokaisessa julkaisukäännöksessä.
3. **Säilytä yksi SBOM julkaisua kohden.** Tallenna se julkaisun yhteyteen osana teknistä dokumentaatiota.
4. **Tarkista se haavoittuvuustietoja vasten.** Kernwatch tarkistaa pakettitunnisteelliset (purl) komponentit maksullisissa paketeissa päivittäin, Free-paketissa viikoittain.

[SBOM ja CRA](https://kernwatch.com/fi/sbom-vaatimukset) · [Tuotteet, julkaisut ja SBOMit](https://kernwatch.com/fi/opetusvideot#products-and-sboms) · [SBOMien lataus CI:stä API-avaimella](https://kernwatch.com/fi/opetusvideot#ci-upload-api-keys)

Lähde: [CycloneDX](https://cyclonedx.org/), [SPDX](https://spdx.dev/)

### Milloin SBOM on pakollinen CRA:n mukaan?

SBOM kuuluu CRA:n vaatimuksiin, joita sovelletaan 11. joulukuuta 2027 alkaen: siitä lähtien digitaalisia elementtejä sisältävät tuotteet tarvitsevat CRA-vaatimustenmukaisuuden ja CE-merkinnän, jotta ne voidaan saattaa EU:n markkinoille. Liite I edellyttää SBOMia yleisesti käytetyssä, koneluettavassa muodossa, joka kattaa vähintään ylimmän tason riippuvuudet. Se on osa teknistä dokumentaatiota - sitä ei tarvitse julkaista, mutta markkinavalvontaviranomaiset voivat pyytää sen. Koska raportointivelvoite alkoi 11. syyskuuta 2026, ajantasainen SBOM on myös nopein tapa selvittää, koskeeko hyödynnetty haavoittuvuus tuotteitasi.

[Mitä CRA vaatii SBOMilta](https://kernwatch.com/fi/sbom-vaatimukset)

Lähde: [Asetus (EU) 2024/2847, liite I, EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/2847/oj)

### Mitä CRA-haavoittuvuusilmoitusten työkalu tekee?

Se muuttaa seurannan tulokset ja määräajat tehtäviksi. Kernwatchissa aktiivisesti hyödynnettyjen haavoittuvuuksien listalla oleva löydös muuttuu tehtävälaatikon tehtäväksi avata raportointitapaus, jonka määräaika on 24 tuntia tiedon saamisesta, ja varhainen varoitus, ilmoitus ja loppuraportti luonnostellaan tuote-, julkaisu- ja arviointitiedoistasi hyväksyttäväksesi. Lähetät ilmoituksen itse ENISAn alustalla ja kirjaat viitteen; kun uudempi julkaisu ei enää sisällä haavoittuvaa versiota, Kernwatch ehdottaa korjauspäivää, josta loppuraportin 14 päivän määräaika alkaa. Tehtäviä syntyy kaikissa paketeissa; raportointitapausten ja raporttien hyväksyminen edellyttää Starter-pakettia tai ylempää.

[Paketit ja hinnat](https://kernwatch.com/fi/hinnat) · [Tehtävälaatikko](https://kernwatch.com/fi/opetusvideot#action-inbox)

## Näin Kernwatch toimii

1. **Rekisteröi tuotteet ja julkaisut** - Jokainen toimittamasi versio tukijaksoineen - CRA edellyttää useimmiten tietoturvapäivityksiä vähintään viiden vuoden ajan.
2. **Lataa SBOMit** - CycloneDX tai SPDX, ladattuna käsin tai lähetettynä CI-putkesta jokaisen julkaisun yhteydessä.
3. **Saat hälytykset** - Jokainen pakettitunnisteellinen (purl) komponentti tarkistetaan OSV:tä, CISA:n tunnettujen hyödynnettyjen haavoittuvuuksien luetteloa ja EU:n haavoittuvuustietokantaa vasten: maksullisissa paketeissa päivittäin, Free-paketissa viikoittain.
4. **Arvioi ja raportoi** - Kirjaa jokainen päätös (VEX). Kun ilmoitus on tehtävä, Kernwatch käynnistää määräajan, esitäyttää raportit ja kerää hyväksynnät ja todisteet.

## CRA-tehtävälistasi täyttyy itsestään

Kernwatch muuttaa seurannan tulokset, raportoinnin määräajat ja uudet julkaisut tehtävälaatikoksi. Jokaisessa tehtävässä on valmis ehdotus ja sen peruste: tarkistat sen ja hyväksyt yhdellä napsautuksella. Mitään ei lähetetä viranomaiselle tai käyttäjillesi ilman hyväksyntääsi.

- **Arviointiehdotukset perusteluineen** - Uudet löydökset saapuvat ehdotetun päätöksen ja sen perusteen kanssa: ei altis, kun SBOM kertoo, ettei komponenttia toimiteta tuotteessa (nämä voi hyväksyä kerralla), altis, kun haavoittuvuutta hyödynnetään aktiivisesti tai korjattu versio tunnetaan, muuten selvityksessä.
- **Raportointitapaus, kun hyödyntäminen tiedetään** - Aktiivisesti hyödynnettyjen haavoittuvuuksien listalla oleva löydös muuttuu tehtäväksi avata CRA-raportointitapaus, ja sen määräaika on 24 tuntia siitä, kun sait asiasta tiedon.
- **Raportit valmiina hyväksyttäväksi** - Varhainen varoitus, ilmoitus ja loppuraportti luonnostellaan tietojesi pohjalta. Tarkistat ne, muokkaat tarvittaessa ja hyväksyt ennen määräaikaa.
- **ENISA-lähetysapu** - Hyväksynnän jälkeen kopioit tekstin, avaat ENISAn raportointialustan, lähetät raportin siellä ja kirjaat saamasi viitteen Kernwatchiin.
- **Korjauksen tunnistus käynnistää loppuraportin kellon** - Kun uudemman julkaisun SBOM ei enää sisällä haavoittuvaa versiota, Kernwatch ehdottaa julkaisupäivää korjaavan toimenpiteen päiväksi. Hyväksyntä käynnistää loppuraportin 14 päivän määräajan.
- **Käyttäjille tiedotetaan hyväksyntäsi jälkeen** - Yksi hyväksyntä lähettää tiedotteen sähköpostilla tuotteen asiakasyhteyshenkilöille ja kirjaa sen. Professional-paketissa se myös julkaisee valmistelemasi tietoturvatiedotteen.
- **Ylläpitomuistutukset** - Julkaisut ilman SBOMia ja tukijaksot, jotka päättyvät 30 päivän kuluessa - Professional-paketissa myös vaatimustenmukaisuusvakuutus, joka on uusinta julkaisuasi vanhempi.
- **Päivittäinen kooste** - Jokainen jäsen saa kerran päivässä sähköpostin tehtävistä, jotka odottavat häntä.

Kernwatch ei voi lähettää raportteja puolestasi: ENISAn yhteisellä raportointialustalla ei ole rajapintaa (API) valmistajille. Kernwatch valmistelee kaiken lähetyspainikkeeseen asti - lähetät raportin selaimessasi ja kirjaat viitteen.

Tehtäviä syntyy kaikissa paketeissa; arviointien, raportointitapausten, raporttien ja käyttäjätiedotteiden hyväksyminen edellyttää Starter-pakettia tai ylempää. Julkaistut tietoturvatiedotteet ja julkisen ilmoitussivusi kautta tulevat haavoittuvuusilmoitukset kuuluvat Professional-pakettiin.

## Kaikki, mitä CRA edellyttää haavoittuvuuksien käsittelyltäsi

- **Tuote- ja julkaisurekisteri** - Tuotteet, versiot ja tukijaksot - CRA-dokumentaatiosi selkäranka.
- **SBOM-hallinta** - Tuo CycloneDX- ja SPDX-tiedostot, vertaa julkaisuja, näe ylimmän tason ja transitiiviset riippuvuudet ja vie tiedot pyydettäessä.
- **Haavoittuvuusseuranta** - Uudet tiedotteet yhdistetään pakettitunnisteellisiin (purl) komponentteihisi maksullisissa paketeissa päivittäin, Free-paketissa viikoittain - vakavuus, hyödyntämisen todennäköisyys ja merkintä tunnetusta hyödyntämisestä mukana.
- **VEX-arviointi** - Altis, ei altis (perusteluineen) tai korjattu versiossa - päätökset, jotka kestävät, kun viranomainen tai asiakas kysyy.
- **CRA-raportointityönkulku** - 24 h varhainen varoitus, 72 h ilmoitus ja loppuraportti muistutuksineen, esitäytettyine teksteineen, hyväksyntöineen ja lähetystodisteineen.
- **Julkistaminen ja dokumentaatio** - Haavoittuvuuksien ilmoituskanava, security.txt, julkaistut tietoturvatiedotteet ja tekninen dokumentaatiosi yhdessä paikassa.
- **Tehtävälaatikko** - Tehtävät syntyvät itsestään: arviointiehdotukset perusteluineen, hyväksyttäviksi valmistellut raportit, ENISA-lähetysapu, korjauksen tunnistus ja käyttäjätiedotteet - kukin hyväksytään yhdellä napsautuksella.

## Miksei pelkkä ilmainen skanneri riitä?

Avoimen lähdekoodin skannerit löytävät haavoittuvuuksia - ja niitä kannattaa käyttää. CRA vaatii kuitenkin enemmän: dokumentoidun päätöksen jokaisesta löydöksestä, ilmoitukset tuntien kuluessa, tiedot käyttäjillesi ja dokumentaation, jota säilytetään vuosia. Kernwatch on juuri tämä työnkulku valmiina ensimmäisestä päivästä alkaen - ilman, että sinun tarvitsee rakentaa ja ylläpitää omia työkaluja.

## Tehty pienille ja keskisuurille valmistajille

20-250 hengen tiimeille, jotka toimittavat ohjelmistoja sisältäviä tuotteita EU:hun ja joilla ei ole omaa tuoteturvallisuustiimiä:

- Kone- ja automaatioteollisuus
- Elektroniikka ja IoT-laitteet
- Teolliset ohjaimet ja yhdyskäytävät
- Sulautetut, työpöytä- ja asennettavat ohjelmistot

## Usein kysyttyä

### Lähettääkö Kernwatch raportit ENISAlle puolestani?

Ei. ENISAn yhteisellä raportointialustalla ei ole rajapintaa valmistajille, joten lähetät jokaisen raportin itse selaimessa. Kernwatch valmistelee kaiken siihen asti: se luonnostelee varhaisen varoituksen, ilmoituksen ja loppuraportin, kerää hyväksyntäsi, antaa kopioida tekstin ja avata alustan sekä säilyttää kirjaamasi viitteen todisteena.

### Milloin pääsemme aloittamaan?

Luo tili [rekisteröitymissivulla](/fi/rekisteroidy) - ilmainen paketti ei vaadi luottokorttia. Jos rekisteröityminen on tauolla, sama sivu lisää sinut jonotuslistalle ja olemme yhteydessä kaikkiin järjestyksessä.

### Missä tietojamme säilytetään?

Kernwatchia ylläpidetään Euroopan unionissa. Kunkin yrityksen tiedot ovat sen omassa työtilassa, ja ne erotetaan muiden asiakkaiden tiedoista jokaisessa kyselyssä tehtävällä käyttöoikeustarkistuksella.

### Onko Kernwatch oikeudellista neuvontaa?

Ei. Kernwatch on ohjelmisto, joka järjestää haavoittuvuuksien käsittelysi ja raportointisi. Velvoitteesi riippuvat tuotteistasi, ja ne kannattaa varmistaa neuvonantajasi kanssa.