KernwatchVarhaiskäyttö

EU:n kyberkestävyysasetus (CRA)

Täytä kyberkestävyysasetus ilman omaa tietoturvatiimiä.

Kernwatch pitää ohjelmistoluettelosi (SBOM) ajan tasalla, tarkistaa komponenttisi uusien haavoittuvuuksien varalta (maksullisissa paketeissa päivittäin, Free-paketissa viikoittain) ja ohjaa sinut 24 tunnin, 72 tunnin ja loppuraportin CRA-ilmoitusten läpi - jotta pienikin tuotekehitystiimi pysyy vaatimusten mukaisena.

Aloita ilmaiseksi → Tarkista, koskeeko CRA sinua

Ilmainen 1 tuotteelle · Ei luottokorttia

Ohjelmistoja sisältävän laitteiston, sulautettujen laitteiden ja ohjelmistotuotteiden valmistajille, jotka myyvät EU:ssa.

Rakennettu avoimille standardeille
  • CycloneDX
  • SPDX
  • OSV
  • CSAF
  • VEX
  • Ylläpito EU:ssa

Määräajat ovat jo käynnissä

  1. 11.9.2026

    Raportointivelvoitteet voimassa

    Aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista poikkeamista on ilmoitettava ENISAn yhteisen raportointialustan kautta.

    36 päivää CRA-raportoinnin alkamisesta

  2. 11.12.2027

    Kaikki CRA-vaatimukset voimassa

    Digitaalisia elementtejä sisältävät tuotteet tarvitsevat CRA-vaatimustenmukaisuuden ja CE-merkinnän, jotta ne voidaan saattaa EU:n markkinoille.

    420 päivää siihen, kun kaikki CRA-vaatimukset ovat voimassa

  3. Jopa 15 milj. €

    tai 2,5 % maailmanlaajuisesta liikevaihdosta

    Enimmäissakot olennaisten kyberturvallisuusvaatimusten ja valmistajan velvoitteiden rikkomisesta.

Kyberkestävyysasetus (CRA) ja SBOM: lyhyet vastaukset

Valmistajien yleisimmät kysymykset CRA:sta - kuhunkin vastaus muutamalla lauseella ja virallinen lähde.

Mikä on kyberkestävyysasetus (CRA), ja ketä se koskee?

Kyberkestävyysasetus (Cyber Resilience Act, CRA) on asetus (EU) 2024/2847, EU:n säädös digitaalisia elementtejä sisältävien tuotteiden kyberturvallisuusvaatimuksista. Se koskee EU:n markkinoille saatettavia ohjelmistoja sisältäviä laitteita ja ohjelmistotuotteita, ja sen velvoitteet kohdistuvat ennen kaikkea valmistajiin niiden koosta riippumatta. Alat, joilla on omat sääntönsä, kuten lääkinnälliset laitteet, moottoriajoneuvot ja siviili-ilmailu, on rajattu ulkopuolelle, ja pelkkä ohjelmistopalvelu (SaaS) ilman tuotetta jää yleensä sen ulkopuolelle. Asetus tuli voimaan 10. joulukuuta 2024.

CRA:n raportointivelvoitteet tarkemmin →

Lähde: Asetus (EU) 2024/2847, EUR-Lex, Cyber Resilience Act, Euroopan komissio

Mitä CRA:n ilmoitusvelvollisuus edellyttää?

Valmistajien on 11. syyskuuta 2026 alkaen ilmoitettava jokaisesta tuotteensa aktiivisesti hyödynnetystä haavoittuvuudesta ja jokaisesta sen turvallisuuteen vaikuttavasta vakavasta poikkeamasta - myös jo markkinoilla olevien tuotteiden osalta. Varhainen varoitus on tehtävä 24 tunnin kuluessa siitä, kun asia tuli tietoon, ilmoitus 72 tunnin kuluessa ja loppuraportti viimeistään 14 päivän kuluttua korjauksen saatavuudesta (haavoittuvuudet) tai kuukauden kuluessa ilmoituksesta (poikkeamat). Ilmoitukset tehdään ENISAn yhteisen raportointialustan kautta koordinoivalle CSIRT-yksikölle ja ENISAlle; alustalla ei ole rajapintaa valmistajille, joten jokainen ilmoitus lähetetään käsin selaimessa.

CRA-raportointi: laukaisijat, määräajat, vastaanottajat → Katso video: CRA-raportointityönkulku (4 min)

Lähde: Asetus (EU) 2024/2847, 14 artikla, EUR-Lex, ENISA

Miten SBOM luodaan?

Luo ohjelmistoluettelo (SBOM) automaattisesti käännösputkessa sen sijaan, että kirjoittaisit sen käsin. Käytä jompaakumpaa kahdesta yleisestä koneluettavasta muodosta, CycloneDX:ää tai SPDX:ää, ja luo yksi SBOM jokaista julkaistua versiota kohden. Useimpiin ympäristöihin on valmiit generaattorit, esimerkiksi Syft tai cdxgen konteille ja tiedostojärjestelmille, CycloneDX-liitännäiset Mavenille, Gradlelle ja npm:lle sekä Yocto Projectin SPDX-tuloste sulautetulle Linuxille.

  1. Valitse muoto. CycloneDX tai SPDX - molemmat ovat koneluettavia.
  2. Luo SBOM CI:ssä. Aja ympäristösi SBOM-generaattori jokaisessa julkaisukäännöksessä.
  3. Säilytä yksi SBOM julkaisua kohden. Tallenna se julkaisun yhteyteen osana teknistä dokumentaatiota.
  4. Tarkista se haavoittuvuustietoja vasten. Kernwatch tarkistaa pakettitunnisteelliset (purl) komponentit maksullisissa paketeissa päivittäin, Free-paketissa viikoittain.

SBOM ja CRA → Katso video: Tuotteet, julkaisut ja SBOMit (4 min) Katso video: SBOMien lataus CI:stä API-avaimella (2 min)

Lähde: CycloneDX, SPDX

Milloin SBOM on pakollinen CRA:n mukaan?

SBOM kuuluu CRA:n vaatimuksiin, joita sovelletaan 11. joulukuuta 2027 alkaen: siitä lähtien digitaalisia elementtejä sisältävät tuotteet tarvitsevat CRA-vaatimustenmukaisuuden ja CE-merkinnän, jotta ne voidaan saattaa EU:n markkinoille. Liite I edellyttää SBOMia yleisesti käytetyssä, koneluettavassa muodossa, joka kattaa vähintään ylimmän tason riippuvuudet. Se on osa teknistä dokumentaatiota - sitä ei tarvitse julkaista, mutta markkinavalvontaviranomaiset voivat pyytää sen. Koska raportointivelvoite alkoi 11. syyskuuta 2026, ajantasainen SBOM on myös nopein tapa selvittää, koskeeko hyödynnetty haavoittuvuus tuotteitasi.

Mitä CRA vaatii SBOMilta →

Lähde: Asetus (EU) 2024/2847, liite I, EUR-Lex

Mitä CRA-haavoittuvuusilmoitusten työkalu tekee?

Se muuttaa seurannan tulokset ja määräajat tehtäviksi. Kernwatchissa aktiivisesti hyödynnettyjen haavoittuvuuksien listalla oleva löydös muuttuu tehtävälaatikon tehtäväksi avata raportointitapaus, jonka määräaika on 24 tuntia tiedon saamisesta, ja varhainen varoitus, ilmoitus ja loppuraportti luonnostellaan tuote-, julkaisu- ja arviointitiedoistasi hyväksyttäväksesi. Lähetät ilmoituksen itse ENISAn alustalla ja kirjaat viitteen; kun uudempi julkaisu ei enää sisällä haavoittuvaa versiota, Kernwatch ehdottaa korjauspäivää, josta loppuraportin 14 päivän määräaika alkaa. Tehtäviä syntyy kaikissa paketeissa; raportointitapausten ja raporttien hyväksyminen edellyttää Starter-pakettia tai ylempää.

Paketit ja hinnat → Katso video: Tehtävälaatikko (6 min)

Koskeeko CRA tuotettasi? Tarkista 4 klikkauksella

Neljä nopeaa kysymystä. Saat tuloksen heti - ilman sähköpostiosoitetta.

  1. Myytkö EU:ssa laitteistoa, jossa on ohjelmisto tai laiteohjelmisto, tai ohjelmistotuotteita?
  2. Voiko tuotteesi muodostaa yhteyden verkkoon, tietokoneeseen tai toiseen laitteeseen - myös USB:n, Bluetoothin tai kenttäväylän kautta?
  3. Onko sinulla ajantasainen luettelo ohjelmistokomponenteista (SBOM) jokaisesta versiosta, jota vielä tuet?
  4. Jos tuotteesi haavoittuvuutta hyödynnettäisiin aktiivisesti tänä yönä, pystyisitkö lähettämään varhaisen varoituksen ENISAlle 24 tunnin kuluessa?

Nopea suuntaa antava arvio, ei oikeudellista neuvontaa.

Näin Kernwatch toimii

  1. 1

    Rekisteröi tuotteet ja julkaisut

    Jokainen toimittamasi versio tukijaksoineen - CRA edellyttää useimmiten tietoturvapäivityksiä vähintään viiden vuoden ajan.

  2. 2

    Lataa SBOMit

    CycloneDX tai SPDX, ladattuna käsin tai lähetettynä CI-putkesta jokaisen julkaisun yhteydessä.

  3. 3

    Saat hälytykset

    Jokainen pakettitunnisteellinen (purl) komponentti tarkistetaan OSV:tä, CISA:n tunnettujen hyödynnettyjen haavoittuvuuksien luetteloa ja EU:n haavoittuvuustietokantaa vasten: maksullisissa paketeissa päivittäin, Free-paketissa viikoittain.

  4. 4

    Arvioi ja raportoi

    Kirjaa jokainen päätös (VEX). Kun ilmoitus on tehtävä, Kernwatch käynnistää määräajan, esitäyttää raportit ja kerää hyväksynnät ja todisteet.

CRA-tehtävälistasi täyttyy itsestään

Kernwatch muuttaa seurannan tulokset, raportoinnin määräajat ja uudet julkaisut tehtävälaatikoksi. Jokaisessa tehtävässä on valmis ehdotus ja sen peruste: tarkistat sen ja hyväksyt yhdellä napsautuksella. Mitään ei lähetetä viranomaiselle tai käyttäjillesi ilman hyväksyntääsi.

  • Arviointiehdotukset perusteluineen

    Uudet löydökset saapuvat ehdotetun päätöksen ja sen perusteen kanssa: ei altis, kun SBOM kertoo, ettei komponenttia toimiteta tuotteessa (nämä voi hyväksyä kerralla), altis, kun haavoittuvuutta hyödynnetään aktiivisesti tai korjattu versio tunnetaan, muuten selvityksessä.

  • Raportointitapaus, kun hyödyntäminen tiedetään

    Aktiivisesti hyödynnettyjen haavoittuvuuksien listalla oleva löydös muuttuu tehtäväksi avata CRA-raportointitapaus, ja sen määräaika on 24 tuntia siitä, kun sait asiasta tiedon.

  • Raportit valmiina hyväksyttäväksi

    Varhainen varoitus, ilmoitus ja loppuraportti luonnostellaan tietojesi pohjalta. Tarkistat ne, muokkaat tarvittaessa ja hyväksyt ennen määräaikaa.

  • ENISA-lähetysapu

    Hyväksynnän jälkeen kopioit tekstin, avaat ENISAn raportointialustan, lähetät raportin siellä ja kirjaat saamasi viitteen Kernwatchiin.

  • Korjauksen tunnistus käynnistää loppuraportin kellon

    Kun uudemman julkaisun SBOM ei enää sisällä haavoittuvaa versiota, Kernwatch ehdottaa julkaisupäivää korjaavan toimenpiteen päiväksi. Hyväksyntä käynnistää loppuraportin 14 päivän määräajan.

  • Käyttäjille tiedotetaan hyväksyntäsi jälkeen

    Yksi hyväksyntä lähettää tiedotteen sähköpostilla tuotteen asiakasyhteyshenkilöille ja kirjaa sen. Professional-paketissa se myös julkaisee valmistelemasi tietoturvatiedotteen.

  • Ylläpitomuistutukset

    Julkaisut ilman SBOMia ja tukijaksot, jotka päättyvät 30 päivän kuluessa - Professional-paketissa myös vaatimustenmukaisuusvakuutus, joka on uusinta julkaisuasi vanhempi.

  • Päivittäinen kooste

    Jokainen jäsen saa kerran päivässä sähköpostin tehtävistä, jotka odottavat häntä.

Kernwatch ei voi lähettää raportteja puolestasi: ENISAn yhteisellä raportointialustalla ei ole rajapintaa (API) valmistajille. Kernwatch valmistelee kaiken lähetyspainikkeeseen asti - lähetät raportin selaimessasi ja kirjaat viitteen.

Tehtäviä syntyy kaikissa paketeissa; arviointien, raportointitapausten, raporttien ja käyttäjätiedotteiden hyväksyminen edellyttää Starter-pakettia tai ylempää. Julkaistut tietoturvatiedotteet ja julkisen ilmoitussivusi kautta tulevat haavoittuvuusilmoitukset kuuluvat Professional-pakettiin.

Katso video: Tehtävälaatikko (6 min)

Kaikki, mitä CRA edellyttää haavoittuvuuksien käsittelyltäsi

Tuote- ja julkaisurekisteri

Tuotteet, versiot ja tukijaksot - CRA-dokumentaatiosi selkäranka.

Katso video: Tuotteet, julkaisut ja SBOMit (4 min)

SBOM-hallinta

Tuo CycloneDX- ja SPDX-tiedostot, vertaa julkaisuja, näe ylimmän tason ja transitiiviset riippuvuudet ja vie tiedot pyydettäessä.

Katso video: Arviointi, julkaisujen vertailu ja SBOM-vienti (3 min)

Haavoittuvuusseuranta

Uudet tiedotteet yhdistetään pakettitunnisteellisiin (purl) komponentteihisi maksullisissa paketeissa päivittäin, Free-paketissa viikoittain - vakavuus, hyödyntämisen todennäköisyys ja merkintä tunnetusta hyödyntämisestä mukana.

Katso video: Haavoittuvuusseuranta ja kojelauta (3 min)

VEX-arviointi

Altis, ei altis (perusteluineen) tai korjattu versiossa - päätökset, jotka kestävät, kun viranomainen tai asiakas kysyy.

Katso video: Arviointi, julkaisujen vertailu ja SBOM-vienti (3 min)

CRA-raportointityönkulku

24 h varhainen varoitus, 72 h ilmoitus ja loppuraportti muistutuksineen, esitäytettyine teksteineen, hyväksyntöineen ja lähetystodisteineen.

Katso video: CRA-raportointityönkulku (4 min)

Julkistaminen ja dokumentaatio

Haavoittuvuuksien ilmoituskanava, security.txt, julkaistut tietoturvatiedotteet ja tekninen dokumentaatiosi yhdessä paikassa.

Katso video: Haavoittuvuusilmoitukset, tietoturvatiedotteet ja tekninen dokumentaatio (4 min)

Tehtävälaatikko

Tehtävät syntyvät itsestään: arviointiehdotukset perusteluineen, hyväksyttäviksi valmistellut raportit, ENISA-lähetysapu, korjauksen tunnistus ja käyttäjätiedotteet - kukin hyväksytään yhdellä napsautuksella.

Katso video: Tehtävälaatikko (6 min)

Miksei pelkkä ilmainen skanneri riitä?

Avoimen lähdekoodin skannerit löytävät haavoittuvuuksia - ja niitä kannattaa käyttää. CRA vaatii kuitenkin enemmän: dokumentoidun päätöksen jokaisesta löydöksestä, ilmoitukset tuntien kuluessa, tiedot käyttäjillesi ja dokumentaation, jota säilytetään vuosia. Kernwatch on juuri tämä työnkulku valmiina ensimmäisestä päivästä alkaen - ilman, että sinun tarvitsee rakentaa ja ylläpitää omia työkaluja.

Tehty pienille ja keskisuurille valmistajille

20-250 hengen tiimeille, jotka toimittavat ohjelmistoja sisältäviä tuotteita EU:hun ja joilla ei ole omaa tuoteturvallisuustiimiä:

  • Kone- ja automaatioteollisuus
  • Elektroniikka ja IoT-laitteet
  • Teolliset ohjaimet ja yhdyskäytävät
  • Sulautetut, työpöytä- ja asennettavat ohjelmistot

Usein kysyttyä

Lähettääkö Kernwatch raportit ENISAlle puolestani?

Ei. ENISAn yhteisellä raportointialustalla ei ole rajapintaa valmistajille, joten lähetät jokaisen raportin itse selaimessa. Kernwatch valmistelee kaiken siihen asti: se luonnostelee varhaisen varoituksen, ilmoituksen ja loppuraportin, kerää hyväksyntäsi, antaa kopioida tekstin ja avata alustan sekä säilyttää kirjaamasi viitteen todisteena.

Milloin pääsemme aloittamaan?

Luo tili rekisteröitymissivulla - ilmainen paketti ei vaadi luottokorttia. Jos rekisteröityminen on tauolla, sama sivu lisää sinut jonotuslistalle ja olemme yhteydessä kaikkiin järjestyksessä.

Missä tietojamme säilytetään?

Kernwatchia ylläpidetään Euroopan unionissa. Kunkin yrityksen tiedot ovat sen omassa työtilassa, ja ne erotetaan muiden asiakkaiden tiedoista jokaisessa kyselyssä tehtävällä käyttöoikeustarkistuksella.

Onko Kernwatch oikeudellista neuvontaa?

Ei. Kernwatch on ohjelmisto, joka järjestää haavoittuvuuksien käsittelysi ja raportointisi. Velvoitteesi riippuvat tuotteistasi, ja ne kannattaa varmistaa neuvonantajasi kanssa.

Varaa ilmainen Kernwatch-tilisi

The free plan covers one product and needs no credit card. Paid plans add more products, users and the full reporting workflow - upgrade whenever you need it.

  • Ilmainen 1 tuotteelle
  • Ei luottokorttia

36 päivää CRA-raportoinnin alkamisesta · 420 päivää siihen, kun kaikki CRA-vaatimukset ovat voimassa

Free plan · 1 product · no credit card

Aloita ilmaiseksi →

Ilmainen 1 tuotteelle · Ei luottokorttia