Kyberkestävyyssäädös hoidossa.
Jos saatat digitaalisia elementtejä sisältävän tuotteen EU:n markkinoille, CRA koskee sinua. Reglyze arvioi vaatimustenmukaisuutesi selkeällä kielellä ja luo liitteen VII mukaiset tekniset asiakirjat sekä EU-vaatimustenmukaisuusvakuutuksen: useimpien tuotteiden vaatimustenmukaisuuden valmistaja voi arvioida itse moduulin A mukaisesti.
Katso, miten se toimii: tuotteesta allekirjoitettuun vakuutukseen
Kahden minuutin esittely: rajaa tuote, tee itsearviointi selkeällä kielellä ja luo liitteen VII mukaiset tekniset asiakirjat sekä EU-vaatimustenmukaisuusvakuutus.
Kysymyksestä ”koskeeko tämä minua?” allekirjoitettuun vakuutukseen
1 · Rajaa ja luokittele
Neljä kysymystä kertoo, koskeeko CRA sinua, mihin liitteen III/IV luokkaan tuotteesi kuuluu ja mikä vaatimustenmukaisuuden arviointimenettely sinulle soveltuu. Maksuton, tiliä ei tarvita.
2 · Arvioi itse
Vastaa noin 20 selkeään kysymykseen tuotteestasi. Avustaja ehdottaa kypsyystasoa 0–3 jokaiselle olennaiselle vaatimukselle (liite I) IEC 62443 -standardin pohjalta.
3 · Luo asiakirja-aineisto
Liitteen VII mukaiset tekniset asiakirjat ja EU-vaatimustenmukaisuusvakuutuksesi koottuna vastaustesi perusteella, ohjelmistojen materiaaliluettelo (SBOM) huomioiden, omalla kielelläsi.
Mitä saat
- Liitteen VII mukaiset tekniset asiakirjat
- EU-vaatimustenmukaisuusvakuutus (saatavilla vasta, kun jokainen vaatimus täyttyy)
- Liitteen I puuteraportti ja avoimet kohdat, jotka on vielä hoidettava
- SBOM-tuonti (CycloneDX / SPDX), joka luetellaan teknisissä asiakirjoissa
Perusta: IEC 62443-4-1 (turvallinen kehitys) ja 62443-4-2 (komponenttivaatimukset). CRA:n teksti on julkista EU-oikeutta; IEC-viittaukset on esitetty omin sanoin, ei koskaan sanatarkasti.
Hinnoittelu
CRA hinnoitellaan erikseen NIS2-alustasta.
Kyberkestävyyssäädös: usein kysyttyä
Koskeeko EU:n kyberkestävyyssäädös (CRA) tuotettani?
CRA koskee kaikkia EU:n markkinoilla saataville asetettuja digitaalisia elementtejä sisältäviä tuotteita: laitteistoa, jossa on ohjelmisto tai laiteohjelmisto, sekä itsenäisiä ohjelmistoja. Jos saatat EU:n markkinoille verkkoon kytketyn laitteen, IoT-tuotteen tai asennettavan ohjelmiston, kuulut soveltamisalaan. Reglyzen maksuton soveltamisalan tarkistus vahvistaa sen neljällä kysymyksellä.
Milloin kyberkestävyyssäädöstä aletaan soveltaa?
Kaksi päivämäärää on tärkeitä: haavoittuvuuksia ja poikkeamia koskevia raportointivelvoitteita sovelletaan 11. syyskuuta 2026 alkaen, ja täysi vaatimustenmukaisuus CE-merkintä mukaan lukien vaaditaan 11. joulukuuta 2027 alkaen. CRA on asetus (EU) 2024/2847.
Mitä on CRA:n mukainen moduulin A itsearviointi?
Moduuli A on vaatimustenmukaisuuden arviointimenettely (sisäiseen valvontaan perustuva menettely), jossa valmistaja arvioi itse tuotteen olennaisia vaatimuksia vasten ja antaa itse EU-vaatimustenmukaisuusvakuutuksen ilman ilmoitetun laitoksen osallistumista. Noin 90 % tuotteista kuuluu niin sanottuun oletusluokkaan, jossa moduulia A voidaan käyttää.
Tarvitsenko CRA:n vuoksi ilmoitetun laitoksen?
Vain luokan II ”tärkeille” ja ”kriittisille” tuotteille (CRA:n liitteen III luokka II ja liite IV). Oletusluokan tuotteiden ja useimpien luokan I ”tärkeiden” tuotteiden vaatimustenmukaisuuden valmistaja voi arvioida itse moduulin A mukaisesti, erityisesti kun sovelletaan yhdenmukaistettuja standardeja.
Mitä ovat liitteen VII mukaiset tekniset asiakirjat?
Liitteessä VII luetellaan tekniset asiakirjat, jotka valmistajan on laadittava ja pidettävä markkinavalvontaviranomaisten saatavilla: tuotteen kuvaus, riskinarviointi, näyttö olennaisten vaatimusten täyttymisestä ja ohjelmistojen materiaaliluettelo (SBOM). Reglyze kokoaa ne itsearviointisi perusteella.
Mikä on CRA:n mukainen EU-vaatimustenmukaisuusvakuutus?
Se on allekirjoitettu ilmoitus siitä, että tuotteesi täyttää CRA:n olennaiset kyberturvallisuusvaatimukset. Se on pakollinen ennen CE-merkinnän kiinnittämistä ja tuotteen markkinoille saattamista. Reglyze laatii sen, kun jokainen olennainen vaatimus täyttyy.
Mitkä tuotteet ovat CRA:n mukaan ”tärkeitä” tai ”kriittisiä”?
CRA:n liitteessä III luetellaan ”tärkeät” tuotteet (luokat I ja II), kuten salasanojen hallintaohjelmat, VPN-palvelut, palomuurit ja käyttöjärjestelmät; liitteessä IV luetellaan ”kriittiset” tuotteet, kuten älymittareiden yhdyskäytävät ja turvaelementit. Kaikki luettelojen ulkopuoliset tuotteet kuuluvat oletusluokkaan, ja niiden vaatimustenmukaisuuden valmistaja voi arvioida itse moduulin A mukaisesti.
Mitä seuraamuksia CRA:n rikkomisesta voi seurata?
Olennaisten kyberturvallisuusvaatimusten ja valmistajan keskeisten velvoitteiden rikkomisesta voidaan määrätä sakko, joka on enintään 15 miljoonaa euroa tai 2,5 % maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta sen mukaan, kumpi on suurempi, ja lisäksi voidaan määrätä tuote poistettavaksi markkinoilta. Muista rikkomisista seuraa pienempiä sakkoja.
Miten CRA eroaa NIS2-direktiivistä?
NIS2 sääntelee organisaatioiden (keskeisten ja tärkeiden toimijoiden) kyberturvallisuutta; CRA sääntelee EU:n markkinoille saatettujen digitaalisia elementtejä sisältävien tuotteiden kyberturvallisuutta. Valmistaja voi kuulua kummankin piiriin: NIS2:n sen vuoksi, miten se toimii, ja CRA:n sen vuoksi, mitä se toimittaa.
Kattaako CRA ohjelmistot ja avoimen lähdekoodin?
Kyllä. Itsenäinen ohjelmisto on digitaalisia elementtejä sisältävä tuote. Kaupallisen toiminnan yhteydessä toimitettu avoimen lähdekoodin ohjelmisto kuuluu soveltamisalaan, ja ei-kaupallisille avoimen lähdekoodin ohjelmistojen ylläpitäjille on säädetty kevyemmät velvoitteet. Itsenäinen palveluna tarjottu SaaS jää yleensä CRA:n ulkopuolelle, ellei se ole tuotteeseen kiinteästi kuuluva etätietojenkäsittelyratkaisu.