Usein kysytyt kysymykset

Luokitus määräytyy tuotteen ydintoiminnallisuuden mukaan, ei jokaisen siihen sisältyvän ominaisuuden perusteella. Jos ydintoiminto vastaa liitteessä III nimettyä luokkaa, tuote on 'tärkeä' (luokka I tai II); jos se vastaa liitettä IV, se on 'kriittinen'; muutoin se on 'oletus'. Ominaisuus, kuten identiteetinhallinta tai VPN, joka sisältyy vain ominaisuutena, ei tee tuotteesta 'tärkeää', ellei se ole sen ydintarkoitus. Jos useampi kuin yksi luokka voisi soveltua, sovelletaan tiukempaa luokkaa. Art. 7

Ei-kaupallinen, kaupallisen toiminnan ulkopuolella kehitetty avoimen lähdekoodin ohjelmisto jää suurelta osin soveltamisalan ulkopuolelle. Avoimen lähdekoodin ohjelmiston hoitajilla on kevyempi, räätälöity velvoitteiden joukko. Kaupallisen toiminnan yhteydessä toimitetut avoimen lähdekoodin komponentit voivat kuulua soveltamisalaan.

Itsenäiset palvelut jäävät yleensä CRA:n ulkopuolelle. Etädatankäsittelyratkaisut, jotka ovat välttämättömiä tuotteen toimintojen suorittamiselle, katsotaan kuitenkin osaksi kyseistä tuotetta ja kuuluvat soveltamisalaan. Art. 3(2)

Kyllä. CRA koskee EU:n markkinoille saatettuja tuotteita riippumatta siitä, mihin valmistaja on sijoittautunut. EU:n ulkopuolisten valmistajien on varmistettava, että unioniin sijoittautunut talouden toimija vastaa asiaankuuluvista velvoitteista.

Ne jakautuvat liitteen I kahteen osaan: turvallisuusominaisuuksiin, jotka tuotteella on oltava (oletusarvoisesti turvallinen, luottamuksellisuus, eheys, saatavuus, minimoitu hyökkäyspinta, tietoturvapäivitykset), ja haavoittuvuuksien käsittelyprosesseihin, joita valmistajan on ylläpidettävä (SBOM, korjaaminen, koordinoitu julkistaminen). liite I

Kyllä. Valmistajien on yksilöitävä ja dokumentoitava tuotteeseen sisältyvät komponentit, muun muassa laatimalla ohjelmistoluettelo (SBOM) yleisesti käytetyssä, koneluettavassa muodossa. liite I · II(1)

Tukikausi on aika, jonka aikana valmistajan on tarjottava tietoturvapäivityksiä. Sen on vastattava ajanjaksoa, jonka tuotteen kohtuudella odotetaan olevan käytössä: oletuksena viisi vuotta, lyhyempi, jos odotettu käyttöaika on lyhyempi, ja pidempi, jos se on pidempi. Art. 13(8)

Aktiivisesti hyväksikäytetyistä haavoittuvuuksista ja tuotteen turvallisuuteen vaikuttavista vakavista poikkeamista on ilmoitettava ENISAlle ja asianomaiselle CSIRT-yksikölle. Ennakkovaroitus on annettava 24 tunnin kuluessa tiedon saamisesta, minkä jälkeen seuraa kattavampi ilmoitus ja loppuraportti. Art. 14

Säädös tuli voimaan 10. joulukuuta 2024. Raportointivelvoitteita sovelletaan syyskuusta 2026 alkaen (21 kuukautta myöhemmin) ja suurinta osaa velvoitteista joulukuusta 2027 alkaen (36 kuukautta myöhemmin). Art. 71

Olennaisten vaatimusten tai valmistajan velvoitteiden rikkomisesta voidaan määrätä sakkoja, joiden enimmäismäärä on 15 miljoonaa euroa tai 2,5 % maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta sen mukaan, kumpi on suurempi. Muihin rikkomuksiin ja virheellisten tietojen toimittamiseen sovelletaan alempia enimmäismääriä.

Yes, since 11 September 2026, the day the Article 14 duty itself began. The platform is live at portal.cra-srp.enisa.europa.eu; you select the Assigned Representative role and sign in with an EU Login account that has multi-factor authentication enabled. ENISA published the address in its SRP FAQ on 10 September 2026, alongside an AR User Manual and platform terms and conditions. Four things did not arrive with it: voluntary reporting under Article 15, a reporting API, an awareness field for actively exploited vulnerabilities, and a 72-hour counter that measures from awareness rather than from submission of your early warning, which means the on-screen clock can show a filing as overdue before the legal deadline has passed. The platform runs in English only for now. See the ilmoitusopas. Art. 14 · 16

CEN, CENELEC ja ETSI hyväksyivät komission standardointipyynnön M/606 vuonna 2025, ja se kattaa noin 41 standardia (horisontaalisia ja tuotekohtaisia). Komission heinäkuun 2026 muutosluonnoksen M/606:een, joka siirsi vuoden 2026 määräaikoja kahdella kuukaudella, jälkeen kaksi keskeistä horisontaalista standardia (turvallinen kehitys ja haavoittuvuuksien käsittely) odotetaan nyt 31. lokakuuta 2026 mennessä, vertikaaliset tuotestandardit 31. joulukuuta 2026 mennessä ja loput horisontaaliset standardit 30. lokakuuta 2027 mennessä, ennen täysimääräistä soveltamista joulukuussa 2027. Viitatun yhdenmukaistetun standardin noudattaminen antaa vaatimustenmukaisuusolettaman. liite I

Suorita tuoteluokkasi mukainen vaatimustenmukaisuuden arviointireitti, kokoa tekniset asiakirjat, laadi ja allekirjoita EU-vaatimustenmukaisuusvakuutus ja kiinnitä sitten CE-merkintä. Oletustuotteet voivat tehdä itsearvioinnin; tärkeät ja kriittiset tuotteet edellyttävät tiukempia reittejä. Art. 28 · 32

Aloita CRA-pikatarkistuksella vahvistaaksesi soveltamisalan ja luokan, noudata roolillesi kirjoitettua opasta ja käytä vaatimustenmukaisuusmatriisia seurataksesi olennaisten vaatimusten täyttymistä loppuun asti.

Artiklan 14 ilmoittamisvelvollisuudet tulevat täytäntöönpanokelpoisiksi. Siitä päivästä alkaen valmistajien on ilmoitettava aktiivisesti hyväksikäytetyistä haavoittuvuuksista ja vakavista poikkeamista ENISAlle ja asianomaiselle CSIRT:lle yhden ilmoituspisteen alustan kautta. Se on CRA:n tärkeimpien velvollisuuksien aikaisimmin voimaan tuleva, hyvissä ajoin ennen täyttä soveltamista 11. joulukuuta 2027. Katso ilmoitusopas. Art. 14 · 71

Ei. Ainoastaan aktiivisesti hyväksikäytetyt haavoittuvuudet ja vakavat poikkeamat jotka vaikuttavat tuotteesi tietoturvaan, ovat ilmoitettavia artiklan 14 nojalla. Haavoittuvuudet, jotka löydät ja korjaat ennen hyväksikäyttöä, käsitellään tavanomaisen haavoittuvuuksien hallintaprosessisi kautta, ei ilmoituskanavan kautta. The ilmoitusopas esittää testin ja määräajat. Art. 14

Through ENISA's single reporting platform, live since 11 September 2026 at portal.cra-srp.enisa.europa.eu, which routes your notification to ENISA and the relevant national CSIRT. You send an early warning within 24 hours of becoming aware, a fuller notification within 72 hours, and a final report within 14 days of a corrective measure being available for a vulnerability, or within one month of the 72-hour notification for a severe incident. Sign-in is through EU Login with multi-factor authentication. See the step-by-step ilmoitusopas. Art. 14 · 16

Yleensä ei yksinään. Komission ohjeistus selventää, että käyttäjän laitteella suoritettava ohjelmisto (ladattu sovellus, selainlaajennus, paikallisesti asennettu asiakasohjelma) on digitaalisia elementtejä sisältävä tuote, kun taas vain selaimen kautta käytettävä verkkosovellus tai pelkästään tietoa esittävä verkkosivusto ei ole. Etäpalvelu kuuluu soveltamisalaan vain, jos kyseessä on tuotteen toimintojen suorittamiseen tarvittava etäkäsittely. Art. 3 Katso Komission ohjeistuksen yleiskatsaus.

Vain kun päivitys on olennainen muutos: muutos, joka muuttaa tuotteen kyberturvallisuusriskiä tavalla, jota riskinarviointisi ei vielä kattanut. Tavanomaiset tietoturvapäivitykset eivät yleensä ole olennaisia muutoksia. Kun päivitys on olennainen, muutettua tuotetta pidetään uutena markkinoille saatettuna tuotteena, ja vaikutuksen kohteena oleville osille vaaditaan uusi vaatimustenmukaisuuden arviointi. Art. 3(30) The Komission ohjeistus esittää testin.