Usein kysytyt kysymykset

Luokitus määräytyy tuotteen ydintoiminnallisuuden mukaan, ei jokaisen siihen sisältyvän ominaisuuden perusteella. Jos ydintoiminto vastaa liitteessä III nimettyä luokkaa, tuote on 'tärkeä' (luokka I tai II); jos se vastaa liitettä IV, se on 'kriittinen'; muutoin se on 'oletus'. Ominaisuus, kuten identiteetinhallinta tai VPN, joka sisältyy vain ominaisuutena, ei tee tuotteesta 'tärkeää', ellei se ole sen ydintarkoitus. Jos useampi kuin yksi luokka voisi soveltua, sovelletaan tiukempaa luokkaa. Art. 7

Ei-kaupallinen, kaupallisen toiminnan ulkopuolella kehitetty avoimen lähdekoodin ohjelmisto jää suurelta osin soveltamisalan ulkopuolelle. Avoimen lähdekoodin ohjelmiston hoitajilla on kevyempi, räätälöity velvoitteiden joukko. Kaupallisen toiminnan yhteydessä toimitetut avoimen lähdekoodin komponentit voivat kuulua soveltamisalaan.

Itsenäiset palvelut jäävät yleensä CRA:n soveltamisalan ulkopuolelle. Tietojen etäkäsittelyratkaisut, jotka ovat välttämättömiä tuotteen toimintojen suorittamiseksi, katsotaan kuitenkin osaksi kyseistä tuotetta, ja ne kuuluvat soveltamisalaan. CRA:n soveltamisalan ulkopuolella oleminen ei tarkoita sääntelemättömyyttä: verkko- ja pilvipalveluihin voidaan soveltaa muita EU:n sääntöjä, erityisesti NIS2:ta (Directive (EU) 2022/2555) kattamilla aloilla toimivien keskisuurten ja suurten toimijoiden osalta sekä GDPR:ää henkilötietojen osalta. Art. 3(2)

Kyllä. CRA koskee EU:n markkinoille saatettuja tuotteita riippumatta siitä, mihin valmistaja on sijoittautunut. EU:n ulkopuolisten valmistajien on varmistettava, että unioniin sijoittautunut talouden toimija vastaa asiaankuuluvista velvoitteista.

Ne jakautuvat liitteen I kahteen osaan: turvallisuusominaisuuksiin, jotka tuotteella on oltava (oletusarvoisesti turvallinen, luottamuksellisuus, eheys, saatavuus, minimoitu hyökkäyspinta, tietoturvapäivitykset), ja haavoittuvuuksien käsittelyprosesseihin, joita valmistajan on ylläpidettävä (SBOM, korjaaminen, koordinoitu julkistaminen). liite I

Kyllä. Valmistajien on yksilöitävä ja dokumentoitava tuotteeseen sisältyvät komponentit, muun muassa laatimalla ohjelmistoluettelo (SBOM) yleisesti käytetyssä, koneluettavassa muodossa. liite I · II(1)

Tukikausi on aika, jonka aikana valmistajan on tarjottava tietoturvapäivityksiä. Sen on vastattava ajanjaksoa, jonka tuotteen kohtuudella odotetaan olevan käytössä: oletuksena viisi vuotta, lyhyempi, jos odotettu käyttöaika on lyhyempi, ja pidempi, jos se on pidempi. Art. 13(8)

Aktiivisesti hyväksikäytetyistä haavoittuvuuksista ja tuotteen turvallisuuteen vaikuttavista vakavista poikkeamista on ilmoitettava ENISAlle ja asianomaiselle CSIRT-yksikölle. Ennakkovaroitus on annettava 24 tunnin kuluessa tiedon saamisesta, minkä jälkeen seuraa kattavampi ilmoitus ja loppuraportti. Art. 14

Säädös tuli voimaan 10. joulukuuta 2024. Raportointivelvoitteita sovelletaan syyskuusta 2026 alkaen (21 kuukautta myöhemmin) ja suurinta osaa velvoitteista joulukuusta 2027 alkaen (36 kuukautta myöhemmin). Art. 71

Olennaisten vaatimusten tai valmistajan velvoitteiden rikkomisesta voidaan määrätä sakkoja, joiden enimmäismäärä on 15 miljoonaa euroa tai 2,5 % maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta sen mukaan, kumpi on suurempi. Muihin rikkomuksiin ja virheellisten tietojen toimittamiseen sovelletaan alempia enimmäismääriä.

Kyllä, 11. syyskuuta 2026 alkaen, eli samasta päivästä, jona 14 artiklan velvoite itse alkoi. Alusta on käytössä osoitteessa portal.cra-srp.enisa.europa.eu; valitset valtuutetun edustajan roolin ja kirjaudut EU Login -tunnuksella, jossa monivaiheinen todennus on otettu käyttöön. ENISA julkaisi osoitteen SRP-usein kysytyissä kysymyksissään 10. syyskuuta 2026 sekä valtuutetun edustajan käyttöoppaan ja alustan käyttöehdot. Neljä asiaa ei tullut sen mukana: vapaaehtoinen ilmoittaminen 15 artiklan nojalla, ilmoitusrajapinta (API), tietoisuuskenttä aktiivisesti hyväksikäytetyille haavoittuvuuksille sekä 72 tunnin laskuri, joka mittaa aikaa tiedon saamisesta eikä ennakkovaroituksen lähettämisestä, minkä vuoksi näytöllä oleva kello voi näyttää ilmoituksen myöhästyneeksi ennen kuin laillinen määräaika on kulunut umpeen. Alusta toimii toistaiseksi vain englanniksi. Katso ilmoitusopas. Art. 14 · 16

CEN, CENELEC ja ETSI hyväksyivät komission standardointipyynnön M/606 vuonna 2025, ja se kattaa noin 41 standardia (horisontaalisia ja tuotekohtaisia). Komission heinäkuun 2026 muutosluonnoksen M/606:een, joka siirsi vuoden 2026 määräaikoja kahdella kuukaudella, jälkeen kaksi keskeistä horisontaalista standardia (turvallinen kehitys ja haavoittuvuuksien käsittely) odotetaan nyt 31. lokakuuta 2026 mennessä, vertikaaliset tuotestandardit 31. joulukuuta 2026 mennessä ja loput horisontaaliset standardit 30. lokakuuta 2027 mennessä, ennen täysimääräistä soveltamista joulukuussa 2027. Viitatun yhdenmukaistetun standardin noudattaminen antaa vaatimustenmukaisuusolettaman. liite I

Suorita tuoteluokkasi mukainen vaatimustenmukaisuuden arviointireitti, kokoa tekniset asiakirjat, laadi ja allekirjoita EU-vaatimustenmukaisuusvakuutus ja kiinnitä sitten CE-merkintä. Oletustuotteet voivat tehdä itsearvioinnin; tärkeät ja kriittiset tuotteet edellyttävät tiukempia reittejä. Art. 28 · 32

Aloita CRA-pikatarkistuksella vahvistaaksesi soveltamisalan ja luokan, noudata roolillesi kirjoitettua opasta ja käytä vaatimustenmukaisuusmatriisia seurataksesi olennaisten vaatimusten täyttymistä loppuun asti.

Artiklan 14 ilmoittamisvelvollisuudet tulevat täytäntöönpanokelpoisiksi. Siitä päivästä alkaen valmistajien on ilmoitettava aktiivisesti hyväksikäytetyistä haavoittuvuuksista ja vakavista poikkeamista ENISAlle ja asianomaiselle CSIRT:lle yhden ilmoituspisteen alustan kautta. Se on CRA:n tärkeimpien velvollisuuksien aikaisimmin voimaan tuleva, hyvissä ajoin ennen täyttä soveltamista 11. joulukuuta 2027. Katso ilmoitusopas. Art. 14 · 71

Ei. Ainoastaan aktiivisesti hyväksikäytetyt haavoittuvuudet ja vakavat poikkeamat jotka vaikuttavat tuotteesi tietoturvaan, ovat ilmoitettavia artiklan 14 nojalla. Haavoittuvuudet, jotka löydät ja korjaat ennen hyväksikäyttöä, käsitellään tavanomaisen haavoittuvuuksien hallintaprosessisi kautta, ei ilmoituskanavan kautta. The ilmoitusopas esittää testin ja määräajat. Art. 14

ENISAn yhden ilmoituspisteen alustan kautta, joka on ollut käytössä 11. syyskuuta 2026 alkaen osoitteessa portal.cra-srp.enisa.europa.eu ja joka välittää ilmoituksesi ENISAlle ja asianomaiselle kansalliselle CSIRT-ryhmälle. Lähetät ennakkovaroituksen 24 tunnin kuluessa tiedon saamisesta, täydemmän ilmoituksen 72 tunnin kuluessa ja loppuraportin 14 päivän kuluessa siitä, kun haavoittuvuuden korjaava toimenpide on saatavilla, tai vakavan poikkeaman osalta yhden kuukauden kuluessa 72 tunnin ilmoituksesta. Kirjautuminen tapahtuu EU Login -tunnuksella monivaiheista todennusta käyttäen. Katso vaiheittainen ilmoitusopas. Art. 14 · 16

Yleensä ei pelkästään sen perusteella. Komission ohjeistuksen mukaan ohjelmisto, joka suoritetaan käyttäjän laitteella (ladattu sovellus, selainlaajennus, paikallisesti asennettu asiakasohjelma), on digitaalisia elementtejä sisältävä tuote, kun taas pelkästään selaimen kautta käytettävä verkkosovellus tai verkkosivusto, joka vain esittää tietoa, ei ole. Etäpalvelu kuuluu soveltamisalaan vain silloin, kun kyse on tietojen etäkäsittelystä, joka on välttämätön tuotteen toimintojen suorittamiseksi. CRA:n soveltamisalan ulkopuolella oleminen ei tarkoita sääntelemättömyyttä: pelkästään verkossa toimiva palvelu voi silti kuulua NIS2:n (keskisuurten ja suurten palveluntarjoajien osalta) ja GDPR:n soveltamisalaan. Art. 3 Katso Komission ohjeistuksen yleiskatsaus.

Se voi muuttaa vastauksen, koska CRA sääntelee tuotteita, ei palveluja. Sama koodi asennettavana sovelluksena paketoituna (myös Capacitor-, Electron- tai vastaava koontiversio) suoritetaan käyttäjän laitteella ja on digitaalisia elementtejä sisältävä tuote, joten CRA:ta sovelletaan. Jos se toimitetaan vain progressiivisena verkkosovelluksena selaimessa, se on verkkopalvelu ja jää yleensä tuotteena CRA:n soveltamisalan ulkopuolelle; taustajärjestelmä, jonka kanssa se kommunikoi, kuuluu soveltamisalaan vain silloin, kun kyse on tietojen etäkäsittelystä, jota tuote tarvitsee toimintojensa suorittamiseen. Kaksi varoitusta: pelkästään verkossa toimiva palvelu ei ole sääntelemätön (NIS2 voi koskea keskisuuria ja suuria palveluntarjoajia ja GDPR henkilötietoja), ja raja tuotteen ja palvelun välillä voi hämärtyä, joten PWA:n toimittamista kannattaa pitää arkkitehtuuriratkaisuna eikä varmana poikkeuksena. Art. 3 Katso Komission ohjeistuksen yleiskatsaus.

Vain kun päivitys on olennainen muutos: muutos, joka muuttaa tuotteen kyberturvallisuusriskiä tavalla, jota riskinarviointisi ei vielä kattanut. Tavanomaiset tietoturvapäivitykset eivät yleensä ole olennaisia muutoksia. Kun päivitys on olennainen, muutettua tuotetta pidetään uutena markkinoille saatettuna tuotteena, ja vaikutuksen kohteena oleville osille vaaditaan uusi vaatimustenmukaisuuden arviointi. Art. 3(30) The Komission ohjeistus esittää testin.