Usein kysytyt kysymykset

Luokitus määräytyy tuotteen ydintoiminnallisuuden mukaan, ei jokaisen siihen sisältyvän ominaisuuden perusteella. Jos ydintoiminto vastaa liitteessä III nimettyä luokkaa, tuote on 'tärkeä' (luokka I tai II); jos se vastaa liitettä IV, se on 'kriittinen'; muutoin se on 'oletus'. Ominaisuus, kuten identiteetinhallinta tai VPN, joka sisältyy vain ominaisuutena, ei tee tuotteesta 'tärkeää', ellei se ole sen ydintarkoitus. Jos useampi kuin yksi luokka voisi soveltua, sovelletaan tiukempaa luokkaa. Art. 7

Ei-kaupallinen, kaupallisen toiminnan ulkopuolella kehitetty avoimen lähdekoodin ohjelmisto jää suurelta osin soveltamisalan ulkopuolelle. Avoimen lähdekoodin ohjelmiston hoitajilla on kevyempi, räätälöity velvoitteiden joukko. Kaupallisen toiminnan yhteydessä toimitetut avoimen lähdekoodin komponentit voivat kuulua soveltamisalaan.

Itsenäiset palvelut jäävät yleensä CRA:n ulkopuolelle. Etädatankäsittelyratkaisut, jotka ovat välttämättömiä tuotteen toimintojen suorittamiselle, katsotaan kuitenkin osaksi kyseistä tuotetta ja kuuluvat soveltamisalaan. Art. 3(2)

Kyllä. CRA koskee EU:n markkinoille saatettuja tuotteita riippumatta siitä, mihin valmistaja on sijoittautunut. EU:n ulkopuolisten valmistajien on varmistettava, että unioniin sijoittautunut talouden toimija vastaa asiaankuuluvista velvoitteista.

Ne jakautuvat liitteen I kahteen osaan: turvallisuusominaisuuksiin, jotka tuotteella on oltava (oletusarvoisesti turvallinen, luottamuksellisuus, eheys, saatavuus, minimoitu hyökkäyspinta, tietoturvapäivitykset), ja haavoittuvuuksien käsittelyprosesseihin, joita valmistajan on ylläpidettävä (SBOM, korjaaminen, koordinoitu julkistaminen). liite I

Kyllä. Valmistajien on yksilöitävä ja dokumentoitava tuotteeseen sisältyvät komponentit, muun muassa laatimalla ohjelmistoluettelo (SBOM) yleisesti käytetyssä, koneluettavassa muodossa. liite I · II(1)

Tukikausi on aika, jonka aikana valmistajan on tarjottava tietoturvapäivityksiä. Sen on vastattava ajanjaksoa, jonka tuotteen kohtuudella odotetaan olevan käytössä: oletuksena viisi vuotta, lyhyempi, jos odotettu käyttöaika on lyhyempi, ja pidempi, jos se on pidempi. Art. 13(8)

Aktiivisesti hyväksikäytetyistä haavoittuvuuksista ja tuotteen turvallisuuteen vaikuttavista vakavista poikkeamista on ilmoitettava ENISAlle ja asianomaiselle CSIRT-yksikölle. Ennakkovaroitus on annettava 24 tunnin kuluessa tiedon saamisesta, minkä jälkeen seuraa kattavampi ilmoitus ja loppuraportti. Art. 14

Säädös tuli voimaan 10. joulukuuta 2024. Raportointivelvoitteita sovelletaan syyskuusta 2026 alkaen (21 kuukautta myöhemmin) ja suurinta osaa velvoitteista joulukuusta 2027 alkaen (36 kuukautta myöhemmin). Art. 71

Olennaisten vaatimusten tai valmistajan velvoitteiden rikkomisesta voidaan määrätä sakkoja, joiden enimmäismäärä on 15 miljoonaa euroa tai 2,5 % maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta sen mukaan, kumpi on suurempi. Muihin rikkomuksiin ja virheellisten tietojen toimittamiseen sovelletaan alempia enimmäismääriä.

Not as of 13 August 2026. The platform is not live and its public URL has not been published; ENISA will announce it on its Single Reporting Platform page before go-live, and has scheduled it to be operational by 11 September 2026 with user and security testing beforehand. ENISA has published a factsheet, an FAQ and step-by-step registration and submission guidance, all last updated 3 August 2026. You can create the EU Login account the platform uses today. Note too that the harmonised standards underpinning vulnerability handling are expected around 30 August 2026 and none has yet been cited in the Official Journal; so build your internal process now rather than waiting for the final mechanics. See the ilmoitusopas. Art. 14 · 16

CEN, CENELEC ja ETSI hyväksyivät komission standardointipyynnön M/606 vuonna 2025, ja se kattaa noin 41 standardia (horisontaalisia ja tuotekohtaisia). Kaksi keskeistä horisontaalista standardia (turvallinen kehitys ja haavoittuvuuksien käsittely) odotetaan 30. elokuuta 2026 mennessä, vertikaaliset tuotestandardit 30. lokakuuta 2026 mennessä ja loput horisontaaliset standardit 30. lokakuuta 2027 mennessä, ennen täysimääräistä soveltamista joulukuussa 2027. Viitatun yhdenmukaistetun standardin noudattaminen antaa vaatimustenmukaisuusolettaman. liite I

Suorita tuoteluokkasi mukainen vaatimustenmukaisuuden arviointireitti, kokoa tekniset asiakirjat, laadi ja allekirjoita EU-vaatimustenmukaisuusvakuutus ja kiinnitä sitten CE-merkintä. Oletustuotteet voivat tehdä itsearvioinnin; tärkeät ja kriittiset tuotteet edellyttävät tiukempia reittejä. Art. 28 · 32

Aloita CRA-pikatarkistuksella vahvistaaksesi soveltamisalan ja luokan, noudata roolillesi kirjoitettua opasta ja käytä vaatimustenmukaisuusmatriisia seurataksesi olennaisten vaatimusten täyttymistä loppuun asti.

Artiklan 14 ilmoittamisvelvollisuudet tulevat täytäntöönpanokelpoisiksi. Siitä päivästä alkaen valmistajien on ilmoitettava aktiivisesti hyväksikäytetyistä haavoittuvuuksista ja vakavista poikkeamista ENISAlle ja asianomaiselle CSIRT:lle yhden ilmoituspisteen alustan kautta. Se on CRA:n tärkeimpien velvollisuuksien aikaisimmin voimaan tuleva, hyvissä ajoin ennen täyttä soveltamista 11. joulukuuta 2027. Katso ilmoitusopas. Art. 14 · 71

Ei. Ainoastaan aktiivisesti hyväksikäytetyt haavoittuvuudet ja vakavat poikkeamat jotka vaikuttavat tuotteesi tietoturvaan, ovat ilmoitettavia artiklan 14 nojalla. Haavoittuvuudet, jotka löydät ja korjaat ennen hyväksikäyttöä, käsitellään tavanomaisen haavoittuvuuksien hallintaprosessisi kautta, ei ilmoituskanavan kautta. The ilmoitusopas esittää testin ja määräajat. Art. 14

ENISA:n yhden ilmoituspisteen alustan kautta, joka ohjaa ilmoituksesi ENISAlle ja asianomaiselle kansalliselle CSIRT:lle. Lähetät ennakkovaroituksen 24 tunnin kuluessa tietoiseksi tulemisesta, täydellisemmän ilmoituksen 72 tunnin kuluessa ja loppuraportin 14 päivän kuluessa korjaavan toimenpiteen saatavuudesta. Katso vaiheittainen ilmoitusopas. Art. 14 · 16

Yleensä ei yksinään. Komission ohjeistus selventää, että käyttäjän laitteella suoritettava ohjelmisto (ladattu sovellus, selainlaajennus, paikallisesti asennettu asiakasohjelma) on digitaalisia elementtejä sisältävä tuote, kun taas vain selaimen kautta käytettävä verkkosovellus tai pelkästään tietoa esittävä verkkosivusto ei ole. Etäpalvelu kuuluu soveltamisalaan vain, jos kyseessä on tuotteen toimintojen suorittamiseen tarvittava etäkäsittely. Art. 3 Katso Komission ohjeistuksen yleiskatsaus.

Vain kun päivitys on olennainen muutos: muutos, joka muuttaa tuotteen kyberturvallisuusriskiä tavalla, jota riskinarviointisi ei vielä kattanut. Tavanomaiset tietoturvapäivitykset eivät yleensä ole olennaisia muutoksia. Kun päivitys on olennainen, muutettua tuotetta pidetään uutena markkinoille saatettuna tuotteena, ja vaikutuksen kohteena oleville osille vaaditaan uusi vaatimustenmukaisuuden arviointi. Art. 3(30) The Komission ohjeistus esittää testin.