01Mitä on ilmoitettava
Asetuksen artikla 14 Cyber Resilience Act luo kaksi ilmoitusvelvollisuutta digitaalisia elementtejä sisältävien tuotteiden valmistajille. Ne ovat kapeampia kuin miltä ensin näyttää: tavanomaiset ohjelmistoviat ja tavalliset korjauspäivitykset eivät kuulu soveltamisalaan. Art. 14
- Aktiivisesti hyväksikäytetyt haavoittuvuudet; tuotteessasi oleva haavoittuvuus, josta on luotettavaa näyttöä siitä, että haitallinen toimija on hyväksikäyttänyt sitä järjestelmässä ilman omistajan lupaa. Haavoittuvuus, jonka löydät ja korjaat ennen sen hyväksikäyttöä, käsitellään tavanomaisessa haavoittuvuuksien hallintaprosessi, ei tätä ilmoituskanavaa.
- Vakavat poikkeamat; poikkeama, joka vaikuttaa kielteisesti tai voi vaikuttaa kielteisesti tuotteen kykyyn suojata tietojen tai toimintojen saatavuutta, aitoutta, eheyttä tai luottamuksellisuutta. Vakavuuskriteerit ovat artiklassa 14(5).
Velvollisuudet eivät rajoitu kaupallisiin valmistajiin. Avoimen lähdekoodin ohjelmistojen ylläpitäjät ovat omien ilmoitusvelvollisuuksiensa piirissä siltä osin kuin ne ovat tekemisissä digitaalisia elementtejä sisältävien tuotteiden kanssa. Art. 24(3)
Jos tuotteesi tietoturvaheikkous on aktiivisessa hyväksikäytössä tai tietoturvapoikkeama on vakavasti vaikuttanut siihen, artiklan 14 kello alkaa käydä. Kaikki muu pysyy päivittäisen haavoittuvuuksien hallinnan piirissä.
Haavoittuvuutta, jonka aktiivisesta hyväksikäytöstä tiesit jo ennen ilmoitusvelvollisuuden soveltamisen alkamispäivää 11. syyskuuta 2026, ei tarvitse ilmoittaa. Velvollisuus kytkeytyy hetkeen, jona tulet tietoiseksi, joten se kattaa sen, minkä saat tietää kyseisestä päivästä eteenpäin, ei sitä aiempaa.
Tämä on se kohta, joka yllättää monet, ja siitä kannattaa olla täsmällinen. Artikla 69(2) asettaa yleisen siirtymäsäännön: tuotteet, jotka on saatettu markkinoille ennen 11. joulukuuta 2027 kuuluvat asetuksen soveltamisalaan vain, jos niitä on olennaisesti muutettu kyseisestä päivästä alkaen. Yksinään luettuna tämä antaa ymmärtää, ettei nykyiseen tuotevalikoimaasi kosketa.
Artikla 69(3) leikkaa sitten artiklan 14 suoraan siitä ulos. Nimenomaisen poikkeuksen nojalla ilmoitusvelvollisuuksia sovelletaan kaikkiin asetuksen soveltamisalaan kuuluviin digitaalisia elementtejä sisältäviin tuotteisiin, jotka on saatettu markkinoille ennen 11. joulukuuta 2027, riippumatta siitä, muutetaanko niitä koskaan.
Nämä kaksi sääntöä kulkevat siis eri akseleilla. Tuote, jonka myit vuonna 2025, ei ehkä koskaan tarvitse CRA:n mukaista CE-merkintää, mutta jos siinä olevaa haavoittuvuutta hyväksikäytetään aktiivisesti ja tulet siitä tietoiseksi 11. syyskuuta 2026 tai sen jälkeen, siitä on ilmoitettava. Sinun asennuskantasi kuuluu ilmoitusvelvollisuuden piiriin silloinkin, kun se jää tuotevaatimusten soveltamisalan ulkopuolelle. Komissio päätyy samaan johtopäätökseen CRA:n täytäntöönpanoa koskevan usein kysyttyjen kysymysten osionsa kohdassa 5.3. Art. 69(2)–(3)
02Kolme määräaikaa
Jokainen ilmoitus etenee kolmessa vaiheessa, laskettuna hetkestä, jolloin tulet tietoiseksi hyväksikäytetystä haavoittuvuudesta tai vakavasta poikkeamasta. Aikaikkunat ovat tiukat, minkä vuoksi valmius on tärkeää. Art. 14(2)–(4)
- 24 tunnin kuluessaEnnakkovaroitus. Ensimmäinen ilmoitus siitä, että aktiivisesti hyväksikäytetty haavoittuvuus tai vakava poikkeama on tapahtunut, mukaan lukien poikkeamien osalta se, epäilläänkö sen johtuvan lainvastaisista tai haitallisista teoista.
- 72 tunnin kuluessaHaavoittuvuus- / poikkeamailmoitus. Kattavampi selostus: haavoittuvuuden ja hyväksikäytön yleinen luonne, alustava arvio sekä toteutetut korjaavat tai lieventävät toimenpiteet ja ne, joita käyttäjät voivat toteuttaa.
- LoppuraporttiLoppuraportti. Jos kyseessä on haavoittuvuus, viimeistään 14 päivää sen jälkeen, kun korjaava tai lieventävä toimenpide on saatavilla. Jos kyseessä on vakava poikkeama, määräaika on yksi kuukausi 72 tunnin ilmoituksesta. Siinä esitetään täydellinen kuvaus, vakavuus, vaikutukset ja toteutetut korjaustoimet.
Huomaa viimeisen rivin epäsymmetria: haavoittuvuuden kellon käynnistää korjauksen olemassaolo, poikkeaman kellon aiempi ilmoitus. Ne ovat eri mekaniikkaa, ja ne kannattaa kirjata toimintaohjeeseesi erikseen.
03Milloin se alkaa
Ilmoittamisvelvollisuudet ovat CRA:n aikaisimmin voimaan tuleva merkittävä osa. Vaikka suurin osa säännöksistä soveltuu 11. joulukuuta 2027 alkaen, artikla 14 soveltuu alkaen 11. syyskuuta 2026; 21 kuukautta säädöksen voimaantulon jälkeen. ENISA on aikatauluttanut yhden ilmoituspisteen alustan toimintakuntoon samaan päivään mennessä. Art. 71
Alusta ei ole vielä käytössä eikä sen julkista URL-osoitetta ole julkaistu. ENISA ilmoittaa, että se kerrotaan sen yhden ilmoituspisteen alustaa käsittelevällä sivulla ennen käyttöönottoa. Käyttäjä- ja turvallisuustestaus on määrä tehdä sitä ennen, ja CSIRT-verkosto osallistuu testaukseen.
ENISA has, however, published a factsheet, an FAQ and two step-by-step guidance pages covering registration and notification submission, all last updated 3 August 2026. On that date ENISA also moved its whole SRP section to new addresses under Topics, Product Security; the older addresses still serve the superseded 31 July text, so use the links in section 08 below. Short instructional videos and a verkkoseminaari kaksi viikkoa ennen käyttöönottoa ovat vielä tulossa. ENISA merkitsee julkaistun ohjeistuksen muuttuvaksi.
Kaksi muuta osaa puuttuu vielä: luettelo koordinaattoreiksi nimetyistä kansallisista CSIRT-yksiköistä, jonka ENISA sanoo toimittavansa myöhemmässä vaiheessa, sekä yhdenmukaistetut standardit jotka ovat haavoittuvuuksien käsittelyn perustana; niitä odotetaan 30. elokuuta 2026 tienoilla, eikä yhtäkään ole vielä julkaistu Euroopan unionin virallisessa lehdessä.
Toisin kuin CE-merkintä, jonka teet kerran ennen tuotteen markkinoille saattamista, ilmoittaminen on elävä ja jatkuva velvollisuus, joka alkaa syyskuussa 2026 ja joka voi laueta minä hetkenä hyvänsä sen jälkeen. Valmius ei ole kertaluonteinen projekti. Rakenna sisäinen havaitsemis- ja ilmoitusprosessi nyt; velvollisuus koskee 11. syyskuuta 2026 alkaen riippumatta siitä, ovatko työkalut valmiit.
04Kenelle ilmoitat
Ilmoitukset toimitetaan ENISA ja koordinaattoriksi nimetty CSIRT, yhden sisääntulopisteen kautta eikä erillisinä ilmoituksina kullekin kansalliselle viranomaiselle. Tämä sisääntulopiste on yhden ilmoituspisteen alusta, jonka ENISA perustaa, jota se hallinnoi ja jota se ylläpitää artiklan 16 nojalla. Art. 14 · 16
Se, mikä CSIRT on sinun, määräytyy päätoimipaikkasi mukaan unionissa tai, jos et ole sijoittautunut EU:hun, sen mukaan, missä sijaitsee valtuutettu edustaja. Vastaanottava CSIRT-yksikkö levittää ilmoituksen edelleen niiden jäsenvaltioiden CSIRT-yksiköille, joissa tuote on saatavilla, sekä tarvittaessa markkinavalvontaviranomaisille. Art. 14(7) · 18
Tukea on saatavilla molemmilta puolilta. ENISA ylläpitää neuvontapalvelua kiinnittäen erityistä huomiota pk-yrityksiin, ja myös koordinaattoreiksi nimetyt CSIRT-yksiköt ovat velvollisia tarjoamaan neuvontatukea artiklan 14 velvollisuuksissa. ENISA syöttää korjatut haavoittuvuudet myös Euroopan haavoittuvuustietokantaan, ja julkaisee joka toinen vuosi teknisen trendiraportin, joista ensimmäinen on määrä julkaista 24 kuukauden kuluessa ilmoitusvelvollisuuksien alkamisesta. Art. 17(6)
CSIRT voi keskeyttää ilmoitetun haavoittuvuuden levittämisen, mutta sinä et voi
The receiving CSIRT may delay or withhold onward dissemination on justified cybersecurity grounds, for a period strictly necessary; for example where a vulnerability is inside a coordinated disclosure procedure. The Commission specified the terms in Delegated Regulation (EU) 2026/881, adopted on 11. joulukuuta 2025. Jos CSIRT pidättää ilmoituksen, sen on kerrottava siitä ENISAlle välittömästi, perusteluineen ja ilmoittaen, milloin se levittää sen.
Erikseen voit erityisen poikkeuksellisissa olosuhteissa merkitä yhden kapeista edellytyksistä, jotka on lueteltu artiklassa 16(2) 72 tunnin ilmoituksessasi: että hyväksikäyttö rajoittuu CSIRT-yksikkösi jäsenvaltioon, että edelleen levittäminen olisi vastoin kyseisen jäsenvaltion olennaisia etuja tai että levittäminen aiheuttaa välittömän suuren kyberturvallisuusriskin. Jos teet näin, ENISA saa vain rajoitetusti tietoa (että ilmoitus tehtiin, yleisiä tietoja tuotteesta, hyväksikäytön yleisen luonteen ja sen, että turvallisuusperusteisiin vedottiin), kunnes CSIRT vapauttaa täyden ilmoituksen.
Kumpikaan mekanismi ei pysäytä sinun kelloasi. Et voi viivyttää ilmoituksen jättämistä; 24 tunnin, 72 tunnin ja loppuraportin määräajat kulkevat tietoiseksi tulemisesta. Voit sen sijaan merkitä tiedon arkaluonteiseksi, mikä rajoittaa sitä, kuka näkee sisällön. Päätös levittämisen pidättämisestä kuuluu vastaanottavalle CSIRT-yksikölle.
05Rekisteröityminen alustalle
ENISA's guidance, last updated 3 August 2026, is the first material to show the actual screens. You cannot register on the platform itself until it goes live, but you can decide now who will hold the accounts and get their credentials ready, and you should know the flow before you meet it under a 24-hour clock.
Nimeä kaksi henkilöä ennen kuin tarvitset heitä
Alusta antaa jokaiselle valmistajalle kaksi käyttäjätilityyppiä, ja voit päättää jo tänään, kuka ne täyttää. Ensisijainen edustaja rekisteröityy ensin ja luo valmistajan tietueen alustalle. Tämän jälkeen kyseinen henkilö kutsuu toisen henkilön, joka on toissijainen edustaja, joka toimii varahenkilönä saman valmistajan osalta ja voi tehdä ilmoituksia sen puolesta. Molemmat ovat nimettyjä henkilöitä yrityksessäsi. Koska lähettäminen on manuaalista, yksi ainoa nimetty ilmoittaja, joka on lomalla, nukkumassa tai lähtenyt, on todellinen toiminnallinen riski, joten kohtele toista paikkaa välttämättömänä eikä valinnaisena.
EU Login on tunnus, ja molemmat henkilöt voivat luoda sen jo tänään
Alustan tilit tunnistautuvat palvelun EU Login kautta, joka on Euroopan komission yhteinen kirjautumispalvelu ja käytössä kaikissa sen verkkojärjestelmissä. ENISA toteaa, että tilin voi luoda etukäteen, ja tämä on hyödyllisin yksittäinen asia, jonka voit tehdä juuri nyt. Luo yksi ensisijaiselle edustajalle ja yksi toissijaiselle osoitteessa ecas.ec.europa.eu, käyttäen työsähköpostiosoitteita, jotka ovat olemassa vielä vuodenkin kuluttua. Komissio selittää, mitä EU Login on ja miten se sopii sen laajempaan identiteettikehykseen, luotettavan digitaalisen identiteetin sivuillaan.
Rekisteröitymisen kulku
Kun käytät alustaa ensimmäisen kerran, valitset roolisi, valitset nimetyn CSIRT-yksikkösi from a drop-down, authenticate through EU Login, read and accept the legal agreement, confirm your pre-filled personal details (first name, last name, email, legal name), then enter the manufacturer's name, address and additional information. Omitting a mandatory manufacturer field blocks the flow. On completion your account status is "Active" and you hold the "AR Primary User" role, you receive a confirmation email, and the manufacturer entity is created in the platform.
The toissijainen edustaja liittyy sähköpostikutsulla from the primary, confirms the pre-filled personal and manufacturer details, and is registered in the "AR Backup User" role against the same manufacturer. That invitation expires after 7 päivän kuluttua, minkä jälkeen tietue merkitään tilaan ”Invitation Expired” ja uusi on lähetettävä. Määritä varahenkilön tili samalla istunnolla kuin ensisijaisen; kesken poikkeaman havaittu vanhentunut kutsu on vältettävissä oleva ongelma.
CSIRT tarkastaa edustajasi manuaalisesti, mutta se ei estä sinua tekemästä ilmoitusta
Someone has to confirm that a given person really may report on behalf of a given manufacturer, and that check falls to the CSIRT designated as coordinator, which ENISA now abbreviates CDaC. It is a manual step, the procedure varies between CSIRTs, and each CSIRT owns its own approach. Crucially, it happens vasta ensimmäisen alustan käyttökertasi jälkeen ja etenee rinnakkain with your report. In its update of 3 August 2026 ENISA put this beyond doubt: validation by the CDaC is not a prerequisite for fulfilling the CRA reporting obligation, and does not affect your ability to submit notifications. An unvalidated account can still file inside the 24-hour window.
Tämän vuoksi ENISA myös neuvoo rekisteröitymään ja aloittamaan validoinnin vasta silloin, kun sinun on todella tehtävä ilmoitus, sen sijaan että koko markkina rekisteröityisi etukäteen ja hautaisi CSIRT-yksiköt spekulatiivisiin tarkastuksiin. Etukäteen tehtävä valmistelu on EU Login -tilit ja päätös siitä, kuka täyttää kaksi paikkaa, ei alustalle rekisteröityminen itsessään.
ENISAn ohjeistus on kirjoitettu termille ”Assigned Representatives” (AR), jossa on pääkäyttäjiä ja varakäyttäjiä. Kyseessä on alustan tilirooli. Se ei ole valtuutettu edustaja eli henkilö, joka on nimitetty kirjallisella toimeksiannolla CRA:n artiklan 18 nojalla. Sinulla voi olla edellinen ilman jälkimmäistä. Pidä nämä kaksi erillään sisäisessä menettelyssäsi, tai päädyt väittelemään oikeudellisesta nimityksestä, vaikka tarvitset vain toisen kirjautumistunnuksen.
06Ilmoituksen tekeminen
Ilmoittaminen tapahtuu koontinäytöltä. Luot ilmoituksen ja täydennät sitten samaa tietuetta kussakin vaiheessa sen sijaan, että tekisit kolme erillistä ilmoitusta. Jokaisella vaiheella on oma välilehtensä, ja jokaisen voi ensin tallentaa luonnoksena; luonnokset näkyvät vain sinulle.
- EnnakkovaroitusStart a new notification from the dashboard, complete the mandatory fields, and select an existing manufacturer or add one. On submission it is accessible to your designated CSIRT and, automatically, to ENISA. Email and alert confirmations go to the CSIRT, to ENISA, and to every representative registered for that manufacturer, not only the person who submitted.
- 72 tuntiaKäytettävissä vasta, kun ennakkovaroitus on olemassa. Avaa sama ilmoitus ja täytä 72 tunnin välilehti. ENISA saa sen automaattisesti, ellet you invoke the Article 16(2) conditions, in which case the record is flagged "72h Submitted under PEC" and ENISA's view is limited until the CSIRT releases it.
- LoppuraporttiOnly available once both earlier stages exist. ENISA receives it automatically unless the Article 16(2) conditions were invoked.
ENISAn ohje päivämäärältä 3 August 2026 states that the other concerned CSIRTs receive the early warning, eli 72-hour notification ja the final report only after manual dissemination by the CSIRT designated as coordinator. The 31 July text said this of the final report alone. Nothing about your duty changes, and the CDaC is still bound by Article 16(2) to disseminate without delay, but it is worth knowing that a person at one national CSIRT sits between your report and the other markets where your product is sold.
Mikä on pakollista ja milloin
ENISA on julkaissut, mitkä kentät ovat pakollisia kussakin vaiheessa. Taulukko korjaa hyödyllisellä tavalla laajalle levinneen oletuksen: 24 tunnin ennakkovaroitus on hälytys, ei tutkinta.
- 24 tunnin kohdalla; ilmoituksen tyyppi ja taso, valmistajan tai hallinnoijan nimi, tuote ja otsikko. Poikkeamien osalta se, epäilläänkö lainvastaisia tai haitallisia tekoja. Jäsenvaltiot, joissa tuote on saatavilla, vaaditaan vain, jos tieto on jo hallussasi.
- 72 tunnin kohdalla; haavoittuvuuden ja hyväksikäytön yleinen luonne, toteutetut korjaavat tai lieventävät toimenpiteet ja toimenpiteet, joita käyttäjät voivat toteuttaa. Poikkeamien osalta se, milloin se havaittiin ja milloin se tapahtui, sekä alustava arvio. Arkaluonteisuus merkitään tässä.
- Loppuraportin kohdalla; täydellinen kuvaus, vakavuus ja vaikutukset, päivä jona korjaava toimenpide tuli saataville, sekä tietoturvapäivityksen yksityiskohdat. Poikkeamien osalta todennäköinen perussyy ja käynnissä olevat lieventävät toimet.
Vapaaehtoisiin kenttiin, jotka kannattaa silti kirjata, kuuluvat CVE ID ja the EUVD ID, jotka molemmat ovat käytettävissä ensimmäisestä vaiheesta alkaen.
Muokkaaminen ja piste, josta ei ole paluuta
A submitted notification can be updated, and the platform automatically sends an alert and an email to your CSIRT plus ENISA and any CSIRTs that already received it through dissemination. Two limits apply: a suljettua ilmoitusta ei voi päivittää, ja tietueesta tulee muokkauskelvoton, kun loppuraportti on lähetetty.
ENISA toteaa, että tässä vaiheessa ei tarjota sovellusrajapintaa. Voit automatisoida havaitsemisen, luokittelun ja laatimisen sisäisesti, mutta lähettäminen itsessään on henkilö, joka täyttää selainlomakkeen. Suunnittele tämä luovutus tarkoituksella ja varmista, että useampi kuin yksi henkilö voi tehdä sen virka-ajan ulkopuolella ja viikonloppuna.
Alusta ottaa vastaan myös vapaaehtoisia ilmoituksia haavoittuvuuksista, kyberuhkista, poikkeamista ja läheltä piti -tilanteista keneltä tahansa luonnolliselta henkilöltä tai oikeushenkilöltä eikä vain valmistajilta. ENISA sanoo, että tämä toiminnallisuus on käytössä vasta 11. syyskuuta 2026 jälkeen, joten se ei ole reitti matalan riskin harjoituskierrokseen ennen määräaikaa.
07Mitä voit tehdä jo tänään
24 tunnin määräajan noudattaminen on toiminnallinen ongelma, ei paperityöongelma, ja lähes kaikki valmistelu on tehtävissä jo nyt. Mikään alla olevista ei riipu siitä, onko alusta käytössä.
- Luo EU Login -tilisi. Ensisijaiselle ilmoittajalle ja vähintään yhdelle varahenkilölle. Se vie minuutteja osoitteessa ecas.ec.europa.eu ja poistaa vaiheen, jota et halua havaita kesken poikkeaman.
- Tunnista nimetty CSIRT-yksikkösi. Se määräytyy unionissa sijaitsevan päätoimipaikkasi mukaan, tai valtuutetun edustajasi mukaan, jos olet sijoittautunut EU:n ulkopuolelle. ENISAn täydellistä koordinaattoriluetteloa ei ole vielä julkaistu, joten kirjaa perustelusi nyt ja vahvista se luetteloa vasten, kun se ilmestyy.
- Rakenna 24 tunnin lomake sisäisesti. Lyhyt malli, joka vastaa ENISAn pakollisia ennakkovaroituskenttiä, jotta ensimmäinen todellinen ilmoituksesi on puhtaaksikirjoittamista eikä laatimista.
- Nimeä henkilöt, myös virka-ajan ulkopuolelle. Päätä, kuka arvioi ilmoituksen tarpeen, kuka laatii sen ja kuka lähettää sen. Koska API:a ei ole, viimeinen vaihe on nimetty ihminen näppäimistön ääressä.
- Pidä SBOM täsmällisenä. Et voi ilmoittaa komponentista, jonka toimittamisesta et tiennyt. Ylläpidä ohjelmistoluetteloa ja pidä se ajan tasalla julkaisujen muuttuessa.
- Seuraa sitä jatkuvasti. Vertaa komponenttejasi tunnettujen haavoittuvuuksien lähteisiin, jotta aktiivisesti hyväksikäytetty puute tulee esiin tunneissa, ei viikoissa. Meidän SBOM- ja haavoittuvuusanalysaattori seuraa ohjelmistoluetteloasi NVD:tä ja EU:n haavoittuvuustietokantaa (EUVD) vasten.
- Vahvista, mikä todella kuuluu soveltamisalaan. 72 tunnin vaiheessa kysytään tuotetyyppiä ja liitteen III tai IV luokkaa, joten ratkaise luokittelu ennen kuin tarvitset sitä. Luokittelutyökalu vastaa siihen, ja vaatimustenmukaisuusmatriisi sitoo ilmoittamisen laajempiin liite I:n haavoittuvuuksien hallintavelvollisuuksiin, joiden piiriin se kuuluu.
- Merkitse verkkoseminaari kalenteriin. ENISA aikoo pitää sellaisen kaksi viikkoa ennen alustan käyttöönottoa ja julkaista lyhyitä opastusvideoita lähempänä julkaisua.
08Seuraa asiaa lähteestä
Tämä sivu kuvaa tilannetta 13 August 2026. The platform is still moving, and ENISA edits its pages quietly rather than announcing every change, so the "last updated" stamps on the pages below are worth checking directly. ENISA moved these pages to new addresses on 3 August 2026; the links below are the current ones. These are the primary sources; everything above is our reading of them.
- ENISA · Yhden ilmoituspisteen alusta; the hub page, with the factsheet, the helpdesk address and links to the guidance. Where the public URL will be announced.enisa.europa.eu/topics/product-security/single-reporting-platform-srp
- ENISA · SRP frequently asked questions; legal basis, deadlines, routing, the field table and platform security.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions
- ENISA · SRP-käyttäjän rekisteröitymisohje; vaiheittainen rekisteröitymisen kulku ensisijaisille ja varakäyttäjille, käyttöliittymän kuvakaappauksin.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-user-registration
- ENISA · SRP-ilmoituksen lähettämisohje; miten ennakkovaroitus, 72 tunnin ilmoitus ja loppuraportti jätetään ja päivitetään, ja mitä kukin tila laukaisee.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-notification-submission-and-update
- Euroopan komissio · CRA:n ilmoitusvelvollisuudet; politiikkasivu, mukaan lukien CRA:n täytäntöönpanoa koskeva usein kysyttyjen kysymysten osio, jonka luku 5 käsittelee ilmoittamista.digital-strategy.ec.europa.eu/en/policies/cra-reporting
- Euroopan komissio · CRA:n soveltamisohje (27. heinäkuuta 2026); kohta 9.1 esittää valmistajien ja avoimen lähdekoodin ohjelmistojen ylläpitäjien ilmoitusvelvollisuudet. Meidän yhteenvetomme ohjeistuksesta kattaa loput.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
- EU Login; luo tili, jota alusta käyttää. Tee tämä nyt.ecas.ec.europa.eu/cas/login
Sitovassa tekstissä artiklat 14–17 esittävät ilmoitusekosysteemin ja artikla 16 perustaa alustan; lue ne meidän asetuslukijassamme. Virstanpylväiden päivämääriä seurataan nykytilanteen sivulla.
09Yleisiä kysymyksiä
Mitä minun on ilmoitettava CRA:n nojalla ja kuinka nopeasti?
Aktiivisesti hyväksikäytetyistä haavoittuvuuksista ja vakavista poikkeamista, jotka vaikuttavat tuotteesi turvallisuuteen. Ennakkovaroitus 24 tunnin kuluessa tietoiseksi tulemisesta, kattavampi ilmoitus 72 tunnin kuluessa ja loppuraportti 14 päivän kuluessa siitä, kun korjaava toimenpide on saatavilla haavoittuvuuden osalta, tai yhden kuukauden kuluessa 72 tunnin ilmoituksesta vakavan poikkeaman osalta. Art. 14
Milloin ilmoittamisvelvollisuudet alkavat?
11. syyskuuta 2026; 21 kuukautta lain voimaantulon jälkeen, ja hyvissä ajoin ennen täyttä soveltamista 11. joulukuuta 2027.
Kenelle ilmoitan?
ENISAlle ja koordinaattoriksi nimetylle kansalliselle CSIRT-yksikölle artiklan 16 nojalla perustetun yhden ilmoituspisteen alustan kautta. CSIRT-yksikkösi määräytyy unionissa sijaitsevan päätoimipaikkasi mukaan, tai valtuutetun edustajasi mukaan, jos et ole sijoittautunut EU:hun.
Onko minun ilmoitettava jokaisesta virheestä tai haavoittuvuudesta?
Ei. Ainoastaan aktiivisesti hyväksikäytetyt haavoittuvuudet ja vakavat poikkeamat ovat ilmoitettavia. Haavoittuvuudet, jotka löydät ja korjaat ennen hyväksikäyttöä, hallitaan tavanomaisen haavoittuvuuksien hallintaprosessisi kautta.
Onko ENISA:n yhden ilmoituspisteen alusta jo saatavilla?
Not as of 13 August 2026. The platform is not live and its public URL has not been published; ENISA will announce it on its SRP page before go-live. It is scheduled to be operational by 11 September 2026, with user and security testing beforehand.
Voinko rekisteröityä tai valmistella jotain jo nyt?
Kyllä, ja kannattaa. Luo EU Login accounts the platform will use, for a primary reporter and a backup. You cannot register on the platform itself until it goes live, and ENISA advises starting the platform registration only when you actually need to file, because the coordinating CSIRT validates the account after first access rather than ahead of it. ENISA confirmed on 3 August 2026 that this validation is not a prerequisite for meeting the reporting obligation and does not block submission.
Voinko lähettää ilmoituksia API:n kautta?
Ei. ENISA toteaa, että tässä vaiheessa ei tarjota sovellusrajapintaa. Voit automatisoida sisäisen havaitsemisen ja laatimisen, mutta lähettäminen on henkilö, joka täyttää selainlomakkeen.
Mitä 24 tunnin ennakkovaroituksen on todellisuudessa sisällettävä?
Vähemmän kuin useimmat odottavat. Pakolliset kentät ovat ilmoituksen tyyppi ja taso, valmistajan tai hallinnoijan nimi, tuote, otsikko sekä poikkeamien osalta se, epäilläänkö lainvastaisia tai haitallisia tekoja. Sisällöllinen analyysi on määrä toimittaa 72 tunnin kohdalla, ei ensimmäisenä päivänä.
Onko ilmoittamista varten jo vakiomuotoa tai mallia?
Datakentät on julkaistu. ENISAn usein kysyttyjen kysymysten osio esittää, mitkä ovat pakollisia 24 tunnin, 72 tunnin ja loppuraportin vaiheissa, joten voit rakentaa vastaavan sisäisen mallin jo tänään. Komissio voi vielä täsmentää muotoa ja menettelyä täytäntöönpanosäädöksillä.
Voinko viivyttää ilmoitusta, jos julkistaminen olisi riskialtista?
Not the filing. The 24-hour, 72-hour and final-report windows run from awareness and nothing pauses them. You may flag sensitivity: under Article 16(2) you can mark narrow conditions that limit what ENISA sees until the CSIRT releases the full notification. The decision to delay onward dissemination belongs to the receiving CSIRT, under Delegated Regulation (EU) 2026/881, adopted on 11 December 2025.
Pitääkö minun ilmoittaa hyväksikäytöstä, josta tiesin jo ennen syyskuuta 2026?
Ei. Velvollisuus alkaa, kun tulet tietoiseksi, eikä se ulotu haavoittuvuuksiin, joiden aktiivisesta hyväksikäytöstä olit jo tietoinen ennen 11. syyskuuta 2026.
Koskeeko ilmoitusvelvollisuus tuotteita, jotka saatoin markkinoille vuosia sitten?
Kyllä. Artikla 69(2) sanoo, että ennen 11. joulukuuta 2027 markkinoille saatetut tuotteet kuuluvat asetuksen soveltamisalaan vain, jos niitä on olennaisesti muutettu kyseisestä päivästä alkaen, mutta artikla 69(3) poikkeaa siitä nimenomaisesti artiklan 14 osalta: ilmoitusvelvollisuuksia sovelletaan kaikkiin soveltamisalaan kuuluviin tuotteisiin, jotka on saatettu markkinoille ennen 11. joulukuuta 2027, muutettuina tai ei. Tuote voi siten jäädä CRA:n tuotevaatimusten ulkopuolelle ja kuulua silti ilmoitusvelvollisuuden piiriin. Art. 69(2)–(3)
Koskeeko tämä mitenkään avoimen lähdekoodin projekteja?
Avoimen lähdekoodin ohjelmistojen ylläpitäjillä on ilmoitusvelvollisuuksia siltä osin kuin ne ovat tekemisissä digitaalisia elementtejä sisältävien tuotteiden kanssa, artiklan 24(3) nojalla. Komission 27. heinäkuuta 2026 antama ohjeistus käsittelee avointa lähdekoodia yksityiskohtaisemmin.
Mistä saan apua, jos olen pieni yritys?
ENISA ylläpitää neuvontapalvelua kiinnittäen erityistä huomiota pk-yrityksiin, ja myös koordinaattoreiksi nimetyt CSIRT-yksiköt ovat velvollisia tarjoamaan neuvontatukea artiklan 14 velvollisuuksissa. Lisäksi ENISA suunnittelee opastusvideoita ja verkkoseminaaria kaksi viikkoa ennen alustan käyttöönottoa.