01Mitä on ilmoitettava
Asetuksen artikla 14 Cyber Resilience Act luo kaksi ilmoitusvelvollisuutta digitaalisia elementtejä sisältävien tuotteiden valmistajille. Ne ovat kapeampia kuin miltä ensin näyttää: tavanomaiset ohjelmistoviat ja tavalliset korjauspäivitykset eivät kuulu soveltamisalaan. Art. 14
- Aktiivisesti hyväksikäytetyt haavoittuvuudet; tuotteessasi oleva haavoittuvuus, josta on luotettavaa näyttöä siitä, että haitallinen toimija on hyväksikäyttänyt sitä järjestelmässä ilman omistajan lupaa. Haavoittuvuus, jonka löydät ja korjaat ennen sen hyväksikäyttöä, käsitellään tavanomaisessa haavoittuvuuksien hallintaprosessi, ei tätä ilmoituskanavaa.
- Vakavat poikkeamat; poikkeama, joka vaikuttaa kielteisesti tai voi vaikuttaa kielteisesti tuotteen kykyyn suojata tietojen tai toimintojen saatavuutta, aitoutta, eheyttä tai luottamuksellisuutta. Vakavuuskriteerit ovat artiklassa 14(5).
Velvollisuudet eivät rajoitu kaupallisiin valmistajiin. Avoimen lähdekoodin ohjelmistojen ylläpitäjät ovat omien ilmoitusvelvollisuuksiensa piirissä siltä osin kuin ne ovat tekemisissä digitaalisia elementtejä sisältävien tuotteiden kanssa. Art. 24(3)
Jos tuotteesi tietoturvaheikkous on aktiivisessa hyväksikäytössä tai tietoturvapoikkeama on vakavasti vaikuttanut siihen, artiklan 14 kello alkaa käydä. Kaikki muu pysyy päivittäisen haavoittuvuuksien hallinnan piirissä.
Haavoittuvuutta, jonka aktiivisesta hyväksikäytöstä tiesit jo ennen ilmoitusvelvollisuuden soveltamisen alkamispäivää 11. syyskuuta 2026, ei tarvitse ilmoittaa. Velvollisuus kytkeytyy hetkeen, jona tulet tietoiseksi, joten se kattaa sen, minkä saat tietää kyseisestä päivästä eteenpäin, ei sitä aiempaa.
Tämä on se kohta, joka yllättää monet, ja siitä kannattaa olla täsmällinen. Artikla 69(2) asettaa yleisen siirtymäsäännön: tuotteet, jotka on saatettu markkinoille ennen 11. joulukuuta 2027 kuuluvat asetuksen soveltamisalaan vain, jos niitä on olennaisesti muutettu kyseisestä päivästä alkaen. Yksinään luettuna tämä antaa ymmärtää, ettei nykyiseen tuotevalikoimaasi kosketa.
Artikla 69(3) leikkaa sitten artiklan 14 suoraan siitä ulos. Nimenomaisen poikkeuksen nojalla ilmoitusvelvollisuuksia sovelletaan kaikkiin asetuksen soveltamisalaan kuuluviin digitaalisia elementtejä sisältäviin tuotteisiin, jotka on saatettu markkinoille ennen 11. joulukuuta 2027, riippumatta siitä, muutetaanko niitä koskaan.
Nämä kaksi sääntöä kulkevat siis eri akseleilla. Tuote, jonka myit vuonna 2025, ei ehkä koskaan tarvitse CRA:n mukaista CE-merkintää, mutta jos siinä olevaa haavoittuvuutta hyväksikäytetään aktiivisesti ja tulet siitä tietoiseksi 11. syyskuuta 2026 tai sen jälkeen, siitä on ilmoitettava. Sinun asennuskantasi kuuluu ilmoitusvelvollisuuden piiriin silloinkin, kun se jää tuotevaatimusten soveltamisalan ulkopuolelle. Komissio päätyy samaan johtopäätökseen CRA:n täytäntöönpanoa koskevan usein kysyttyjen kysymysten osionsa kohdassa 5.3. Art. 69(2)–(3)
02Kolme määräaikaa
Jokainen ilmoitus etenee kolmessa vaiheessa, laskettuna hetkestä, jolloin tulet tietoiseksi hyväksikäytetystä haavoittuvuudesta tai vakavasta poikkeamasta. Aikaikkunat ovat tiukat, minkä vuoksi valmius on tärkeää. Art. 14(2)–(4)
- 24 tunnin kuluessaEnnakkovaroitus. Ensimmäinen ilmoitus siitä, että aktiivisesti hyväksikäytetty haavoittuvuus tai vakava poikkeama on tapahtunut, mukaan lukien poikkeamien osalta se, epäilläänkö sen johtuvan lainvastaisista tai haitallisista teoista.
- 72 tunnin kuluessaHaavoittuvuus- / poikkeamailmoitus. Kattavampi selostus: haavoittuvuuden ja hyväksikäytön yleinen luonne, alustava arvio sekä toteutetut korjaavat tai lieventävät toimenpiteet ja ne, joita käyttäjät voivat toteuttaa.
- LoppuraporttiLoppuraportti. Jos kyseessä on haavoittuvuus, viimeistään 14 päivää sen jälkeen, kun korjaava tai lieventävä toimenpide on saatavilla. Jos kyseessä on vakava poikkeama, määräaika on yksi kuukausi 72 tunnin ilmoituksesta. Siinä esitetään täydellinen kuvaus, vakavuus, vaikutukset ja toteutetut korjaustoimet.
Huomaa viimeisen rivin epäsymmetria: haavoittuvuuden kellon käynnistää korjauksen olemassaolo, poikkeaman kellon aiempi ilmoitus. Ne ovat eri mekaniikkaa, ja ne kannattaa kirjata toimintaohjeeseesi erikseen.
03Milloin se alkaa
Ilmoittamisvelvollisuudet ovat CRA:n aikaisimmin voimaan tuleva merkittävä osa. Vaikka suurin osa säännöksistä soveltuu 11. joulukuuta 2027 alkaen, artikla 14 soveltuu alkaen 11. syyskuuta 2026; 21 kuukautta säädöksen voimaantulon jälkeen. ENISA on aikatauluttanut yhden ilmoituspisteen alustan toimintakuntoon samaan päivään mennessä. Art. 71
Alusta ei ole vielä käytössä eikä sen julkista URL-osoitetta ole julkaistu. ENISA ilmoittaa, että se kerrotaan sen yhden ilmoituspisteen alustaa käsittelevällä sivulla ennen käyttöönottoa. Käyttäjä- ja turvallisuustestaus on määrä tehdä sitä ennen, ja CSIRT-verkosto osallistuu testaukseen.
ENISA on kuitenkin julkaissut tietolehden, laajennetun usein kysyttyjen kysymysten osion ja kaksi vaiheittaista ohjesivua, jotka kattavat rekisteröitymisen ja ilmoituksen lähettämisen; kaikki viimeksi päivitetty 31. heinäkuuta 2026. Lyhyet opastusvideot ja verkkoseminaari kaksi viikkoa ennen käyttöönottoa ovat vielä tulossa. ENISA merkitsee julkaistun ohjeistuksen muuttuvaksi.
Kaksi muuta osaa puuttuu vielä: luettelo koordinaattoreiksi nimetyistä kansallisista CSIRT-yksiköistä, jonka ENISA sanoo toimittavansa myöhemmässä vaiheessa, sekä yhdenmukaistetut standardit jotka ovat haavoittuvuuksien käsittelyn perustana; niitä odotetaan 30. elokuuta 2026 tienoilla, eikä yhtäkään ole vielä julkaistu Euroopan unionin virallisessa lehdessä.
Toisin kuin CE-merkintä, jonka teet kerran ennen tuotteen markkinoille saattamista, ilmoittaminen on elävä ja jatkuva velvollisuus, joka alkaa syyskuussa 2026 ja joka voi laueta minä hetkenä hyvänsä sen jälkeen. Valmius ei ole kertaluonteinen projekti. Rakenna sisäinen havaitsemis- ja ilmoitusprosessi nyt; velvollisuus koskee 11. syyskuuta 2026 alkaen riippumatta siitä, ovatko työkalut valmiit.
04Kenelle ilmoitat
Ilmoitukset toimitetaan ENISA ja koordinaattoriksi nimetty CSIRT, yhden sisääntulopisteen kautta eikä erillisinä ilmoituksina kullekin kansalliselle viranomaiselle. Tämä sisääntulopiste on yhden ilmoituspisteen alusta, jonka ENISA perustaa, jota se hallinnoi ja jota se ylläpitää artiklan 16 nojalla. Art. 14 · 16
Se, mikä CSIRT on sinun, määräytyy päätoimipaikkasi mukaan unionissa tai, jos et ole sijoittautunut EU:hun, sen mukaan, missä sijaitsee valtuutettu edustaja. Vastaanottava CSIRT-yksikkö levittää ilmoituksen edelleen niiden jäsenvaltioiden CSIRT-yksiköille, joissa tuote on saatavilla, sekä tarvittaessa markkinavalvontaviranomaisille. Art. 14(7) · 18
Tukea on saatavilla molemmilta puolilta. ENISA ylläpitää neuvontapalvelua kiinnittäen erityistä huomiota pk-yrityksiin, ja myös koordinaattoreiksi nimetyt CSIRT-yksiköt ovat velvollisia tarjoamaan neuvontatukea artiklan 14 velvollisuuksissa. ENISA syöttää korjatut haavoittuvuudet myös Euroopan haavoittuvuustietokantaan, ja julkaisee joka toinen vuosi teknisen trendiraportin, joista ensimmäinen on määrä julkaista 24 kuukauden kuluessa ilmoitusvelvollisuuksien alkamisesta. Art. 17(6)
CSIRT voi keskeyttää ilmoitetun haavoittuvuuden levittämisen, mutta sinä et voi
Vastaanottava CSIRT-yksikkö voi viivyttää tai pidättää edelleen levittämistä perustelluista kyberturvallisuussyistä ehdottoman tarpeellisen ajan; esimerkiksi silloin, kun haavoittuvuus on koordinoidun julkistamismenettelyn piirissä. Komissio täsmensi ehdot delegoidussa säädöksessä, joka hyväksyttiin 11. joulukuuta 2025. Jos CSIRT pidättää ilmoituksen, sen on kerrottava siitä ENISAlle välittömästi, perusteluineen ja ilmoittaen, milloin se levittää sen.
Erikseen voit erityisen poikkeuksellisissa olosuhteissa merkitä yhden kapeista edellytyksistä, jotka on lueteltu artiklassa 16(2) 72 tunnin ilmoituksessasi: että hyväksikäyttö rajoittuu CSIRT-yksikkösi jäsenvaltioon, että edelleen levittäminen olisi vastoin kyseisen jäsenvaltion olennaisia etuja tai että levittäminen aiheuttaa välittömän suuren kyberturvallisuusriskin. Jos teet näin, ENISA saa vain rajoitetusti tietoa (että ilmoitus tehtiin, yleisiä tietoja tuotteesta, hyväksikäytön yleisen luonteen ja sen, että turvallisuusperusteisiin vedottiin), kunnes CSIRT vapauttaa täyden ilmoituksen.
Kumpikaan mekanismi ei pysäytä sinun kelloasi. Et voi viivyttää ilmoituksen jättämistä; 24 tunnin, 72 tunnin ja loppuraportin määräajat kulkevat tietoiseksi tulemisesta. Voit sen sijaan merkitä tiedon arkaluonteiseksi, mikä rajoittaa sitä, kuka näkee sisällön. Päätös levittämisen pidättämisestä kuuluu vastaanottavalle CSIRT-yksikölle.
05Rekisteröityminen alustalle
ENISAn ohje päivämäärältä 31. heinäkuuta 2026 on ensimmäinen aineisto, joka näyttää todelliset näkymät. Et voi rekisteröityä itse alustalle ennen sen käyttöönottoa, mutta voit päättää jo nyt, kuka hallinnoi tilejä, ja hankkia tunnukset valmiiksi; ja sinun kannattaa tuntea kulku ennen kuin kohtaat sen 24 tunnin kellon alla.
Nimeä kaksi henkilöä ennen kuin tarvitset heitä
Alusta antaa jokaiselle valmistajalle kaksi käyttäjätilityyppiä, ja voit päättää jo tänään, kuka ne täyttää. Ensisijainen edustaja rekisteröityy ensin ja luo valmistajan tietueen alustalle. Tämän jälkeen kyseinen henkilö kutsuu toisen henkilön, joka on toissijainen edustaja, joka toimii varahenkilönä saman valmistajan osalta ja voi tehdä ilmoituksia sen puolesta. Molemmat ovat nimettyjä henkilöitä yrityksessäsi. Koska lähettäminen on manuaalista, yksi ainoa nimetty ilmoittaja, joka on lomalla, nukkumassa tai lähtenyt, on todellinen toiminnallinen riski, joten kohtele toista paikkaa välttämättömänä eikä valinnaisena.
EU Login on tunnus, ja molemmat henkilöt voivat luoda sen jo tänään
Alustan tilit tunnistautuvat palvelun EU Login kautta, joka on Euroopan komission yhteinen kirjautumispalvelu ja käytössä kaikissa sen verkkojärjestelmissä. ENISA toteaa, että tilin voi luoda etukäteen, ja tämä on hyödyllisin yksittäinen asia, jonka voit tehdä juuri nyt. Luo yksi ensisijaiselle edustajalle ja yksi toissijaiselle osoitteessa ecas.ec.europa.eu, käyttäen työsähköpostiosoitteita, jotka ovat olemassa vielä vuodenkin kuluttua. Komissio selittää, mitä EU Login on ja miten se sopii sen laajempaan identiteettikehykseen, luotettavan digitaalisen identiteetin sivuillaan.
Rekisteröitymisen kulku
Kun käytät alustaa ensimmäisen kerran, valitset roolisi, valitset nimetyn CSIRT-yksikkösi pudotusvalikosta, tunnistaudut EU Loginin kautta, luet ja hyväksyt oikeudellisen sopimuksen, vahvistat esitäytetyt henkilötietosi (etunimi, sukunimi, sähköposti, virallinen nimi) ja syötät sitten valmistajan nimen, osoitteen ja lisätiedot. Pakollisen valmistajakentän jättäminen tyhjäksi estää etenemisen. Valmistuttuaan tilisi aktivoituu roolissa ”AR Active”, saat vahvistussähköpostin ja valmistajayksikkö luodaan alustalle.
The toissijainen edustaja liittyy sähköpostikutsulla ensisijaiselta edustajalta, vahvistaa esitäytetyt henkilö- ja valmistajatiedot ja rekisteröidään varakäyttäjäksi saman valmistajan osalta. Kutsu vanhenee 7 päivän kuluttua, minkä jälkeen tietue merkitään tilaan ”Invitation Expired” ja uusi on lähetettävä. Määritä varahenkilön tili samalla istunnolla kuin ensisijaisen; kesken poikkeaman havaittu vanhentunut kutsu on vältettävissä oleva ongelma.
CSIRT tarkastaa edustajasi manuaalisesti, mutta se ei estä sinua tekemästä ilmoitusta
Jonkun on vahvistettava, että tietty henkilö todella saa ilmoittaa tietyn valmistajan puolesta, ja tämä tarkastus kuuluu koordinaattoriksi nimetylle CSIRT-yksikölle. Se on manuaalinen vaihe, menettely vaihtelee CSIRT-yksiköiden välillä, ja kukin CSIRT vastaa omasta lähestymistavastaan. Olennaista on, että se tapahtuu vasta ensimmäisen alustan käyttökertasi jälkeen ja etenee rinnakkain ilmoituksesi kanssa: ENISA toteaa, että validointi ei vaikuta kykyysi lähettää ilmoituksia. Validoimaton tili voi silti tehdä ilmoituksen 24 tunnin määräajassa.
Tämän vuoksi ENISA myös neuvoo rekisteröitymään ja aloittamaan validoinnin vasta silloin, kun sinun on todella tehtävä ilmoitus, sen sijaan että koko markkina rekisteröityisi etukäteen ja hautaisi CSIRT-yksiköt spekulatiivisiin tarkastuksiin. Etukäteen tehtävä valmistelu on EU Login -tilit ja päätös siitä, kuka täyttää kaksi paikkaa, ei alustalle rekisteröityminen itsessään.
ENISAn ohjeistus on kirjoitettu termille ”Assigned Representatives” (AR), jossa on pääkäyttäjiä ja varakäyttäjiä. Kyseessä on alustan tilirooli. Se ei ole valtuutettu edustaja eli henkilö, joka on nimitetty kirjallisella toimeksiannolla CRA:n artiklan 18 nojalla. Sinulla voi olla edellinen ilman jälkimmäistä. Pidä nämä kaksi erillään sisäisessä menettelyssäsi, tai päädyt väittelemään oikeudellisesta nimityksestä, vaikka tarvitset vain toisen kirjautumistunnuksen.
06Ilmoituksen tekeminen
Ilmoittaminen tapahtuu koontinäytöltä. Luot ilmoituksen ja täydennät sitten samaa tietuetta kussakin vaiheessa sen sijaan, että tekisit kolme erillistä ilmoitusta. Jokaisella vaiheella on oma välilehtensä, ja jokaisen voi ensin tallentaa luonnoksena; luonnokset näkyvät vain sinulle.
- EnnakkovaroitusAloita uusi ilmoitus koontinäytöltä, täytä pakolliset kentät ja valitse olemassa oleva valmistaja tai lisää uusi. Lähetettäessä se toimitetaan nimetylle CSIRT-yksiköllesi ja automaattisesti ENISAlle. Vahvistukset sähköpostitse ja hälytyksinä menevät sinulle, CSIRT-yksikölle ja ENISAlle.
- 72 tuntiaKäytettävissä vasta, kun ennakkovaroitus on olemassa. Avaa sama ilmoitus ja täytä 72 tunnin välilehti. ENISA saa sen automaattisesti, ellet vetoa artiklan 16(2) edellytyksiin, jolloin tietue merkitään ja ENISAn näkymä on rajoitettu, kunnes CSIRT vapauttaa sen.
- LoppuraporttiKäytettävissä vasta, kun molemmat aiemmat vaiheet ovat olemassa. Muut asianomaiset CSIRT-yksiköt saavat loppuraportin vasta sen jälkeen, kun koordinoiva CSIRT-yksikkösi levittää sen manuaalisesti.
Mikä on pakollista ja milloin
ENISA on julkaissut, mitkä kentät ovat pakollisia kussakin vaiheessa. Taulukko korjaa hyödyllisellä tavalla laajalle levinneen oletuksen: 24 tunnin ennakkovaroitus on hälytys, ei tutkinta.
- 24 tunnin kohdalla; ilmoituksen tyyppi ja taso, valmistajan tai hallinnoijan nimi, tuote ja otsikko. Poikkeamien osalta se, epäilläänkö lainvastaisia tai haitallisia tekoja. Jäsenvaltiot, joissa tuote on saatavilla, vaaditaan vain, jos tieto on jo hallussasi.
- 72 tunnin kohdalla; haavoittuvuuden ja hyväksikäytön yleinen luonne, toteutetut korjaavat tai lieventävät toimenpiteet ja toimenpiteet, joita käyttäjät voivat toteuttaa. Poikkeamien osalta se, milloin se havaittiin ja milloin se tapahtui, sekä alustava arvio. Arkaluonteisuus merkitään tässä.
- Loppuraportin kohdalla; täydellinen kuvaus, vakavuus ja vaikutukset, päivä jona korjaava toimenpide tuli saataville, sekä tietoturvapäivityksen yksityiskohdat. Poikkeamien osalta todennäköinen perussyy ja käynnissä olevat lieventävät toimet.
Vapaaehtoisiin kenttiin, jotka kannattaa silti kirjata, kuuluvat CVE ID ja the EUVD ID, jotka molemmat ovat käytettävissä ensimmäisestä vaiheesta alkaen.
Muokkaaminen ja piste, josta ei ole paluuta
Lähetettyä ilmoitusta voi päivittää, ja alusta hälyttää automaattisesti CSIRT-yksikkösi sekä ENISAn ja kaikki CSIRT-yksiköt, jotka ovat jo saaneet sen levityksen kautta. Kaksi rajoitusta pätee: suljettua ilmoitusta ei voi päivittää, ja tietueesta tulee muokkauskelvoton, kun loppuraportti on lähetetty.
ENISA toteaa, että tässä vaiheessa ei tarjota sovellusrajapintaa. Voit automatisoida havaitsemisen, luokittelun ja laatimisen sisäisesti, mutta lähettäminen itsessään on henkilö, joka täyttää selainlomakkeen. Suunnittele tämä luovutus tarkoituksella ja varmista, että useampi kuin yksi henkilö voi tehdä sen virka-ajan ulkopuolella ja viikonloppuna.
Alusta ottaa vastaan myös vapaaehtoisia ilmoituksia haavoittuvuuksista, kyberuhkista, poikkeamista ja läheltä piti -tilanteista keneltä tahansa luonnolliselta henkilöltä tai oikeushenkilöltä eikä vain valmistajilta. ENISA sanoo, että tämä toiminnallisuus on käytössä vasta 11. syyskuuta 2026 jälkeen, joten se ei ole reitti matalan riskin harjoituskierrokseen ennen määräaikaa.
07Mitä voit tehdä jo tänään
24 tunnin määräajan noudattaminen on toiminnallinen ongelma, ei paperityöongelma, ja lähes kaikki valmistelu on tehtävissä jo nyt. Mikään alla olevista ei riipu siitä, onko alusta käytössä.
- Luo EU Login -tilisi. Ensisijaiselle ilmoittajalle ja vähintään yhdelle varahenkilölle. Se vie minuutteja osoitteessa ecas.ec.europa.eu ja poistaa vaiheen, jota et halua havaita kesken poikkeaman.
- Tunnista nimetty CSIRT-yksikkösi. Se määräytyy unionissa sijaitsevan päätoimipaikkasi mukaan, tai valtuutetun edustajasi mukaan, jos olet sijoittautunut EU:n ulkopuolelle. ENISAn täydellistä koordinaattoriluetteloa ei ole vielä julkaistu, joten kirjaa perustelusi nyt ja vahvista se luetteloa vasten, kun se ilmestyy.
- Rakenna 24 tunnin lomake sisäisesti. Lyhyt malli, joka vastaa ENISAn pakollisia ennakkovaroituskenttiä, jotta ensimmäinen todellinen ilmoituksesi on puhtaaksikirjoittamista eikä laatimista.
- Nimeä henkilöt, myös virka-ajan ulkopuolelle. Päätä, kuka arvioi ilmoituksen tarpeen, kuka laatii sen ja kuka lähettää sen. Koska API:a ei ole, viimeinen vaihe on nimetty ihminen näppäimistön ääressä.
- Pidä SBOM täsmällisenä. Et voi ilmoittaa komponentista, jonka toimittamisesta et tiennyt. Ylläpidä ohjelmistoluetteloa ja pidä se ajan tasalla julkaisujen muuttuessa.
- Seuraa sitä jatkuvasti. Vertaa komponenttejasi tunnettujen haavoittuvuuksien lähteisiin, jotta aktiivisesti hyväksikäytetty puute tulee esiin tunneissa, ei viikoissa. Meidän SBOM- ja haavoittuvuusanalysaattori seuraa ohjelmistoluetteloasi NVD:tä ja EU:n haavoittuvuustietokantaa (EUVD) vasten.
- Vahvista, mikä todella kuuluu soveltamisalaan. 72 tunnin vaiheessa kysytään tuotetyyppiä ja liitteen III tai IV luokkaa, joten ratkaise luokittelu ennen kuin tarvitset sitä. Luokittelutyökalu vastaa siihen, ja vaatimustenmukaisuusmatriisi sitoo ilmoittamisen laajempiin liite I:n haavoittuvuuksien hallintavelvollisuuksiin, joiden piiriin se kuuluu.
- Merkitse verkkoseminaari kalenteriin. ENISA aikoo pitää sellaisen kaksi viikkoa ennen alustan käyttöönottoa ja julkaista lyhyitä opastusvideoita lähempänä julkaisua.
08Seuraa asiaa lähteestä
Tämä sivu kuvaa tilannetta 6. elokuuta 2026. Alusta on yhä liikkeessä, ja ENISA muokkaa sivujaan hiljaisesti sen sijaan, että ilmoittaisi jokaisesta muutoksesta, joten alla olevien sivujen ”viimeksi päivitetty” -merkinnät kannattaa tarkistaa suoraan. Nämä ovat ensisijaisia lähteitä; kaikki edellä oleva on meidän tulkintamme niistä.
- ENISA · Yhden ilmoituspisteen alusta; keskussivu, jolla on tietolehti ja yksityiskohtainen usein kysyttyjen kysymysten osio, joka kattaa oikeusperustan, määräajat, reitityksen, kenttätaulukon ja alustan turvallisuuden. Täällä julkinen URL-osoite ilmoitetaan.enisa.europa.eu/topics/product-security-and-certification/single-reporting-platform-srp
- ENISA · SRP-käyttäjän rekisteröitymisohje; vaiheittainen rekisteröitymisen kulku ensisijaisille ja varakäyttäjille, käyttöliittymän kuvakaappauksin.enisa.europa.eu/cra-srp-ar-user-registration
- ENISA · SRP-ilmoituksen lähettämisohje; miten ennakkovaroitus, 72 tunnin ilmoitus ja loppuraportti jätetään ja päivitetään, ja mitä kukin tila laukaisee.enisa.europa.eu/cra-srp-ar-notification-submission-and-update
- Euroopan komissio · CRA:n ilmoitusvelvollisuudet; politiikkasivu, mukaan lukien CRA:n täytäntöönpanoa koskeva usein kysyttyjen kysymysten osio, jonka luku 5 käsittelee ilmoittamista.digital-strategy.ec.europa.eu/en/policies/cra-reporting
- Euroopan komissio · CRA:n soveltamisohje (27. heinäkuuta 2026); kohta 9.1 esittää valmistajien ja avoimen lähdekoodin ohjelmistojen ylläpitäjien ilmoitusvelvollisuudet. Meidän yhteenvetomme ohjeistuksesta kattaa loput.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
- EU Login; luo tili, jota alusta käyttää. Tee tämä nyt.ecas.ec.europa.eu/cas/login
Sitovassa tekstissä artiklat 14–17 esittävät ilmoitusekosysteemin ja artikla 16 perustaa alustan; lue ne meidän asetuslukijassamme. Virstanpylväiden päivämääriä seurataan nykytilanteen sivulla.
09Yleisiä kysymyksiä
Mitä minun on ilmoitettava CRA:n nojalla ja kuinka nopeasti?
Aktiivisesti hyväksikäytetyistä haavoittuvuuksista ja vakavista poikkeamista, jotka vaikuttavat tuotteesi turvallisuuteen. Ennakkovaroitus 24 tunnin kuluessa tietoiseksi tulemisesta, kattavampi ilmoitus 72 tunnin kuluessa ja loppuraportti 14 päivän kuluessa siitä, kun korjaava toimenpide on saatavilla haavoittuvuuden osalta, tai yhden kuukauden kuluessa 72 tunnin ilmoituksesta vakavan poikkeaman osalta. Art. 14
Milloin ilmoittamisvelvollisuudet alkavat?
11. syyskuuta 2026; 21 kuukautta lain voimaantulon jälkeen, ja hyvissä ajoin ennen täyttä soveltamista 11. joulukuuta 2027.
Kenelle ilmoitan?
ENISAlle ja koordinaattoriksi nimetylle kansalliselle CSIRT-yksikölle artiklan 16 nojalla perustetun yhden ilmoituspisteen alustan kautta. CSIRT-yksikkösi määräytyy unionissa sijaitsevan päätoimipaikkasi mukaan, tai valtuutetun edustajasi mukaan, jos et ole sijoittautunut EU:hun.
Onko minun ilmoitettava jokaisesta virheestä tai haavoittuvuudesta?
Ei. Ainoastaan aktiivisesti hyväksikäytetyt haavoittuvuudet ja vakavat poikkeamat ovat ilmoitettavia. Haavoittuvuudet, jotka löydät ja korjaat ennen hyväksikäyttöä, hallitaan tavanomaisen haavoittuvuuksien hallintaprosessisi kautta.
Onko ENISA:n yhden ilmoituspisteen alusta jo saatavilla?
Ei 6. elokuuta 2026 tilanteen mukaan. Alusta ei ole käytössä eikä sen julkista URL-osoitetta ole julkaistu; ENISA ilmoittaa siitä SRP-sivullaan ennen käyttöönottoa. Sen on määrä olla toimintakunnossa 11. syyskuuta 2026 mennessä, ja käyttäjä- ja turvallisuustestaus tehdään sitä ennen.
Voinko rekisteröityä tai valmistella jotain jo nyt?
Kyllä, ja kannattaa. Luo EU Login tilit, joita alusta käyttää, ensisijaiselle ilmoittajalle ja varahenkilölle. Et voi rekisteröityä itse alustalle ennen sen käyttöönottoa, ja ENISA neuvoo aloittamaan alustalle rekisteröitymisen vasta silloin, kun sinun on todella tehtävä ilmoitus, koska koordinoiva CSIRT-yksikkö validoi tilin ensimmäisen käyttökerran jälkeen eikä ennen sitä. Tämä validointi ei estä lähettämistä.
Voinko lähettää ilmoituksia API:n kautta?
Ei. ENISA toteaa, että tässä vaiheessa ei tarjota sovellusrajapintaa. Voit automatisoida sisäisen havaitsemisen ja laatimisen, mutta lähettäminen on henkilö, joka täyttää selainlomakkeen.
Mitä 24 tunnin ennakkovaroituksen on todellisuudessa sisällettävä?
Vähemmän kuin useimmat odottavat. Pakolliset kentät ovat ilmoituksen tyyppi ja taso, valmistajan tai hallinnoijan nimi, tuote, otsikko sekä poikkeamien osalta se, epäilläänkö lainvastaisia tai haitallisia tekoja. Sisällöllinen analyysi on määrä toimittaa 72 tunnin kohdalla, ei ensimmäisenä päivänä.
Onko ilmoittamista varten jo vakiomuotoa tai mallia?
Datakentät on julkaistu. ENISAn usein kysyttyjen kysymysten osio esittää, mitkä ovat pakollisia 24 tunnin, 72 tunnin ja loppuraportin vaiheissa, joten voit rakentaa vastaavan sisäisen mallin jo tänään. Komissio voi vielä täsmentää muotoa ja menettelyä täytäntöönpanosäädöksillä.
Voinko viivyttää ilmoitusta, jos julkistaminen olisi riskialtista?
Et ilmoituksen jättämistä. 24 tunnin, 72 tunnin ja loppuraportin määräajat kulkevat tietoiseksi tulemisesta, eikä mikään pysäytä niitä. Voit merkitä tiedon arkaluonteiseksi: artiklan 16(2) nojalla voit merkitä kapeita edellytyksiä, jotka rajoittavat sitä, mitä ENISA näkee, kunnes CSIRT vapauttaa täyden ilmoituksen. Päätös edelleen levittämisen viivyttämisestä kuuluu vastaanottavalle CSIRT-yksikölle 11. joulukuuta 2025 hyväksytyn delegoidun säädöksen nojalla.
Pitääkö minun ilmoittaa hyväksikäytöstä, josta tiesin jo ennen syyskuuta 2026?
Ei. Velvollisuus alkaa, kun tulet tietoiseksi, eikä se ulotu haavoittuvuuksiin, joiden aktiivisesta hyväksikäytöstä olit jo tietoinen ennen 11. syyskuuta 2026.
Koskeeko ilmoitusvelvollisuus tuotteita, jotka saatoin markkinoille vuosia sitten?
Kyllä. Artikla 69(2) sanoo, että ennen 11. joulukuuta 2027 markkinoille saatetut tuotteet kuuluvat asetuksen soveltamisalaan vain, jos niitä on olennaisesti muutettu kyseisestä päivästä alkaen, mutta artikla 69(3) poikkeaa siitä nimenomaisesti artiklan 14 osalta: ilmoitusvelvollisuuksia sovelletaan kaikkiin soveltamisalaan kuuluviin tuotteisiin, jotka on saatettu markkinoille ennen 11. joulukuuta 2027, muutettuina tai ei. Tuote voi siten jäädä CRA:n tuotevaatimusten ulkopuolelle ja kuulua silti ilmoitusvelvollisuuden piiriin. Art. 69(2)–(3)
Koskeeko tämä mitenkään avoimen lähdekoodin projekteja?
Avoimen lähdekoodin ohjelmistojen ylläpitäjillä on ilmoitusvelvollisuuksia siltä osin kuin ne ovat tekemisissä digitaalisia elementtejä sisältävien tuotteiden kanssa, artiklan 24(3) nojalla. Komission 27. heinäkuuta 2026 antama ohjeistus käsittelee avointa lähdekoodia yksityiskohtaisemmin.
Mistä saan apua, jos olen pieni yritys?
ENISA ylläpitää neuvontapalvelua kiinnittäen erityistä huomiota pk-yrityksiin, ja myös koordinaattoreiksi nimetyt CSIRT-yksiköt ovat velvollisia tarjoamaan neuvontatukea artiklan 14 velvollisuuksissa. Lisäksi ENISA suunnittelee opastusvideoita ja verkkoseminaaria kaksi viikkoa ennen alustan käyttöönottoa.