Kyberturvallisuuskeskus muistuttaa valmistajia – haavoittuvuuksien ilmoitusvelvollisuus alkaa syyskuussa
Syyskuun ilmoitusvelvollisuus antaa valmistajille vain vuorokauden aikaa reagoida, joten prosessi kannattaa testata etukäteen.
Tiivistelmä
Kyberturvallisuuskeskus kehottaa verkkoon kytkeytyvien tuotteiden valmistajia varautumaan kyberkestävyyssäädöksen mukaiseen ilmoitusvelvollisuuteen, joka alkaa 11. syyskuuta. Aktiivisesti hyväksikäytetystä haavoittuvuudesta tai vakavasta poikkeamasta on ilmoitettava ENISA:n Single Reporting Platform -alustalle jo vuorokauden kuluessa, ja viranomainen listaa yhdeksän askelta, joilla valmistaja voi valmistautua prosessiin ennen ensimmäistä oikeaa tapausta.
Kello alkaa käydä 11. syyskuuta.
Sinä päivänä alkaa EU:n kyberkestävyyssäädöksen mukainen ilmoitusvelvollisuus, joka pakottaa verkkoon kytkeytyvien tuotteiden valmistajat raportoimaan aktiivisesti hyväksikäytetyt haavoittuvuudet ja vakavat poikkeamat tiukalla aikataululla. Lyhyet määräajat on rakennettu niin, että tieto hyökkäyksen kohteena olevasta ominaisuudesta kulkeutuu viranomaisille ja muille saman komponentin käyttäjille mahdollisimman pian sen jälkeen, kun valmistaja itse on saanut siitä tiedon.
Kyberturvallisuuskeskus julkaisi 26. elokuuta ohjeistuksen, jossa se kehottaa valmistajia rakentamaan sisäisen ilmoitusprosessin valmiiksi jo ennen määräpäivää. Viranomainen muistuttaa, ettei prosessia kannata rakentaa vasta siinä vaiheessa, kun ensimmäinen raportoitava tapaus on jo käsillä.
Ohjeistus on suunnattu organisaatioille, ei yksittäisille kuluttajille, ja sen sanoma menee valmistajan tietoturva- ja vaatimustenmukaisuustiimille eikä tuotteen tavalliselle käyttäjälle.
Kello alkaa käydä siitä hetkestä, kun valmistaja saa tiedon aktiivisesti hyväksikäytetystä haavoittuvuudesta tai vakavasta poikkeamasta. Tieto voi tulla valmistajan omalta tietoturvatiimiltä, ulkopuoliselta tutkijalta tai asiakkaalta, joten kellon käynnistymishetkeä ei aina voi ennakoida.
Ensimmäinen varoitusilmoitus on tehtävä vuorokauden kuluessa, ja tarkempi ilmoitus seuraa 72 tunnin kuluessa.
Kyberkestävyyssäädös (Cyber Resilience Act, CRA)
EU-asetus, joka velvoittaa verkkoon kytkeytyvien laitteiden ja ohjelmistojen valmistajat ilmoittamaan aktiivisesti hyväksikäytetyt haavoittuvuudet ja vakavat tietoturvapoikkeamat EU-laajuiselle alustalle. Kello käynnistyy tiedon saamisesta: ensimmäinen varoitus 24 tunnissa, tarkennus 72 tunnissa.
Säädös erottaa toisistaan kaksi ilmoitusketjua, joilla kummallakin on oma loppusuoransa. Aktiivisesti hyväksikäytetystä haavoittuvuudesta etenevä ketju päättyy lopulliseen haavoittuvuusraporttiin 14 vuorokauden kuluessa siitä, kun korjaus tai lieventävä toimenpide on julkaistu. Vakavasta poikkeamasta etenevä ketju sen sijaan päättyy lopulliseen poikkeamaraporttiin kuukauden kuluessa ensi-ilmoituksesta.
Kyberturvallisuuskeskus tiivistää säädöksen soveltamisalan yhteen nyrkkisääntöön. Jos laite, ohjelmisto tai muu tuote kytkeytyy verkkoon tai toiseen laitteeseen, se kuuluu kyberkestävyyssäädöksen piiriin. Sääntö koskee viranomaisen mukaan myös tuotteita, joiden päivitystuki on jo päättynyt, joten piiriin voi kuulua vanha reititin yhtä lailla kuin tuore älylaite.
Monella valmistajalla ei enää ole ylläpitotiimiä tuotteelle, jonka päivitykset loppuivat vuosia sitten, joten ilmoitusvelvollisuuden täyttäminen on vanhimman kaluston kohdalla usein hankalinta.
Nyrkkisääntö ei erottele valmistajan kokoa, joten sama velvollisuus koskee sekä suurta sarjavalmistajaa että pientä ohjelmistotaloa, kunhan tuote kytkeytyy verkkoon tai toiseen laitteeseen.
Kaikki ilmoitukset tehdään ENISA:n ylläpitämän Single Reporting Platform -alustan kautta. Alusta on sama kaikille EU-maille, joten yksi ilmoitus kattaa koko sisämarkkina-alueen sen sijaan, että valmistaja joutuisi ilmoittamaan haavoittuvuudesta erikseen jokaiselle kansalliselle viranomaiselle.
Valmistajan on nimettävä alustalle vastuullinen edustaja ja hänelle varahenkilö, sillä raportointi kulkee toistaiseksi vain näiden kahden nimetyn edustajan kautta.
Rajapintapohjainen ilmoittaminen on Kyberturvallisuuskeskuksen mukaan tulossa käyttöön arviolta keväällä 2027, mutta siihen asti jokainen ilmoitus jätetään käsin.
Mitä valmistajan pitää tehdä
Kyberturvallisuuskeskus listaa ohjeistuksessaan yhdeksän valmistelevaa askelta. Ensimmäiset koskevat vastuita eli sitä, kuka ilmoittaa, kuka toimii varalla ja mistä kanavista haavoittuvuustiedot ylipäätään saapuvat taloon. Keskimmäiset koskevat itse prosessia, siis sen dokumentointia sekä määräaikojen ja vaadittavien tietojen tuntemista. Viimeiset koskevat viestintää ja harjoittelua eli sitä, miten käyttäjille kerrotaan tapauksesta ja onko koko ketju testattu etukäteen.
- Selvitä, mitkä tuotteet kuuluvat säädöksen piiriin.
- Nimeä vastuullinen edustaja ja hänelle varahenkilö.
- Varmista, että molemmat osaavat rekisteröityä ja ilmoittaa SRP-alustalla.
- Määritä sisäiset ja ulkoiset kanavat, joiden kautta haavoittuvuusilmoitukset otetaan vastaan.
- Dokumentoi käsittelyprosessi.
- Opettele ilmoitusten määräajat.
- Selvitä, mitä tietoja kukin ilmoitustyyppi vaatii.
- Suunnittele, miten käyttäjille tiedotetaan tapauksesta.
- Harjoittele koko prosessi läpi ainakin kerran, ennen kuin sitä tarvitaan oikeasti.
Ohjeistuksen julkaisuhetkellä syyskuun 11. päivään oli enää reilut kaksi viikkoa aikaa, joten yhdeksän kohdan lista ei ole enää pitkän aikavälin suunnitelma vaan lähiviikkojen tehtävälista.
Kyberturvallisuuskeskus on Suomen kansallinen kyberturvallisuusviranomainen, joten kehotus koskee suomalaisia valmistajia suoraan, ei tulkintana jostain toisesta lähteestä.
Viranomainen kehottaa rekisteröimään vastuullisen edustajan ja tämän varahenkilön Single Reporting Platform -alustalle jo ennen syyskuun 11. päivää.
Lähteet
- Kyberturvallisuuskeskus (26.08.2026)
- Euroopan komissio – Cyber Resilience Act, Reporting obligations (31.07.2026)