Kun lukko ei enää ole vain lukko, CRA tuo kyberturvallisuusvaatimukset turvallisuustuotteisiin
CRA:n ensimmäiset valmistajia koskevat ilmoitusvelvollisuudet tulivat voimaan 11. syyskuuta. Varsinaiset tuotevaatimukset seuraavat joulukuussa 2027, mutta turvallisuusalan yritysten kannattaa valmistautua muutokseen jo nyt.
Turvallisuusala on muuttunut nopeasti. Lukko ei välttämättä ole enää vain mekaaninen lukko, kamera ei ole vain kamera eikä kulunvalvontajärjestelmä toimi omassa suljetussa ympäristössään. Yhä useampi turvallisuustuote sisältää ohjelmistoja, verkkoyhteyksiä, pilvipalveluita ja etähallintaa.
EU Cyber Resilience Act eli CRA, suomeksi kyberkestävyyssäädös, tuo pakolliset kyberturvallisuusvaatimukset EU markkinoille tuotaville digitaalisia elementtejä sisältäville tuotteille. Turvallisuusalalla sääntelyn piiriin voivat kuulua esimerkiksi verkkoon liitettävät lukitus- ja kulunvalvontatuotteet, kamerat, hälytysjärjestelmien komponentit sekä erilaiset ohjelmistot ja pilvipalveluihin kytkeytyvät ratkaisut.
Kyberturvallisuudesta tulee siis entistä selvemmin myös tuoteturvallisuutta.
Ensimmäiset velvoitteet ovat jo voimassa
CRA:n varsinaisia tuotevaatimuksia sovelletaan pääosin 11.12.2027 alkaen, mutta ensimmäinen käytännössä merkittävä vaihe tuli voimaan jo 11.9.2026.
Siitä lähtien valmistajien on ilmoitettava tietoonsa tulleista aktiivisesti hyväksikäytetyistä haavoittuvuuksista ja tuotteen turvallisuuteen vaikuttavista vakavista poikkeamista. Ensitieto on annettava 24 tunnin kuluessa ja varsinainen ilmoitus pääsääntöisesti 72 tunnin kuluessa.
Oleellista on, että raportointivelvollisuus koskee myös CRA soveltamisalaan kuuluvia tuotteita, jotka on saatettu markkinoille jo ennen joulukuuta 2027. Valmistajalla pitää siis olla toimintamalli haavoittuvuuksien vastaanottamiseen, käsittelyyn, raportointiin ja korjaamiseen.
Turvallisuus ulottuu koko tuotteen elinkaareen
CRA:n keskeinen periaate on, että kyberturvallisuus otetaan huomioon jo tuotteen suunnittelussa ja koko sen elinkaaren ajan.
Turvallisuusalalla tällä on hyvin konkreettinen merkitys. Oven lukko voi olla mekaanisesti erittäin turvallinen, mutta jos sen sähköiseen hallintaan päästään verkon kautta luvatta käsiksi, kokonaisuus ei ole turvallinen.
Vastuu ei myöskään pääty tuotteen myyntiin. Valmistajan pitää määrittää tuotteelle tukijakso ja huolehtia sen aikana haavoittuvuuksien käsittelystä ja tietoturvapäivityksistä. Tukijakson on lähtökohtaisesti oltava vähintään viisi vuotta, mutta pitkäikäisissä tuotteissa sen tulee ottaa huomioon tuotteen odotettu käyttöikä.
Tämä on turvallisuusalalla tärkeää, koska lukitus-, kulunvalvonta- ja kamerajärjestelmiä ei hankita muutamaksi vuodeksi. Tuotetta valittaessa onkin syytä kysyä: Kuinka pitkään tuotetta tuetaan? Miten päivitykset hoidetaan? Entä mitä tapahtuu, kun tuki päättyy?
Mitä CRA tarkoittaa turvaurakoitsijalle?
CRA:n raskaimmat velvoitteet kohdistuvat ennen kaikkea valmistajiin sekä tuotteen asemasta riippuen esimerkiksi maahantuojiin ja jakelijoihin. Tavallinen turvallisuusjärjestelmän asentaja ei siis automaattisesti muutu CRA:n tarkoittamaksi valmistajaksi sillä perusteella, että hän asentaa tuotteen asiakkaalle.
Turvaurakoitsijan näkökulmasta sääntelyä ei silti voi sivuuttaa.
Turvaurakoitsija liittää tuotteita asiakkaan verkkoon, määrittää käyttäjiä ja käyttöoikeuksia, ottaa etäyhteyksiä käyttöön ja integroi eri järjestelmiä toisiinsa. Turvallinenkin tuote voidaan kuitenkin asentaa turvattomasti. Siksi turvaurakoitsijan ammattitaitoon kuuluu jatkossa yhä vahvemmin myös kyberturvallisuuden perusteiden ymmärtäminen. Oletussalasanojen vaihtaminen, käyttöoikeuksien rajaaminen, etäyhteyksien suojaaminen, ohjelmistojen päivittäminen ja muutosten dokumentointi ovat osa turvallisesti toteutettua kokonaisuutta.
Huomiota kannattaa kiinnittää myös tuotteisiin tehtäviin muutoksiin. Jos tuotteeseen tehdään sen markkinoille saattamisen jälkeen olennainen muutos ja muutettu tuote saatetaan uudelleen markkinoille, muutoksen tekijälle voi syntyä CRA:n mukaisia valmistajan velvollisuuksia.
Kun varsinaisia tuotevaatimuksia aletaan soveltaa, kyberturvallisuus tulee myös osaksi tuotteen vaatimustenmukaisuuden arviointia ja CRA-vaatimusten täyttyminen osaksi CE-merkinnän kokonaisuutta.
Mitä kannattaa tehdä nyt?
Turvallisuusalan yritysten ei tarvitse ryhtyä CRA-juristeiksi. Nyt kannattaa kuitenkin selvittää, miten omat päämiehet ja tavarantoimittajat ovat muutokseen valmistautuneet.
Tuotteita valittaessa kannattaa kiinnittää huomiota valmistajan päivityskäytäntöihin, tietoturvatuen kestoon sekä siihen, miten valmistaja käsittelee haavoittuvuuksia ja tiedottaa niistä myös jo käytössä olevien tuotteiden osalta.
Hieman halvempi tuote ei välttämättä ole edullisempi ratkaisu, jos sen tietoturvatuesta tai päivityksistä ei ole kunnollista tietoa.
Tässä on turvaurakoitsijalle myös mahdollisuus erottautua. Asiakkaalle ei myydä enää pelkästään lukitusta, kameraa tai kulunvalvontajärjestelmää, vaan turvallisesti suunniteltu, asennettu ja ylläpidettävä kokonaisuus.
Lopulta CRA.ssa on kyse varsin tutusta asiasta: turvallisuustuotteen pitää olla turvallinen myös silloin, kun siihen päästään käsiksi verkon kautta.
