EU:n kyberkestävyyssäädöstä (Cyber Resilience Act (CRA), Regulation (EU) 2024/2847) täydentävät kansalliset lait tulivat Suomessa voimaan kesäkuussa 2026. Säädös asettaa ensimmäistä kertaa kattavasti EU-tasolla sitovat kyberturvallisuuden vähimmäisvaatimukset markkinoille saatettaville tuotteille ja ohjelmistoille, jotka voidaan liittää verkkoon tai toiseen laitteeseen.
Mikä kyberkestävyyssäädös on?
Kyberkestävyyssäädös on EU-asetus, joka asettaa kyberturvallisuutta koskevat vähimmäisvaatimukset digitaalisia elementtejä sisältäville tuotteille ja luo niille yhtenäiset oikeudelliset reunaehdot koko sisämarkkina-alueelle.
Kesäkuun alussa voimaan tulleilla säädöstä täydentävillä kansallisilla laeilla varmistetaan säädöksen edellyttämä valvonta, viranomaistehtävät ja seuraamukset Suomessa. Vaikka tuotteiden olennaiset kyberturvallisuusvaatimukset soveltuvat täysimääräisesti vasta 11.12.2027 alkaen, ensimmäiset määräajat ovat lähestymässä, sillä haavoittuvuuksien ilmoittamisvelvollisuus alkaa 11.9.2026.
Euroopan komissio julkaisi 27.7.2026 kyberkestävyyssäädöksen soveltamista koskevan käytännön ohjeistuksen talouden toimijoiden valmistautumisen tueksi. Ohjeistuksessa täsmennetään muun muassa säädöksen soveltamisalaa, avoimen lähdekoodin ohjelmistojen asemaa, olennaisen muutoksen käsitettä, kyberturvallisuusriskien arviointia sekä ilmoitusvelvollisuuksien käytännön toteuttamista. Ohjeistus ei ole oikeudellisesti sitova, mutta se ilmaisee komission tulkinnan säädöksen keskeisistä säännöksistä ja sisältää lukuisia käytännön soveltamisesimerkkejä.
Säädös tavoittelee ratkaisua kahteen pitkään tunnistettuun ongelmaan: markkinoille on päätynyt tuotteita, joiden tietoturvan taso on riittämätön, ja käyttäjillä on ollut liian vähän tietoa tuotteiden turvallisuusominaisuuksista. Lisäksi säädöksellä pyritään varmistamaan, että laitteisto- ja ohjelmistotuotteita saatetaan markkinoille aiempaa vähemmin haavoittuvuuksin, valmistajat suhtautuvat tietoturvaan vakavasti tuotteen koko elinkaaren ajan sekä että käyttäjät saavat tarvitsemansa tiedon tuotteen turvallisesta käytöstä.
Keihin kyberkestävyyssäädös soveltuu?
Säädös soveltuu taloudellisiin toimijoihin, jotka saattavat EU-markkinoille tuotteita, joissa on digitaalisia elementtejä: valmistajiin, maahantuojiin, jakelijoihin sekä kevyemmin oikeushenkilömuotoisiin avoimen lähdekoodin ohjelmistovastaaviin, esimerkiksi, kun avoimen lähdekoodin ohjelmistoa kehitetään tai tarjotaan osana kaupallista tuotetta tai palvelua.
Digitaalisia elementtejä sisältävillä tuotteilla tarkoitetaan verkkoon suoraan tai epäsuorasti liitettäviä digitaalisessa ympäristössä toimivia laitteita ja ohjelmistoja. Näitä ovat esimerkiksi kuluttajien älylaitteet (kuten valvontakamerat, televisiot ja reitittimet), ohjelmistot ja sovellukset (kuten pelit, käyttöjärjestelmät, selaimet ja salasananhallintaohjelmat) sekä teolliset ratkaisut (kuten ohjausjärjestelmät ja IoT-laitteet).
Komission tuore ohjeistus täsmentää erityisesti ohjelmistojen rajanvetoa. Esimerkiksi käyttäjän laitteelle ladattava tai asennettava mobiili- tai työpöytäsovellus voi kuulua kyberkestävyyssäädöksen soveltamisalaan, kun taas yksinomaan verkkoselaimen kautta käytettävä ja etänä suoritettava verkkosovellus ei pelkästään tällä perusteella ole säädöksen tarkoittama digitaalisia elementtejä sisältävä tuote. Etänä tapahtuva tietojenkäsittely voi kuitenkin muodostaa osan tuotteesta, jos se on välttämätöntä tuotteen yhden tai useamman toiminnon suorittamiseksi ja ratkaisu on valmistajan suunnittelema tai kehittämä taikka sen vastuulla.
Soveltuvuus tulee arvioida tuotekohtaisesti, sillä osa tuotteista on rajattu soveltamisalan ulkopuolelle. Traficom tarjoaa soveltuvuuden arvioinnin avuksi CRA-kompassin, joka helpottaa säädöksen soveltamisalan ja velvoitteiden käytännön arviointia.
Kyberkestävyyssäädöksen keskeiset velvoitteet
- Tuotteen kyberturvallisuus: Tuotteet on suunniteltava ja valmistettava kyberturvallisiksi niiden riskitaso huomioiden (mm. turvalliset oletusasetukset, suoja luvattomalta pääsyltä ja haavoittuvuuksien korjattavuus). Valmistajan on arvioitava tuotteen kyberturvallisuusriskit ja otettava ne huomioon koko elinkaaren ajan. Komission ohjeistuksen mukaan arvioinnissa on huomioitava myös tuotteen ulkopuolelta syntyvät riskit sekä tuotteeseen integroidut kolmansien osapuolten ohjelmisto- ja laitteistokomponentit.
- Haavoittuvuuksien hallinta ja ilmoittaminen: Valmistajalla on oltava menettelyt haavoittuvuuksien hallintaan koko tukiajan. Aktiivisesti hyväksikäytetyistä haavoittuvuuksista ja vakavista poikkeamista on ilmoitettava kansalliselle CSIRT-yksikölle (Kyberturvallisuuskeskus) ja ENISA:lle 11.9.2026 alkaen, ja myös käyttäjiä on informoitava.
- Vaatimustenmukaisuus ja CE-merkintä: Ennen markkinoille saattamista valmistajan on arvioitava vaatimustenmukaisuus, laadittava tekninen dokumentaatio ja EU-vaatimustenmukaisuusvakuutus sekä kiinnitettävä CE-merkintä.
- Olennaiset muutokset: Jos markkinoille jo saatettuun tuotteeseen tehdään säädöksessä tarkoitettu olennainen muutos ja muutettu tuote saatetaan uudelleen markkinoille, sitä pidetään lähtökohtaisesti uutena tuotteena. Komission ohjeistuksen mukaan vaatimustenmukaisuuden arvioinnissa voidaan kuitenkin hyödyntää aiempaa dokumentaatiota ja testituloksia niiden tuotteen osien osalta, joihin muutos ei vaikuta.
- Maahantuojat ja jakelijat: Maahantuojien ja jakelijoiden on tarkistettava muun muassa CE-merkintä ja vaaditut asiakirjat. Tuotetta ei saa asettaa saataville, jos on syytä epäillä, ettei se täytä vaatimuksia.
- Avoimen lähdekoodin ohjelmistovastaavat: Heihin sovelletaan kevyempiä velvoitteita (kyberturvallisuuspolitiikka, haavoittuvuuksien hallinta ja viranomaisyhteistyö). Esimerkiksi vaatimustenmukaisuuden arviointi ja CE-merkintä eivät koske heitä.
Valvonta ja seuraamukset Suomessa
Kyberkestävyyssäädöksen toimeenpano edellytti kansallista täydentävää sääntelyä etenkin valvonnasta, viranomaistehtävistä ja seuraamuksista. Suomessa säädetty laki eräiden tuotteiden kyberkestävyydestä sekä kyberturvallisuussertifioinnista (439/2026), tuli täydentävänä lakina voimaan 1.6.2026. Säädöksen markkinavalvonnasta ja kansallisesta kyberturvallisuussertifioinnista vastaa Liikenne- ja viestintävirasto Traficom, jossa tehtävät on keskitetty Kyberturvallisuuskeskukselle.
Velvoitteiden noudattamatta jättäminen voi johtaa tuotteiden markkinoille saattamisen kieltämiseen tai tuotteiden takaisinvetoon markkinoilta. Lisäksi laiminlyönneistä voidaan määrätä hallinnollisia seuraamusmaksuja, joiden enimmäismäärä vakavimmissa rikkomuksissa on jopa 15 000 000 euroa tai 2,5 prosenttia yrityksen edeltävän tilikauden maailmanlaajuisesta liikevaihdosta sen mukaan, kumpi on suurempi. Maksut ja niiden suuruus arvioidaan tapauskohtaisesti muun muassa rikkomusten vakavuuden ja keston perusteella.
Avoimen lähdekoodin ohjelmistovastaaviin sovelletaan lievempää linjaa: he eivät ole seuraamusmaksujen piirissä, vaikka heiltä voidaan edellyttää korjaavia toimia.
Keskeistä liiketoiminnan kannalta
Vaikka olennaiset vaatimukset soveltuvat täysimääräisesti 11.12.2027, valmistautuminen velvoitteisiin kannattaa aloittaa hyvissä ajoin. Toimijan on hyvä tunnistaa oma roolinsa ja kartoittaa, mitkä sen tuotteista kuuluvat säädöksen soveltamisalaan. Kyberturvallisuus kannattaa rakentaa tuotteisiin jo suunnitteluvaiheessa, ja haavoittuvuuksien hallinnasta on huolehdittava koko tukiajan. Lisäksi on luotava selkeät menettelyt ja valmiudet haavoittuvuuksista ilmoittamiseen sekä varmistettava tekninen dokumentaatio, vaatimustenmukaisuusvakuutus ja CE-merkinnät. Komission ohjeistus korostaa myös toimitusketjun merkitystä: valmistajan on arvioitava tuotteeseen integroitujen komponenttien ja ulkopuolisten palvelujen aiheuttamat kyberturvallisuusriskit ja tehtävä asianmukaista huolellisuusarviointia niiden osalta. Ohjeistus tuo helpotusta myös ennen täysimääräistä soveltamista suunniteltuihin tuotteisiin. Ennen 11.12.2027 suunniteltua tuotetta ei välttämättä tarvitse suunnitella kokonaan uudelleen, vaikka se saatettaisiin markkinoille tämän päivämäärän jälkeen, jos valmistaja pystyy kyberturvallisuusriskien arvioinnilla ja teknisellä dokumentaatiolla osoittamaan tuotteen saavuttavan sen käyttötarkoitukseen ja ennakoitavissa olevaan käyttöön nähden asianmukaisen kyberturvallisuuden tason.
Lopuksi
Kyberkestävyyssäädös on osa EU:n laajaa kyberturvallisuus- ja teknologiasääntelyn aaltoa muun muassa NIS2-direktiivin ja datasäädöksen rinnalla. Se vahvistaa digitaalisten tuotteiden tietoturvaa koko niiden elinkaaren ajan ja tuo yrityksille uusia velvoitteita, joihin kannattaa valmistautua ajoissa. Suomen täydentävä sääntely on ollut voimassa kesäkuusta 2026 lähtien, ja komission julkaisema käytännön ohjeistus antaa yrityksille aiempaa konkreettisemman pohjan kyberkestävyyssäädöksen soveltamisalan ja velvoitteiden arviointiin.
HH Partnersin asiantuntijat auttavat mielellään kyberkestävyyssäädökseen ja muuhun digitaalisen liiketoiminnan sääntelyyn liittyvissä kysymyksissä.
Kirjoittaja:
Waltteri Messo työskentelee lakimiehenä HH Partnersilla painopistealueinaan sopimusoikeus, teknologiaoikeus, immateriaalioikeudet ja maksupalvelujen sääntelyyn liittyvät asiat. Artikkelin laadinnassa avusti Legal Trainee Kaius Könkkölä.
