Tuotteiden kyberturvaa parantavan kyberkestävyyslain mukainen ilmoitusvelvollisuus alkaa 11. syyskuuta 2026. Ilmoittamisen haasteena ovat tiukat aikarajat, jotka ovat samantyyppiset kuin NIS2:ssa. Toimintaprosessin suunnittelun lisäksi varautumista voi edesauttaa pienellä harjoittelulla, joka paljastaa pullonkaulat.
Mikä ilmoitusvelvollisuus?
Kansallinen kyberkestävyyslaki tuli voimaan 1.6.2026. Sen ja EU:n kyberkestävyyssäädöksen (CRA) myötä valmistajien on 11.9.2026 alkaen ilmoitettava aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista tietoturvapoikkeamista ENISAn Single Reporting Platform -alustan kautta. Valtaosa CRA:n muista vaatimuksista astuu voimaan vasta 11.12.2027.
Ilmoitusvelvollisuus tulee siis yli vuotta muuta säädöstä aiemmin. Se on myös sen vaativin osa, koska se edellyttää toimivaa prosessia eikä dokumentaatiota. Koska ilmoitettavia ovat vain aktiivisesti hyödynnetyt haavoittuvuudet ja vakavat poikkeamat, niin useimmat eivät tule tekemään ilmoituksia kovin usein. Toisaalta se on samalla myös ongelman ydin, sillä harvoin käytetty prosessi on juuri se, joka pettää.
Kello: 24 h / 72 h / 14 pv
Ennakkovaroitus annetaan 24 tunnin kuluessa siitä, kun asia tulee tietoonne. Varsinainen ilmoitus tehdään 72 tunnissa, mukaan lukien tehdyt korjaavat toimet. Loppuraportti tehdään 14 vuorokauden kuluessa siitä, kun korjaus on saatavilla, vakavissa poikkeamissa kuukauden kuluessa. Ilmoitus tehdään kerran ENISAn yhteisen alustan kautta. Käyttäjille on tiedotettava erikseen. Jos valmistaja ei tee sitä ajoissa, Kyberturvallisuuskeskus voi tiedottaa heitä.
Rytmi on tuttu, jos olette tekemisissä NIS2:n kanssa. Kyberturvallisuuslaki edellyttää merkittävästä poikkeamasta ennakkoilmoituksen 24 tunnissa, varsinaisen ilmoituksen 72 tunnissa ja loppuraportin kuukauden kuluessa. Velvoitteet eivät kuitenkaan korvaa toisiaan: NIS2 koskee organisaatiota toimijana, CRA tuotetta markkinoilla.
Vanhat tuotteet ovat mukana
Velvoite ei rajoitu uusiin julkaisuihin. Se kattaa myös tuotteet, jotka on tuotu markkinoille ennen säädöksen täyttä soveltamista. Eli se kymmenen vuotta vanha järjestelmä, jota ylläpidetään minimipanostuksella, kuuluu velvoitteen piiriin. Monessa organisaatiossa se voi olla heikoin lenkki: kukaan ei seuraa sen riippuvuuksia, eikä kukaan tiedä varmasti mistä komponenteista se koostuu.
Neljä vaihetta
Ilmoituksen tekeminen edellyttää, että neljä asiaa on mietitty valmiiksi.
Näkyvyys. Tiedättekö mistä komponenteista tuotteenne koostuvat? Ilman sitä ette voi arvioida, koskeeko tietty uusi haavoittuvuus teitä lainkaan.
Havainnointi. Mistä tieto haavoittuvuudesta tulee, ja seurataanko riippuvuuksia jatkuvasti vai kerran vuodessa?
Luokittelu. Kuka arvioi, ylittyykö aktiivisen hyödyntämisen kynnys?
Eskalointi. Kenellä on valtuudet päättää ilmoituksesta vuorokaudessa, ja kuka päättää hänen sijastaan?
Ensimmäinen eli komponenttiluettelon puute on yleistä, ja sen hoitaminen on joka tapauksessa edessä: koneluettava komponenttiluettelo eli SBOM on CRA:n vaatimus vuonna 2027. Käytännössä se kannattaa rakentaa osaksi build-prosessia, jolloin luettelo syntyy jokaisesta julkaisusta automaattisesti eikä erillisenä selvitystyönä.
Aikarajat ovat aidosti tiukkoja
Myös meillä Codeossa nämä määräajat tuntuvat vaativilta. Vuorokausi kuulostaa pitkältä, paitsi jos tieto tulee perjantai-iltana asiakkaan tukipyynnön mukana ja päätöksen tekevä ihminen on mökillä.
Siksi pidämme olennaisena, että ilmoitusprosessi suunnitellaan etukäteen ja sitä myös harjoitellaan. Ilmoitusketjun läpikäynti kuvitteellisella tapauksella paljastaa puuttuvat yhteystiedot, epäselvät vastuut ja päätöskohdat, joita kukaan ei ole miettinyt. Tunnin harjoitus on miellyttävämpi ja halvempi kokemus kuin saman oppiminen kellon käydessä. Tavoitteena voi olla yhden sivun toimintaohje: mistä tieto tulee, kuka arvioi, kuka ilmoittaa ja mihin.
Käytännön vinkki: EU Login -tili, jolla alustalle kirjaudutaan, kannattaa luoda valmiiksi jo nyt, jotta sitä ei tarvitse tehdä siinä vaiheessa kun kello käy. Alustalle ENISA sen sijaan neuvoo rekisteröitymään vasta silloin kun ilmoitus on tehtävä. Ilmoittajan validointi tehdään vasta ensimmäisen kirjautumisen jälkeen, rinnakkain ilmoitusprosessin kanssa, ja menettely vaihtelee CSIRT-yksiköiden välillä. Se ei estä ilmoituksen tekemistä, mutta tarkoittaa että ensimmäiseen ilmoitukseen sisältyy myös hallinnollinen vaihe jota ei ole päässyt harjoittelemaan. Sitä suurempi syy varmistaa, että oma sisäinen ketju toimii ilman epäselvyyksiä.
Miten voimme auttaa
Rakennamme asiakkaidemme kanssa ohjelmistoja, joissa tietoturva on mukana suunnittelusta lähtien. Ilmoitusvelvollisuuden täyttäminen nojaa muutamaan asiaan: tiedetään mistä tuote koostuu, joku seuraa komponenttien tilannetta jatkuvasti ja ollaan valmiina reagoimaan.
Jos mietitte, koskeeko velvoite teitä ja mitä se käytännössä vaatii, keskustellaan.
Linkit: Kyberturvallisuuskeskuksen CRA-tietoa, ENISA:n Single Reporting Platform -tietoa