Ky­ber­kes­tä­vyys­sää­dös (CRA) tekee tie­to­tur­val­li­suu­des­ta myyntivaltin 

Jos koneellasi on datayhteys toiseen laitteeseen tai verkkoon, säädös koskee sitä, riippumatta toimialasta tai ohjelmistoista. Ohjelmoitava logiikka, käyttöliittymä tai verkkoon liitetty anturi sisältää lähes aina tällaisen yhteyden, vaikka se olisi vain tuotteen sisäinen osa. 

Säädöksen ilmoitusvelvollisuus tuli voimaan jo 11. syyskuuta 2026. Kaikki vaatimukset tulevat sovellettaviksi joulukuussa 2027. Useimmilla valmistajilla on siis vielä aikaa valmistautua kunnolla. 

Turvalliseksi suunniteltu (security by design): Kyberturvallisuus rakennetaan tuotteeseen alusta asti. Uhka-arvio ja riskianalyysi ovat osa suunnitteluprosessia. 

Turvallisuus oletuksena (security by default): Tuote toimitetaan asiakkaalle valmiiksi turvallisimmilla asetuksilla. Käyttäjän ei pidä joutua selvittämään niitä itse. 

Valmistajan on huolehdittava tuotteen kyberturvallisuudesta sen elinkaaren ajan. Säädös sitoo tukiajan siihen, kuinka kauan tuotteen oletetaan olevan käytössä. Tukiaika on vähintään viisi vuotta, ja useimmilla teollisuuden laitteilla selvästi pidempi. Käytännössä valmistajan tulee seurata haavoittuvuuksia ja julkaista päivityksiä koko jakson ajan. 

Myös ilmoitusten on oltava nopeita. Valmistajalla on ilmoitusvelvollisuus kansalliselle CSIRT-yksikölle ja EU:n kyberturvallisuusvirasto ENISA:lle seuraavien aikarajoitusten puitteissa, kun valmistaja on tullut tietoiseksi aktiivisesti hyödynnetystä haavoittuvuudesta: 

Sekä 72 tunnin että 14 päivän aikarajoissa tehtävissä ilmoituksissa täytyy sisällyttää mm. tehdyt tai käyttäjän tehtävissä olevat korjaavat tai lieventävät toimenpiteet.

Tämä kaikki edellyttää dokumentointia. Tarvitset riskiarvion, jäljitettävyysasiakirjat ja ohjelmistomateriaaliluettelon (SBOM, Software Bill of Materials), johon on listattu kaikki tuotteen ohjelmistokomponentit. Säädöksen noudattaminen on myös CE-merkinnän edellytys. 

Kaikkiin tuotteisiin ei sovelleta samoja sääntöjä. Useimmat tuotteet eivät ole ns. tärkeitä tuotteita, jolloin valmistaja voi arvioida tyypin- ja vaatimuksenmukaisuuden itse. Muutamat kriittiset tuotetyypit vaativat ulkopuolisen arvioinnin tai EU:n sertifiointijärjestelmän mukaisen sertifioinnin. 

Markkinoilla jo olevien koneiden ei yleensä tarvitse täyttää vaatimuksia jälkikäteen, ellei niille tehdä olennaista muutosta. Virheenkorjaus ei ole olennainen muutos. Varaosat, jotka eivät muuta tuotteen toimintaa, on rajattu vaatimusten ulkopuolelle. Käyttöönotossa ja huollossa tärkeintä ovat turvallinen etäyhteys ja selkeät lokien säilytyskäytännöt. 

Teknologiakumppanimme Bosch Rexroth kehittää ja ylläpitää ctrlX OS-alustaa, joka on suunniteltu turvalliseksi alusta alkaen ja vastaa säädöksen vaatimuksia. Etteplan hoitaa ctrlX OS-ratkaisujen integraatiot ja toteutuksen sisältäen CRA-vaatimustenmukaisuusanalyysit, tietoturvamäärittelyt ja tuen CE-merkintää varten. Tämän kumppanuuden avulla sinä voit keskittyä omaan ydinliiketoimintaasi, ja me huolehdimme, että vaatimukset täyttyvät. 

Järjestimme aiheesta webinaarin 24.9.2026, jossa kävimme läpi säädöksen keskeiset vaatimukset koneenrakentajille ja toimenpiteet niiden täyttämiseksi.