Laitteisto- ja ohjelmistotuotteet joutuvat yhä useammin alttiiksi kyberhyökkäyksille. Digitaalisia elementtejä sisältävät tuotteet itkuhälyttimistä ja älykelloista sovelluksiin ja tietokoneohjelmiin ovat nykyisin osa arkea. Kyberkestävyyssäädöksellä parannetaan näiden tuotteiden kyberturvallisuutta ja suojellaan kuluttajia ja yrityksiä paremmin kyberuhkilta.
Valmistajien on 11. syyskuuta 2026 alkaen täytynyt ilmoitettaa kaikista aktiivisesti hyväksikäytetyistä haavoittuvuuksista ja vakavista tietoturvapoikkeamista, jotka vaikuttavat niiden valmistamien tuotteiden turvallisuuteen. Niiden on annettava varhaisvaroitus 24 tunnin kuluessa ja sen jälkeen täysimittainen ilmoitus 72 tunnin kuluessa. Loppuraportti on toimitettava viimeistään 14 päivän kuluttua siitä, kun aktiivisesti hyväksikäytettyä haavoittuvuutta koskeva korjaava tai lieventävä ratkaisu on käytettävissä, ja kuukauden kuluessa, kun kyseessä on vakava tietoturvapoikkeama.
Käytännössä tämä tarkoittaa sitä, että kuluttajat voivat saada nopeampia ilmoituksia ja vahvempaa suojaa verkkoon liitetyille laitteilleen, kuten ovien lukitusjärjestelmille, ja pitää kotinsa turvassa kyberhyökkäyksen sattuessa.
Raportointivelvoitteet koskevat kaikkia digitaalisia elementtejä sisältäviä tuotteita, jotka on asetettu saataville EU:ssa.. Sitä sovelletaan myös markkinoilla jo oleviin tuotteisiin. Valmistajat toimittavat ilmoituksensa Euroopan unionin kyberturvallisuusviraston perustaman ja ylläpitämän keskitetyn raportointialustan kautta.
Komissio on julkaissut käytännön ohjeistusta avuksi valmistajille, kehittäjille ja yrityksille, jotta ne voivat täyttää velvoitteensa. Kansalliset markkinavalvontaviranomaiset valvovat sääntöjen noudattamista.
Kyberkestävyyssäädös perustuu EU:n kyberturvallisuusstrategiaan ja EU:n turvallisuusunionistrategiaan. Sen tavoitteena on vahvistaa EU:n lähestymistapaa kyberturvallisuuteen. Uusissa säännöissä edellytetään, että digitaalisia elementtejä sisältävät tuotteet suunnitellaan ja niitä päivitetään ja ylläpidetään siten, että käyttäjiä suojellaan tietoturvariskeiltä. CE-merkinnän avulla käyttäjät voivat tunnistaa tuotteet, jotka täyttävät kyberkestävyyssäädöksen vaatimukset.
Säädöksellä käyttöön otettuja keskeisiä velvoitteita sovelletaan 11. joulukuuta 2027 alkaen, kun taas raportointivelvoitteita on jo sovellettu 11. syyskuuta 2026 alkaen.
Lisätietoja
- Julkaisupäivä
- 11. syyskuuta 2026
- Laatija
- Viestinnän pääosasto