CRA-direktiivi eli Cyber Resilience Act tuli voimaan EU:ssa lokakuussa 2024, ja se muuttaa pysyvästi tapaa, jolla digitaalisia elementtejä sisältäviä tuotteita suunnitellaan, valmistetaan ja tuodaan markkinoille. Teollisuusautomaatiossa tämä tarkoittaa käytännössä sitä, että lähes kaikki verkkoyhteydellä varustetut laitteet, kuten anturit, ohjaimet, IoT-laitteet ja teollisuuskomponentit, kuuluvat uuden sääntelyn piiriin. Tässä artikkelissa käymme läpi, kenelle velvoitteet kohdistuvat, mitä vaatimuksia ne asettavat ja miten valmistautua siirtymäaikaan.
Kyberturvallisuus ei ole enää pelkästään IT-osaston asia. CRA-direktiivi tuo vaatimustenmukaisuuden osaksi tuotekehitystä, hankintaa ja toimitusketjun hallintaa myös teollisuusympäristöissä, joissa laitteita on perinteisesti suunniteltu pitkää käyttöikää eikä tietoturvapäivityksiä silmällä pitäen.
CRA-direktiivi koskee kaikkia tahoja, jotka saattavat digitaalisia elementtejä sisältäviä tuotteita EU:n markkinoille. Velvoitteet jakautuvat kolmeen pääryhmään: valmistajat, maahantuojat ja jakelijat.
Valmistajilla on laajin vastuu. He vastaavat tuotteen kyberturvallisuusominaisuuksista koko elinkaaren ajan suunnitteluvaiheesta tietoturvapäivityksiin. Maahantuojat ja jakelijat kantavat vastuun siitä, että markkinoille tuomansa tuotteet täyttävät direktiivin vaatimukset. Jos valmistaja on EU:n ulkopuolella, maahantuojan vastuu kasvaa merkittävästi.
Teollisuusautomaation näkökulmasta velvoitteet koskevat erityisesti laitevalmistajia (OEM), integraattoreita ja komponenttitoimittajia, joiden tuotteet sisältävät ohjelmistoja tai verkkoyhteyden. Pelkät mekaaniset komponentit ilman digitaalisia elementtejä jäävät direktiivin ulkopuolelle, mutta raja on usein häilyvä, kun esimerkiksi lineaarijohteeseen liitetään älykkäitä antureita tai IoT-liitäntä.
CRA asettaa konkreettisia teknisiä vaatimuksia tuotteille ja selkeän dokumentaatiovelvoitteen valmistajille. Vaatimukset kattavat sekä tuotteen ominaisuudet että prosessit sen takana.
Tuotteiden on täytettävä tietoturvan perusperiaatteet jo suunnitteluvaiheessa. Tämä tarkoittaa muun muassa oletusarvoisia turvallisia asetuksia, mahdollisuutta vastaanottaa tietoturvapäivityksiä koko elinkaaren ajan ja haavoittuvuuksien hallintaprosessia. Teollisuuslaitteissa erityishuomio kohdistuu pääsynhallintaan, salausprotokolliin ja turvalliseen etäpäivitykseen.
Kriittisemmille tuotteille, kuten teollisuuden ohjausjärjestelmille ja verkkoinfrastruktuurikomponenteille, direktiivi edellyttää kolmannen osapuolen vaatimustenmukaisuuden arviointia ennen CE-merkintää. Muille tuotteille riittää valmistajan oma arviointi.
Valmistajan on laadittava tekninen dokumentaatio, joka osoittaa tuotteen vaatimustenmukaisuuden. Dokumentaatio kattaa tietoturva-arkkitehtuurin kuvauksen, riskiarvioinnin, haavoittuvuuksien hallintaprosessin ja ohjeet turvallisesta käyttöönotosta. EU-vaatimustenmukaisuusvakuutus on allekirjoitettava ennen tuotteen markkinoille saattamista.
Lisäksi valmistajilla on velvollisuus raportoida aktiivisesti hyödynnetyistä haavoittuvuuksista ENISAlle 24 tunnin kuluessa niiden havaitsemisesta. Tämä on merkittävä muutos aiempaan käytäntöön ja edellyttää toimivia sisäisiä prosesseja.
CRA-direktiivin siirtymäaika antaa toimijoille aikaa sopeutua, mutta aikataulu on tiivis. Direktiivi tuli voimaan lokakuussa 2024, ja velvoitteet astuvat täysimääräisesti voimaan lokakuussa 2027.
Haavoittuvuusraportointivelvoitteet tulevat voimaan jo aiemmin, syyskuussa 2026. Tämä tarkoittaa, että prosessit raportoinnin toteuttamiseksi on rakennettava hyvissä ajoin ennen täyttä soveltamispäivää. Kolme vuotta kuulostaa pitkältä, mutta tuotekehityssyklit teollisuudessa ovat usein pitkiä ja uuden tuotteen suunnittelu CRA-vaatimusten mukaiseksi vie aikaa.
Käytännön suosituksena on aloittaa nykytila-arvioinnilla: mitkä tuotteet kuuluvat direktiivin piiriin, mihin riskiluokkaan ne sijoittuvat ja mitä teknisiä tai dokumentaatiomuutoksia vaaditaan. Mitä aiemmin arviointi tehdään, sitä paremmin muutokset ehditään integroida tuotekehitysprosessiin ilman kiirekorjauksia.
CRA muuttaa hankintaa konkreettisesti: vaatimustenmukaisuus nousee teknisten ominaisuuksien rinnalle yhdeksi keskeisistä valintakriteereistä. Hankkijat eivät voi enää luottaa pelkästään valmistajan ilmoituksiin, vaan heillä on velvollisuus varmistaa, että hankittavat komponentit täyttävät direktiivin vaatimukset.
Käytännössä tämä tarkoittaa uusia kysymyksiä toimittajille: onko tuotteelle laadittu tekninen dokumentaatio CRA:n mukaisesti, miten tietoturvapäivitykset toimitetaan ja kuinka pitkä tuki on taattu? Toimittajat, jotka pystyvät vastaamaan näihin kysymyksiin selkeästi, saavat kilpailuedun.
Toimitusketjun hallinta monimutkaistuu erityisesti silloin, kun komponentteja hankitaan EU:n ulkopuolisilta valmistajilta. Maahantuojan vastuu kasvaa, ja due diligence -prosessit on päivitettävä vastaamaan uusia vaatimuksia. Meillä Movetecilla seuraamme aktiivisesti toimittajakumppaneidemme vaatimustenmukaisuuden kehitystä, jotta asiakkaamme voivat luottaa hankittavien komponenttien täyttävän CRA:n velvoitteet.
Teollisuusautomaation hankintapäättäjille suosittelemme CRA-vaatimusten lisäämistä osaksi toimittajien kvalifiointiprosessia jo nyt ennen kuin siirtymäaika päättyy ja vaatimukset muuttuvat pakollisiksi. Näin vältetään tilanne, jossa tuotantolinjalle hankittu komponentti osoittautuu myöhemmin vaatimustenvastaiseksi.
Tarvitsetko apua CRA-direktiivin vaikutusten arvioinnissa omaan hankintaasi tai tuoteportfolioosi? Asiantuntijamme auttavat kartoittamaan tilanteen ja löytämään vaatimustenmukaiset ratkaisut.