{"product_id":"cra-open-source-steward-2027-cybersakerhetspolicy-artikel-24","title":"CRA Open Source Steward 2027 – kyberturvallisuuspolitiikka, haavoittuvuusprosessit ja viranomaisvahvistus | Word\/PDF\/Excel","description":"\u003csection lang=\"sv\" style=\"color:#183A55;line-height:1.7\"\u003e\n\u003cp\u003e\u003cstrong\u003eVahvista, että säätiö, yhdistys tai organisaatiotanne tukee avoimen lähdekoodiprojektien kehitystä ja pitkäaikaista hallintoa, joita käytetään kaupallisesti?\u003c\/strong\u003e Tällöin roolinanne voi olla \u003cstrong\u003eopen-source-ohjelmistojen hallinnoija\u003c\/strong\u003e EU:n \u003ca href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/2847\/oj\/swe\"\u003ekyberresilienssilainsäädöksen – asetuksen (EU) 2024\/2847\u003c\/a\u003e mukaisesti. Artikla 24 vaatii muun muassa \u003cstrong\u003etodistettavasti dokumentoidun kyberturvallisuuspolitiikan\u003c\/strong\u003e, joka tukee turvallista kehitystä, dokumentointia ja haavoittuvuuksien korjaamista sekä vapaaehtoista raportointia ja koordinoitua tiedonjakoa avoimen lähdekoodiyhteisön kanssa.\u003c\/p\u003e\n\n\u003cp\u003e\u003cstrong\u003eTärkeä ero tavallisiin CRA-malleihin:\u003c\/strong\u003e Hallinnoija on \u003cstrong\u003eoikeushenkilö, joka ei ole valmistaja\u003c\/strong\u003e, joka tukee järjestelmällisesti ja pysyvästi kehitystä ja on keskeisessä roolissa tiettyjen avoimen lähdekoodin tuotteiden elinkaaren turvaamisessa kaupalliseen toimintaan. Vainajien rooli, koodin kirjoittaminen vapaa-ajalla tai yhdistyksen toiminta ei automaattisesti tarkoita, että organisaatio on tällaisen roolin piirissä. Organisaatio voi olla \u003cstrong\u003eyhdessä projektissa hallinnoija ja toisessa valmistaja\u003c\/strong\u003e. Rooli on tarkistettava jokaisen tuotteen\/version kohdalla.\u003c\/p\u003e\n\n\u003cp\u003e\u003cstrong\u003eTärkeät päivämäärät:\u003c\/strong\u003e Valmistajien artikla 14 -raportointivelvollisuus alkoi \u003cstrong\u003e11. syyskuuta 2026\u003c\/strong\u003e. Hallinnoijan erityiset, ehdolliset ilmoitusvelvollisuudet artikkelin 24.3 mukaisesti alkavat \u003cstrong\u003e11. joulukuuta 2027\u003c\/strong\u003e. ENISA on vahvistanut tämän eron. Tämä paketti on siksi suunniteltu erityisesti oikeaan valmistautumiseen – ei väittää, että kaikkien hallinnoijien on ilmoitettava väärinkäytöksistä jo vuonna 2026.\u003c\/p\u003e\n\n\u003csection style=\"border:2px solid #BBD9E6;border-left:6px solid #246D93;background:#EAF6FB;border-radius:10px;padding:17px 20px;margin:20px 0\"\u003e\u003ch2 style=\"margin:0 0 8px;color:#174F70\"\u003e01 · Paketin sisältö\u003c\/h2\u003e\n\n\u003cp style=\"margin:0\"\u003eViisi suomenkielistä operatiivista työkaavaa omilla tehtävillään ja todisteviitteillään, suomenkielinen käyttäjän opas ja erillinen englanninkielinen käyttäjän opas. Kaikki seitsemän ovat muokattavissa olevia Word-tiedostoja (DOCX) ja hakukelpoisia PDF-tiedostoja. Lisäksi mukana on suomenkielinen Excel-rekisteri yhdeksällä välilehdellä. \u003cstrong\u003eYhteensä 7 DOCX + 7 PDF + 1 XLSX = 15 asiakastiedostoa\u003c\/strong\u003e ZIP-pakettina ilman makroja.\u003c\/p\u003e\u003c\/section\u003e\n\u003csection style=\"border:2px solid #BBD9E6;border-left:6px solid #246D93;background:#EAF6FB;border-radius:10px;padding:17px 20px;margin:20px 0\"\u003e\u003ch2 style=\"margin:0 0 8px;color:#174F70\"\u003e02 · Mitä tiedostot sisältävät\u003c\/h2\u003e\n\n\u003cp style=\"margin:0\"\u003eRoolin arviointi (hallinnoija vai valmistaja), todistettavan turvallisuuspolitiikan hyväksyminen, haavoittuvuuksien vastaanotto ja korjausmenettelyt, artikkelin 24.3 tarkka rajattu sovellettavuus, perusteltuun viranomaispyyntöön vastaaminen sekä jäljitettävä todiste- ja toimenpideketju. \u003cstrong\u003eExcel laskee hallinnollisia kohtia – ei CE-todistuksia, SBOM-hyväksyntöjä tai automaattisia viranomaisilmoituksia.\u003c\/strong\u003e\u003c\/p\u003e\u003c\/section\u003e\n\u003ch2\u003eMihin toimintoihin tuote on todella hyödyllinen?\u003c\/h2\u003e\n\n\u003cp\u003eKohderyhmä on \u003cstrong\u003eavoimen lähdekoodin säätiöt, alaliittojen yhdistykset sekä voittoa tavoittelemattomat tai voittoa tavoittelevat oikeushenkilöt\u003c\/strong\u003e, jotka ylläpitävät repo-\/kehitysinfrastruktuuria, tarjoavat pitkäaikaista organisaatiota tai teknistä tukea ja varmistavat merkittävän FOSS-tuotteen jatkuvuuden. Esimerkkinä voi olla säätiö, joka hallinnoi useita kirjastoja ja ylläpitää dokumentoitua turvallisuus- ja julkistusprosessia.\u003c\/p\u003e\n\n\u003cp\u003e**Tuote eroaa nykyisistä malleistamme seuraavasti:** \u003ca href=\"\/fi\/products\/cyber-resilience-act-cra-compliance-2026-2027-svenska-english-riskbedomning-sbom-incidentrapportering-word-pdf-excel\"\u003eCRA Compliance valmistajille, riskinarviointi ja SBOM\u003c\/a\u003e keskittyy tuotteiden yleisiin velvollisuuksiin, ja \u003ca href=\"\/fi\/products\/cra-psirt-sarbarhetsrapportering-artikel14\"\u003eCRA PSIRT – 24\/72h ja haavoittuvuuksien raportointi\u003c\/a\u003e tukee valmistajan todellista väärinkäytösten käsittelyä. Tämä tuote on erityisesti tarkoitettu \u003cstrong\u003ehallinnoijan artikla 24 -politiikkaan, hallinnolliseen rooliin sekä rajoitettuihin raportointiin ja viranomaisten vastaamiseen\u003c\/strong\u003e.\u003c\/p\u003e\n\n\u003ch2\u003eMitä artikla 24.1 vaatii avoimen lähdekoodin ohjelmistojen hallinnoijalta?\u003c\/h2\u003e\n\n\u003cp\u003e\u003ca href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/2847\/oj\/swe\"\u003eArtikla 24.1\u003c\/a\u003e vaatii dokumentoidun ja \u003cstrong\u003etodistettavan kyberturvallisuuspolitiikan\u003c\/strong\u003e, joka edistää turvallista kehitystä ja auttaa kehittäjiä käsittelemään haavoittuvuuksia tehokkaasti. Politiikan on erityisesti käsiteltävä havaitsemisen, dokumentoinnin, arvioinnin, käsittelyn ja korjaamisen, sekä edistettävä vapaaehtoista raportointia artikkelin 15 mukaisesti ja tiedonvaihtoa avoimen lähdekoodiyhteisön sisällä. Sen on sovitettava organisaation todelliseen oikeudelliseen ja organisaatioon liittyvään rakenteeseen. Riittää, että kirjoittaa ”noudatamme CRA:ta” – ilmoita vastuuhenkilö, turvallinen yhteystieto, prosessi, versionumero ja todelliset todisteet.\u003c\/p\u003e\n\n\u003ch2\u003eMiten toimitaan viranomaisen pyynnöstä?\u003c\/h2\u003e\n\n\u003cp\u003eArtiklan 24.2 mukaisesti hallinnoijan on työskenneltävä markkinavalvontaviranomaisten kanssa turvallisuusriskejä vähentääkseen. \u003cstrong\u003ePerustellussa pyynnössä\u003c\/strong\u003e hallinnoijan on voitettava toimittaa kohdan 1 dokumentoitu politiikka paperilla tai sähköisesti viranomaisen helposti ymmärtävällä kielellä. Paketti sisältää tukea lähettäjän todentamiseen, oikeiden asiakirjojen keräämiseen, arkaluonteisten tietojen suojaamiseen ja todellisen vastausvahvistuksen tallentamiseen.\u003c\/p\u003e\n\n\u003ch2\u003eArtiklan 24.3 mukainen raportointi – kaksi erilaista tilannetta\u003c\/h2\u003e\n\n\u003cp\u003e\u003cstrong\u003eAktiivisesti hyödynnetty haavoittuvuus:\u003c\/strong\u003e Viittaus artiklaan 14.1 koskee hallinnoijaa siinä laajuudessa, jossa organisaatio todellisuudessa osallistuu kyseisen digitaalisen tuotteen kehitykseen. \u003cstrong\u003eVakava väärinkäyttö:\u003c\/strong\u003e Viittaukset artikloihin 14.3 ja 14.8 koskevat rajattua tilannetta, jossa väärinkäyttö vaikuttaa hallinnoijan itse tarjoamiin verkko- ja tietojärjestelmiin, joita käytetään tuotteiden kehittämiseen. Kaikki mahdolliset ohjelmavirheet, kolmannen osapuolen kohteena olevat hyökkäykset tai sisäiset IT-häiriöt eivät siten automaattisesti aiheuta artikkelin 24.3 mukaisia ilmoitusvelvollisuuksia.\u003c\/p\u003e\n\n\u003cp\u003eVastuullisen henkilön on dokumentoitava tiedon saannin ajankohta, tarkka rooli, tapahtuma, oikeudellinen arvio ja todellinen raportointikanava. \u003ca href=\"https:\/\/www.enisa.europa.eu\/topics\/product-security\/vulnerability-services\/eu-incident-response-and-cyber-crisis-management\/single-reporting-platform-srp\/frequently-asked-questions\"\u003eENISA:n Single Reporting Platform (SRP)\u003c\/a\u003e on virallinen kanava sovellettavien ilmoitusten tekemiseen. Mallit eivät voi lähettää asiakkaan puolesta viestejä eivätkä ne luo todellisia SRP-kuittauksia. Suunnittele sovellettavien määräaikojen mukaisesti ja vahvista ajankohtainen oikeudellinen sovellettavuus ENISA:n kanssa ennen ilmoitusta.\u003c\/p\u003e\n\n\u003ch2\u003eMitkä vaatimukset eivät automaattisesti koske hallinnoijaa?\u003c\/h2\u003e\n\n\u003cp\u003eHallinnoijaluokka on erillinen ja suhteellinen sääntöjoukko. Organisaation \u003cstrong\u003eei pelkästään hallinnoijan roolin vuoksi\u003c\/strong\u003e tarvitse myöntää valmistajan CE-vakuutusta, luoda valmistajan SBOM:ia tai noudattaa kaikkia CRA:n liitteen I tuotekehitykseen liittyviä velvollisuuksia. \u003ca href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-open-source\"\u003eEU-komission ohjeistus\u003c\/a\u003e erottelee hallinnoijan velvollisuudet valmistajan velvollisuuksista selkeästi. Toisessa projektissa oleva erillinen valmistajan rooli voi kuitenkin muuttaa tilannetta.\u003c\/p\u003e\n\n\u003ch2\u003eTäydellinen tiedostoluettelo\u003c\/h2\u003e\n\n\u003cdiv style=\"overflow-x:auto\"\u003e\u003ctable style=\"width:100%;min-width:640px;border-collapse:collapse\"\u003e\n\n\u003cthead\u003e\u003ctr style=\"background:#DDEEF5\"\u003e\n\n\u003cth style=\"padding:9px;text-align:left\"\u003eTiedosto\u003c\/th\u003e\n\n\u003cth style=\"padding:9px;text-align:left\"\u003eTarkoitus\u003c\/th\u003e\n\n\u003cth style=\"padding:9px;text-align:left\"\u003eMuoto\u003c\/th\u003e\n\n\n\u003c\/tr\u003e\u003c\/thead\u003e\n\n\u003ctbody\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e01. Roolin arviointi – hallinnoija\/valmistaja\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDokumentoi oikeushenkilön, todellisen tuen FOSS-projektille, markkinapaikan, julkaisun ja roolipäätöksen.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e02. Todistettava kyberturvallisuuspolitiikka\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eArt. 24.1: turvallinen kehitys, turvallisuusyhteys, vastuu, korjausmenettelyt, vapaaehtoinen raportointi ja tiedonjako yhteisölle.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e03. Haavoittuvuuksien vastaanotto ja koordinoitu julkistus\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eVastaanotto, tapaus-ID, triagointi, turvallinen viestintäkanava, korjaus\/julkaisu ja korjausvahvistus.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e04. Art. 24.3 – raportointia koskeva arviointi\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eErota hallinnoijan kehitykseen osallistuvat aktiiviset hyödyntämiset hallinnoijan kehitysinfrastruktuurin vakavista väärinkäytöksistä.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e05. Viranomaisen pyyntö ja todisteet\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003ePyynnön aitous, todistettava politiikka, todelliset todisteviitteet ja dokumentoitu viranomaisen vastaus.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e06. Suomenkielinen käyttäjän opas\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eSeitsemän käytännön vaihetta päivämäärin ja oikeudellisilla rajoittein.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e07. English User Guide\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eSuomenkielisten työkaavojen englanninkielinen käyttöopas; ei viiden englanninkielisen lomakkeen käännös.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e08. Excel-rekisteri\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eYhdeksän välilehteä ja kahdeksan kaavapohjainen hallinnollinen KPI.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eXLSX\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\n\u003c\/tbody\u003e\n\n\n\u003c\/table\u003e\u003c\/div\u003e\n\n\u003ch2\u003eExcel-tiedosto yhdeksällä välilehdellä ja kahdeksalla hallinnollisesti testatulla mittarilla\u003c\/h2\u003e\n\n\u003cp\u003eVälilehtien nimet ovat \u003cstrong\u003eYleiskatsaus, Projektit ja roolit, Politiikat, Haavoittuvuudet, Väärinkäytöt, Raportointi, Viranomaistapaukset, Toimenpiteet sekä Lähteet ja opas\u003c\/strong\u003e. Yleiskatsauksessa lasketaan rekisteröidyt projektit, epäselvät roolipäätökset, puuttuvat politiikat, avoimet haavoittuvuudet, tutkinnan vaativat väärinkäytöt, epäselvät raportointitapaukset, vastaamattomat viranomaistapaukset ja avoimet toimenpiteet.\u003c\/p\u003e\n\n\u003cp\u003eKaikkien kahdeksan arvon on \u003cstrong\u003ealkuperäisessä tiedostossa 0\u003c\/strong\u003e. Erilliset synteettiset testikohteet antoivat odotetun arvon \u003cstrong\u003e1\u003c\/strong\u003e kaikille kahdeksalle mittarille. Testitehtäviä ei sisälly asiakkaan versioon. Automaattista oikeudellista luokittelua, ulkopuolista vahvistusta, raportointia tai viranomaisen hyväksyntää ei tehdä.\u003c\/p\u003e\n\n\u003ch2\u003eNäin käytät asiakirjoja\u003c\/h2\u003e\n\n\u003col\u003e\n\n\u003cli\u003eTarkista jokaisen FOSS-projektin, julkaisijan, tukijärjestön, lisenssin ja kaupallisen toimintayhteyden.\u003c\/li\u003e\n\n\u003cli\u003eArvioi, onko jokainen todellinen suhde \u003cstrong\u003ehallinnoija, valmistaja vai ei kuulu tähän rooliin\u003c\/strong\u003e. Tallenna perusteet ja lähde.\u003c\/li\u003e\n\n\u003cli\u003eMukauta, hyväksy ja versionoi kyberturvallisuuspolitiikkaa konkreettisella turvallisuusyhteydellä ja koodi-\/julkaisutodisteilla.\u003c\/li\u003e\n\n\u003cli\u003eJohdota yksityinen haavoittuvuuksien vastaanotto, triagointi, korjausmenettelyt, regressiotestaus ja turvallinen julkistus yhteisölle.\u003c\/li\u003e\n\n\u003cli\u003eValmistele raportointia koskeva arvio ennen \u003cstrong\u003e11. joulukuuta 2027\u003c\/strong\u003e. Erota aktiiviset hyödyntämiset hallinnoijan kehitysinfrastruktuurin vakavista väärinkäytöksistä.\u003c\/li\u003e\n\n\u003cli\u003eLuo prosessi perustelluille viranomaisen pyynnöille ja kerää todistettavia, tietosuojaa noudattavia todisteita.\u003c\/li\u003e\n\n\u003cli\u003ePäivitä Excel, seuraa toimenpiteiden etenemistä ja anna oikean henkilön tehdä manuaalinen hyväksyntä jokaisesta tapauksesta.\u003c\/li\u003e\n\n\n\u003c\/ol\u003e\n\n\u003ch2\u003eUsein kysyttyä CRA:sta ja avoimen lähdekoodin hallinnoijista\u003c\/h2\u003e\n\n\u003ch3\u003eOnko voittoa tavoittelemattomasta yhdistyksestä automaattisesti vapautettu CRA:n velvoitteista?\u003c\/h3\u003e\n\n\u003cp\u003eEi. Oikeudellinen rooli ja toiminta ratkaisevat. Oikeushenkilö, joka tukee järjestelmällisesti merkittäviä OSS-projekteja, voi olla hallinnoija myös ilman omaa voitontavoitetta, mutta jokainen projekti on arvioitava erikseen.\u003c\/p\u003e\n\n\u003ch3\u003eKoskevatko hallinnoijia ja tuotteen valmistajia samat CE-vaatimukset?\u003c\/h3\u003e\n\n\u003cp\u003eEi. Artikla 24 sisältää erillisiä velvollisuuksia. Hallinnoijan ei tarvitse automaattisesti täyttää kaikkia valmistajan CE-, SBOM- ja tuotevaatimuksia. Jos organisaatio on myös toisen tuotteen valmistaja, siihen voivat tulla muut vaatimukset.\u003c\/p\u003e\n\n\u003ch3\u003eMilloin hallinnoijan ilmoitusvelvollisuus ENISA:lle alkaa?\u003c\/h3\u003e\n\n\u003cp\u003eArtikla 24.3 alkaa soveltua \u003cstrong\u003e11. joulukuuta 2027\u003c\/strong\u003e. Valmistajien artikla 14 alkoi jo \u003cstrong\u003e11. syyskuuta 2026\u003c\/strong\u003e. Näitä kahta päivämäärää ei saa sekoittaa.\u003c\/p\u003e\n\n\u003ch3\u003eOnko kaikkien turvallisuusvirheiden ilmoitettava ENISA:lle?\u003c\/h3\u003e\n\n\u003cp\u003eEi. Vaaditaan oikeudellinen arvio muun muassa todellisesta aktiivisesta hyödyntämisestä, hallinnoijan osallistumisesta tai hallinnoijan kehitysinfrastruktuurissa tapahtuvasta erityisen vakavasta väärinkäytöstä.\u003c\/p\u003e\n\n\u003ch3\u003eRikseen turvallisuuspolitiikkaa?\u003c\/h3\u003e\n\n\u003cp\u003eEi, jos se ei dokumentoi artikkelin 24.1 vaatimia todellisia turvallisuus- ja haavoittuvuustilanteita, eikä sitä voi vahvistaa todellisilla vastuullisilla, versioilla ja työtoisteilla. Mallia on sovitettava organisaatioon.\u003c\/p\u003e\n\n\u003ch3\u003eLuoiko paketti todellisen ENISA-raportin?\u003c\/h3\u003e\n\n\u003cp\u003eEi. Asiakirja 04 antaa sisäistä oikeudellista ja teknistä valmistautumista. Todellinen raportointi on tehtävä oikean virallisen kanavan kautta pätevän henkilön toimesta, ja vain todelliset kuittaukset tallennetaan.\u003c\/p\u003e\n\n\u003ch3\u003eMitä tapahtuu, jos viranomainen vaatii politiikkaamme?\u003c\/h3\u003e\n\n\u003cp\u003eVahvista viranomaisen identiteetti ja tehty oikeudellinen pyyntö. Käytä asiakirjaa 05 hyväksytyn politiikan, todellisen todisteketjun, vastauspäätöksen ja artikkelin 24.2 mukaisen kuittauksen keräämiseen.\u003c\/p\u003e\n\n\u003ch3\u003eOvatko kaikki viisi työkaavaa saatavilla englanniksi?\u003c\/h3\u003e\n\n\u003cp\u003eEi. Viisi työkaavaa ja Excel ovat suomenkielisiä. Mukana on suomenkielinen käyttäjän opas ja erillinen \u003cstrong\u003eEnglish User Guide\u003c\/strong\u003e, ei kaikkien työasiakirjojen täydellistä käännöstä.\u003c\/p\u003e\n\n\u003ch2\u003eOikeuslähteet, avoimuus ja oikeudellinen valvonta\u003c\/h2\u003e\n\n\u003cp\u003e\u003ca href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/2847\/oj\/swe\"\u003eEU:n asetus 2024\/2847 – alkuperäinen teksti, artikla 3.14\/24\/71\u003c\/a\u003e · \u003ca href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-open-source\"\u003eEU-komissio: CRA ja avoin lähdekoodi\u003c\/a\u003e · \u003ca href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-reporting\"\u003eEU-komissio: CRA-raportointi\u003c\/a\u003e · \u003ca href=\"https:\/\/www.enisa.europa.eu\/topics\/product-security\/vulnerability-services\/eu-incident-response-and-cyber-crisis-management\/single-reporting-platform-srp\/frequently-asked-questions\"\u003eENISA SRP – päivämäärät ja ilmoitus\u003c\/a\u003e · \u003ca href=\"https:\/\/policy.openssf.org\/CRA\/stewards-playbook.html\"\u003eLinux Foundation\/OpenSSF – käytännön hallinnoijan työ (ei-sitova)\u003c\/a\u003e.\u003c\/p\u003e\n\n\u003cp\u003e\u003cstrong\u003eVersio 1.0, tekoälyn avustama oikeudellinen lähdekontrolli 11. marraskuuta 2026.\u003c\/strong\u003e Ulkopuolista lakimiesarviointia, organisaation todellista luokittelua, penetraatiotestiä, kyberauditointia, CE-todistusta tai todellista viranomaisilmoitusta ei ole tehty. Päivitä lähteet myöhempien ohjeistusten ja oikeudellisten muutosten myötä. Toimitetaan ZIP-pakettina vasta, kun luonnos on mahdollisesti julkaistu ja Shopify Digital Products -tiedostot on yhdistetty erikseen.\u003c\/p\u003e\n\n\u003c\/section\u003e","brand":"Svenska Dokumentmallar","offers":[{"title":"Default Title","offer_id":56581000626518,"sku":"CRA-OSS-STEWARD-2027-V1","price":79.0,"currency_code":"SEK","in_stock":true}],"thumbnail_url":"\/\/cdn.shopify.com\/s\/files\/1\/0827\/2373\/3846\/files\/01_CRA_OSS_Steward_Huvudbild_1600.png?v=1794396447","url":"https:\/\/mallbutiken.se\/fi\/products\/cra-open-source-steward-2027-cybersakerhetspolicy-artikel-24","provider":"Mallbutiken","version":"1.0","type":"link"}