CRA PSIRT – Haavoittuvuuden vastaanotto, 24/72h-raportointi ja todisteketju | Word/PDF/Excel

Vastaanota, arvioi ja dokumentoi konkreettinen digitaalisen tuotteen tietoturva-haavoittuvuus tai -tapahtuma – ensimmäisestä raportista aina todelliseen CRA-ilmoitukseen ja asiakastiedotukseen asti. Tämä digitaalisia elementtejä sisältävien tuotteiden valmistajille suunnattu erikoispaketti keskittyy CRA:n artiklaan 14 ja ENISA:n Single Reporting Platformiin (SRP). Se ei korvaa laajempaa CRA-riskienarviointia, SBOM:ia tai todellista viranomaisraportointia.

Tärkeimmät tiedot: 5 suomalaista työasiakirjaa, 1 suomalainen käyttäjänopas ja 1 englanninkielinen käyttäjänopas, kaikki muokattavissa olevassa Word-muodossa (DOCX) ja haettavissa tulostettavissa PDF-muodossa (ei interaktiivisia lomakkeita), sekä 1 suomalainen Excel-työkirja, jossa on 9 välilehteä. Yhteensä 15 asiakasasiakirjaa: seitsemän itsenäistä asiakirjaa kahdessa muodossa sekä yksi XLSX-tiedosto. Digitaalinen ZIP-toimitus tulevan aktivoinnin yhteydessä.

Kuka valitsee mallin – ja milloin?

Tuotekehittäjille ja valmistajille, jotka myyvät EU-markkinoilla ohjelmistoja, verkottunutta laitteistoa tai muita digitaalisia elementtejä sisältäviä tuotteita ja joiden on käsiteltävä aktiivisen hyödyntämisen merkki tai vakava tietoturhatapahtuma. Kaksi työtapausta: raportoija lähettää todisteita tiettyä laiteohjelmistoversiota kohdistuvista hyökkäyksistä; tai valmistaja saa tietää tapahtumasta, jolla on vakavia vaikutuksia tuotteen tietoturvaan. Jos olet tavallinen jälleenmyyjä, IT-palveluntarjoittaja tai käsittelet ainoastaan sisäisiä IT-tapahtumia, muut asiakirjat ja säännöt voivat olla oikeampia. Valmistajan oikeudellinen rooli ja CRA:n soveltaminen on tarkistettava ensin.

Tiedosto tiedostolta

Excel-työkalun käytännön toiminta

Työkirjassa on suodatettavia merkintöjä, tila-kenttiä, ID-linkityksiä ja kaavapohjainen yleiskatsaus. Todellisen valmistajan tietoisuuden ajankohdan syötettynä UTC-aikamerkinnäksi se näyttää arvioidut 24 t:n ja 72 t:n ajankohdat. Nämä ovat teknisiä enimmäisrajoja, eivät odottamiseen oikeuttavia aikoja: raportoi ilman tarpeetonta viivästystä. Loppuraportin päivämäärä ilmoitetaan manuaalisesti, koska laukaiseva tekijä eroaa: korjaus on saatavilla (AEV) tai todellinen 72 t:n ilmoitus on jätetty (SI). Rekisteri erottelee luonnoksen, arvioinnin, lähetetyn ilmoituksen ja todellisen kuittauksen.

Vaiheittainen työprosessi

1. Tunnista oikeudellinen valmistaja, tuote, versio ja PSIRT-/SRP-rooli, jolla on valtuudet.
2. Kirjaa lähteet ja todisteet tallentamatta salaisuuksia tai hyökkäyskoodia suojaamattomiin toimistotiedostoihin.
3. Arvioi AEV ja SI erikseen CRA:n artiklan 14 mukaisesti ja dokumentoi tiedostamisen ajankohta.
4. Ilmoitusvelvollisuuden täyttyessä: valmistele tiedot ja raportoi ilman tarpeetonta viivästystä ENISA:n virallisen SRP:n kautta.
5. Tallenna todelliset toimitus-ID:t ja aikaleimat 24 t:n, 72 t:n ja soveltuvan loppuraportin ajankohdille.
6. Dokumentoi korjaava toimenpide, siihen liittyvät käyttäjät, viestintä ja jälkitarkistus.

Oikeudelliset rajat ja vastuu

CRA (EU) 2024/2847, artikkeli 14 alkaa soveltua valmistajiin 11. syyskuuta 2026. Aktiivisesti hyödynnetyn haavoittuvuuden raportointivelvollisuus edellyttää todisteita todellisesta hyödyntämisestä; CVE-tunnusta tai korkeasta riskipisteytyksestä ei automaattisesti riitä. Vakavan tapahtuman on arvioitava artiklan 14.5 mukaisesti. Varhaisvaroitus on annettava 24 t:n kuluessa ja ilmoitus 72 t:n kuluessa asianomaisen tiedostamisajankohdasta, molemmissa ilman tarpeetonta viivästystä. AEV:n loppuraportti on annettava viimeistään 14 päivän kuluessa korjaavan tai rajoittavan toimenpiteen saatavuudesta. SI:n loppuraportti on annettava yhden kuukauden kuluessa todellisesta 72 t:n ilmoituksesta. Artikkeli 14.8 käsittelee tiedottamista asianomaisille käyttäjille.

ENISA:n SRP-UKK ja kenttälukuisto on tarkistettava suoraan todellisen raportoinnin yhteydessä, koska kenttiä ja alustan toimintoja päivitetään. Word- tai Excel-tilaa ei koskaan pidetä jätettynä ilmoituksena. Muut keskeiset CRA-vaatimukset alkavat yleensä soveltua 11. joulukuuta 2027, ja avoimen lähdekoodin ohjelmistojen ylläpitäjiä koskeva artikkeli 24.3 alkaa eri ajankohtana. Tarvittaessa on tehtävä erillinen arvio esimerkiksi NIS2:n, GDPR:n ja DORA:n mukaisesti.

Ero muihin asiakirjoihimme

Laajemman CRA Compliance -pakettimme sisältää riskienarvioinnin, SBOM:n, tietoturvaehdot ja yleisen CRA-raportoinnin. Tämä uusi paketti on sen sijaan erikoistunut työketju todelliseen vastaanotettuun raporttiin tai tapahtumaan, SRP-kuittauksiin, todisteisiin ja asiakastiedotukseen.

Usein kysyttyä

Onko jokainen tietoturva-haavoittuvuus ilmoitettava?

Ei. Artiklassa 14 on erityiset kynnysarvot aktiivisesti hyödynnettäville haavoittuvuuksille ja vakaville tapahtumille. Muut haavoittuvuudet voivat vaatia sisäistä käsittelyä, mutta ne eivät automaattisesti ole pakollisia SRP-ilmoituksia.

Lähettääkö malli ilmoituksen ENISA:lle?

Ei. Perusteet valmistellaan ja dokumentoivat työtä; valtuutetun edustajan on lähetettävä ilmoitus todellisen SRP-alustan kautta.

Ovatko PDF-tiedostot muokattavissa?

Ne ovat haettavissa ja tulostettavissa, mutta eivät interaktiivisia täytettäviä lomakkeita. Käytä muokkaamiseen Word-tiedostoja.

Onko kaikki materiaali käännetty englanniksi?

Ei. Viisi työasiakirjaa ja Excel ovat suomeksi. Englanninkielinen opas selittää, miten suomalaisia asiakirjoja käytetään.

Versio, lähteet ja läpinäkyvyys

Julkaisu 1.0, 9. marraskuuta 2026. CRA:n artiklan 14, komission raportointitietojen ja ENISA:n SRP-materiaalien AI-avusteinen oikeudellinen lähteiden läpikäynti 9. marraskuuta 2026. Ulkopuolista riippumatonta lakimiesarviointia, viranomaisarviointia tai teknistä tuotetodistusta ei ole tehty. Paketti on hallinnollista tukea, ei takuuta vaatimusten täyttämisestä.