CRA:n tukijakso 2027 – tietoturvapäivitykset, asiakastiedot ja elinkaarikirja | Word/PDF/Excel

Kuinka kauan valmistajan on varmistettava digitaalisen tuotteen turvallisuus, ja miten tuen päättyminen ilmoitetaan asiakkaalle selkeästi? Tällä erikoispaketilla dokumentoitte odotetun käyttöajan, tukikauden, haavoittuvuuksien käsittelyn, tietoturvapäivitykset, asiakastiedot ja jatkuvan pääsyn jo julkaistuihin korjauspaketteihin. Suunniteltu ruotsalaisille valmistajille, tuoteomistajille, kehityspäälliköille, PSIRT-yksiköille ja EU:ssa ohjelmistoja tai verkottunutta laitteistoa myyville yrityksille.

Tärkeimmät tiedot: 15 asiakasdokumenttia: seitsemän muokattavaa Word-asiakirjaa (DOCX), seitsemän vastaavaan hakukelpoinen ja tulostettava PDF-tiedosto sekä yhdeksän välilehden Excel-rekisteri (XLSX). Viisi suomenkielistä työkaavaa, suomenkielinen käyttäjän opas ja erillinen englanninkielinen käyttäjän opas suomenkielisiin kaavoihin. PDF-tiedostot eivät ole interaktiivisia täytettäviä lomakkeita.

Kenelle paketti sopii?

Esimerkiksi ruotsalaiselle verkottuneiden antureiden toimittajalle, ohjelmistoja tarjoavalle yritykselle, kolmannen osapuolen sisäänrakennettujen komponenttien sisältävälle valmistajalle tai tuotejoukkueelle, joka on dokumentoitava tukokomentonsa CRA:n pääasiallisen soveltamisen edeltä joulukuussa 2027.

Ei sovellu yksinään tilanteisiin, joissa tarvitsette varsinaista SBOM-generaattoria, koodianalyysia, tietoturvasertifiointia, penetraatiotestiä, CE-vakuutusta tai viranomaiselle tehtävää täydellistä pakollista raportointia. Kaavaa ei voida käyttää tuotteen soveltuvuuden automaattiseen arviointiin tai oikeudellisen noudattamisen takaamiseen.

Tiedostojen yleiskatsaus – mitä asiakas saa?

Yhdeksän välilehden Excel-tiedosto

Yleiskatsaus, Tuotteet, Aikajakopäätökset, Komponentit, Haavoittuvuudet, Päivitykset, Asiakastiedot, Toimenpiteet ja Lue minua. Kirjaa esimerkiksi tuotteet, joilta puuttuu valmis tukopäätös, lyhyet tukijaksot, jotka on arvioitava uudelleen, komponenttirakoulu, avoimet haavoittuvuudet, korjauspaketit, joiden saatavuus ei ole vahvistettu, ja puuttuvat asiakastiedot. Yleiskatsauksessa käytetään testattuja tilarakennemuotoja, eikä se sisällä fiktiivisiä testitietoja.

Varoitus: Nollan avoimet tapaukset voivat johtua siitä, ettei tapauksia ole kirjattu. Excel ei ole oikeudellinen arviointimoottori, haavoittuvuusskanneri tai automaattinen hyväksyntä.

Näin käytät dokumentteja

1. Määritä, kuuluvatko valmistaja ja tuote CRA:n piiriin ja ovatko muut toimialakohtaiset säädökset sovellettavissa.
2. Dokumentoi tuotteen odotettu käyttöaika, käyttäjän odotukset ja riippuvuudet.
3. Perustele tukikausi – yleensä vähintään viisi vuotta, mutta pidempi, jos tuotteen odotettu käyttö sitä vaatii; lyhyempi vaatii perustellun lyhyemmän käyttöajan.
4. Vahvista vastuu, resurssit, haavoittuvuuksien vastaanottaminen, korjauspakettien julkaisu, testaaminen ja turvallinen jakelu.
5. Ilmoita tuotteen tuen päättyminen selkeästi ostohetkellä, vähintään kuukausi ja vuosi, ja anna asiaankuuluvat tietoturvatiedot.
6. Kirjaa jokaisen päivityksen julkaisupäivämäärä ja tarkista jatkuva saatavuus oikealla ajanjaksolla.
7. Dokumentoi tekniset perustelut, todisteet tiedottamisesta ja uudelleenarvioinnin muuttuneissa olosuhteissa.

Oikeudellinen perusta ja tärkeät päivämäärät

Asetus (EU) 2024/2847 – Cyber Resilience Act on pääasiallinen lähde. Artiklan 13.8 mukaan valmistajan on valittava tukikausi, joka vastaa tuotteen odotettua käyttöaikaa. Perussääntönä on vähintään viisi vuotta, mutta lyhyempi jakso on mahdollinen, jos tuotteen odotettu käyttö todellisuudessa on alle viisi vuotta. Jos käyttöaika on pidempi, viisi vuotta voi olla liian lyhyt. Arvioinnin perustelut on sisällytettävä tekniseen dokumentaatioon.

Artikla 13.9: Tukikauden aikana saatavilla olevan tietoturvapäivityksen on oltava saatavilla vähintään kymmenen vuoden ajan sen julkaisusta tai pidempään, jos tukikauden loppuun on jäljellä pidempi aika. Tämä on sääntö juuri päivityksen saatavuudesta – ei yleinen kymmenen vuoden aktiivisen tuen vaatimus.

Artikla 13.19 edellyttää, että tukikauden päättymispäivä, vähintään kuukausi ja vuosi, ilmoitetaan selkeästi ostohetkellä. Liite II kohdat 7 ja 8 käsittelevät muun muassa tuen tyyppiä, päivitysohjeita, turvallista asennusta ja turvallista poistamista. Liite I osa II koskee haavoittuvuuksien käsittelyä ja päivityksiä, muun muassa turvallista jakelua ja käyttäjätietoa.

Päivämäärä: Pääasialliset CRA-tuotteen vaatimukset alkavat tulla sovellettaviksi 11. joulukuuta 2027. Artiklan 14 raportointivelvollisuudet tietyille aktiivisesti hyödynnettäville haavoittuvuuksille ja vakaville tietoturhatapauksille ovat voimassa jo 11. syyskuuta 2026 alkaen. Tuotteet, roolit, siirtymisjärjestelyt, soveltuvuus ja täydentävä opastus on arvioitava kyseisen valmistajan osalta. EU-komission CRA-yleiskatsaus ja opastus 27. heinäkuuta 2026 tarjoavat lisätukea.

Ero muihin Mallbutikin CRA-tuotteisiin

Olemassa oleva CRA Compliance -paketti on laaja riskienarvioinnin, SBOM:n ja raportointivaatimusten osalta. Tämä erikoistuote keskittyy tukikauden oikeudellisiin ja teknisiin päätöspohjauksiin, asiakastiedottamiseen ja jatkuvaan pääsyyn korjauspaketteihin. PSIRT-raportointi tapahtuu erikseen. Yleiseen toimintapäivitykseen ja muutossuunnitteluun tarvitaan myös kyseisen organisaation omia teknisiä prosesseja.

Usein kysyttyä

Onko kaikkia tuotteita tuettava tasan viisi vuotta?

Ei. Tukikauden on seurattava odotettua käyttöaikaa, ja se on usein pidempi kuin viisi vuotta. Lyhyempää jaksoa vaaditaan konkreettinen todiste siitä, että tuotteen odotetaan todellisuudessa käytettävän lyhyemmän ajan.

Tarkoittaako kymmenvuotovaatimus, että meidän on julkaistava uusia korjauspaketteja kymmenen vuoden ajan?

Ei. Artikla 13.9 koskee jo julkaistuihin korjauspaketteihin jatkuvaa pääsyä tukikauden aikana. Se on eri asia kuin aktiivisen tukikauden pituus.

Mitä asiakkaan on nähtävä ostohetkellä?

Muun muassa teknisen tietoturvatuen tyyppi ja tuen päättyminen, selkeästi ja ymmärrettävästi vähintään kuukausi ja vuosi.

Voiko Excel määrittää, täyttääkö korjauspaketti CRA:n vaatimukset?

Ei. Excel kokoaa yhteen organisaation itse täyttämät manuaaliset kentät, eikä se sisällä teknistä skanneria tai viranomaisvalvontaa.

Sisällyvätkö todelliset tietoturvapäivitykset tai koneellisesti luettava SBOM?

Ei. Mukaan sisältyvät dokumentointiin ja turvallisiin viitteisiin tarkoitetut työkaavat. Todellinen kehitystyö, testaaminen ja SBOM:n luominen on tehtävä erikseen.

Voiko PDF-tiedostot täyttää digitaalisesti?

Ne ovat hakukelpoisia ja tulostettavissa, mutta eivät interaktiivisia PDF-lomakkeita. Muokkaa dokumentteja Wordissa ja Excelissä.

Onko kaikki dokumentit käännetty englanniksi?

Ei. Viisi suomenkielistä työkaavaa ja Excel ovat suomeksi; mukana on englanninkielinen käyttäjän opas työnkulun selittämiseksi.

Lähteet, tarkistustaso ja versio

Viralliset lähteet: EU 2024/2847, EU-komission yhteenveto, toteutusaikataulu ja opastus 2026.

Tuotteen versio: 1.0, 12. marraskuuta 2026. Oikeudellinen lähdetarkistus: AI-avusteinen virallisten lähteiden tukemana. Ei riippumatonta ulkopuolista lakimiesarviointia, todellista tuotteen tietoturvatestauksen, viranomaisvalvontaa tai CE-sertifiointia. Tiedostot ovat mukautettava työtuote, eikä niitä saa markkinoida vahvistettuna noudattamisen todisteena. Toimitus digitaalisen ZIP-tiedoston kautta vaatii kaupan lataustoiminnon erillisen aktivoinnin ennen julkaisua.