Uusi EU-sääntö astuu voimaan: Aktiivisesti hyödynnetyistä haavoittuvuuksista on kerrottava suoraan kuluttajille

Janne Yli-Korhonen
10. syyskuuta, 2026 19:31

Uutisoimme aiemmin kesäkuussa, kuinka Suomessa astui voimaan uusi kansallinen kyberkestävyyslaki täydentämään Euroopan unionin kyberkestävyyssäädöstä (CRA). Nyt sääntely ottaa seuraavan askeleen, kun digitaalisten tuotteiden ja laitteiden valmistajia koskeva uusi ilmoitusvelvoite alkaa perjantaina 11. syyskuuta.
Uuden säädöksen myötä valmistajien on ilmoitettava tuotteissaan havaituista, aktiivisesti hyödynnetyistä haavoittuvuuksista sekä vakavista tietoturvapoikkeamista Liikenne- ja viestintävirasto Traficomin Kyberturvallisuuskeskukselle sekä EU:n kyberturvallisuusvirasto ENISAlle.

Viranomaisten lisäksi valmistajilla on velvollisuus tiedottaa ongelmista viipymättä suoraan tuotteiden käyttäjille, joko henkilökohtaisesti tai omilla verkkosivuillaan.
Kun valmistaja saa luotettavaa näyttöä siitä, että sen tuotteen haavoittuvuutta hyödynnetään aktiivisesti, ensivaroitusilmoitus on tehtävä viranomaisille 24 tunnin kuluessa.

Varsinainen haavoittuvuus- ja poikkeamailmoitus on toimitettava 72 tunnin sisällä.

Ilmoitukset tehdään keskitetyn Single Reporting Platform (SRP) -raportointialustan kautta, ja tarvittaessa myös Kyberturvallisuuskeskus voi julkaista tiedon turvattomasta tuotteesta.

"Ilmoitukset ovat merkittäviä kyberturvallisuuden tilannekuvan muodostamisessa. Nopea tiedonsaanti myös antaa käyttäjille mahdollisuuden reagoida tuotteen tietoturvaongelmaan ennen kuin siitä aiheutuu laajempaa haittaa", sanoo yksikönpäällikkö Tomi Kinnari Kyberturvallisuuskeskuksesta.

Velvoitteen piiriin kuuluvat periaatteessa kaikki EU-markkinoilla myytävät tuotteet, jotka kytkeytyvät suoraan tai epäsuorasti verkkoon tai toisiin laitteisiin.

Tämä kattaa laajasti niin älypuhelimet, älykellot, reitittimet kuin erilaiset kodin älylaitteet ja ohjelmistot. Huomionarvoista on, että raportointivelvollisuus koskee myös sellaisia laitteita, joiden valmistus on jo ehditty lopettaa.

Traficomin mukaan EU:n markkinoilla olevista tuotteista on kuluvana vuonna raportoitu jo noin 400–500 haavoittuvuutta, jotka olisivat ylittäneet uuden ilmoituskynnyksen.

Ilmoittamisvelvoite koskee kaikkia EU:n alueella myytäviä laitteita, myös kolmansista maista maahantuotuja laitteita. Peukalosääntönä voidaan pitää, että jos laite, ohjelmisto tai muu tuote on yhteydessä verkkoon tai toiseen laitteeseen, se kuuluu CRA:n soveltamisalaan.

"Valmistajalla ei ole vastaavaa velvollisuutta ilmoittaa tuotteen haavoittuvuuksista käyttäjälle, jos tuote on hankittu EU:n ulkopuolelta. Käyttäjä ei tällöin välttämättä saa tietoa tuotteen tietoturvapuutteista. Verkkokauppatilauksissa on syytä olla huolellinen, kun puhutaan digitaalisista laitteista ja kyberturvallisuudesta", sanoo yksikönpäällikkö Olli Lehtilä Kyberturvallisuuskeskuksesta.

Nyt voimaan tullut ilmoitusvelvoite on kyberkestävyyssäädöksen ensimmäinen merkittävä etappi. Laitteiden ja ohjelmistojen valmistajille asetetut laajemmat ja täysimääräiset tuoteturvallisuusvaatimukset, kuten automaattiset tietoturvapäivitykset ja turvalliset oletusasetukset, tulevat EU-alueella pakollisiksi 11. joulukuuta 2027 alkaen.