Lühidalt
Cyber Resilience Act on ELi määrus, mis nõuab, et digielementidega tooted oleksid projekteeritud ja hooldatud turvaliselt kogu kasutusaja jooksul. See ei ole teenuseosutaja küberhügieeni juhend ega ISO 27001 sertifitseerimine: CRA kohustab toote turule laskjat, nõuab CE-märgist ja annab turujärelevalveasutustele õiguse nõuda parandusi või toote turult kõrvaldamist.
Kolm kuupäeva loevad: 11. september 2026 (teatamiskohustus), 11. detsember 2027 (põhinõuded) ja 11. juuni 2028 (olemasolevate tüübikinnituste üleminek). Kui toode on juba turul, ei tähenda see automaatset puutumust 2027. aastal, kuid teatamiskohustus kehtib ka varem turule lastud toodetele.
Kellele CRA kohaldub
CRA kohaldub toodetele digielementidega, mis tehakse ELi turul kättesaadavaks ärilise tegevuse käigus. Tooteks võib olla riistvara, tarkvara või nende komponent, kui selle otstarve või mõistlikult ettenähtav kasutus hõlmab otsest või kaudset loogilist või füüsilist ühendust seadme või võrguga. See hõlmab näiteks nutiseadmeid, koduruuterid, kaameraid, mängukonsoole, aga ka rakendusi, operatsioonisüsteeme ja eraldi müüdavaid tarkvarakomponente.
Kohaldumine ei sõltu ainult sellest, kas toote eest küsitakse raha. Äriliseks tegevuseks võib olla ka monetiseerimine teenuse, toe või andmete kaudu. Tasuta ja avatud lähtekoodiga tarkvara puhul tuleb hinnata, kas see on ärilisel eesmärgil turul kättesaadav; arendaja panus üksinda ei muuda teda automaatselt tootjaks.
CRA ei kohaldu toodetele, mille suhtes kehtivad teised ELi reeglid, mis katavad samu riske vähemalt samal tasemel. Näiteks meditsiiniseadmed, lennundustooted ja sõidukid võivad olla väljas, kui sektoriregulatsioon tagab vajaliku kaitse. Erandid on täpsustatud määruses ja komisjoni juhistes; neid ei tohiks üldistada ilma konkreetse toote ja õigusliku aluse kontrollimiseta.
Praktiline test: kas toode on ELi turul äriliselt kättesaadav, kas sellel on digielement ja kas see ühendub otseselt või kaudselt võrku? Kui jah, hinda CRA kohaldumist enne, kui otsustad, et „meie oleme ainult tarkvara“.
Lühike CRA kohaldumise enesekontroll
Vasta neljale küsimusele. Vastused töödeldakse ainult sinu brauseris ega saadeta kuhugi.
Tootja kohustused
Peamine vastutus on tootjal, kes laseb toote turule oma nime või kaubamärgi all. Enne turule laskmist peab tootja tegema küberturvalisuse riskianalüüsi ja rakendama Annex I nõuded. Need ei ole üksik kontrolle loend, mida saab „ära teha“, vaid projekteerimise ja hoolduse nõuded:
- Turvaline vaikimisi seadistus: tugevad vaikeparoolid, turvaline konfiguratsioon, vajalike teenuste piiramine ja turvaline algseadistus.
- Ligipääsukontroll: õiguste eraldamine, autentimine ja kaitse loata juurdepääsu eest.
- Andmete kaitse: konfidentsiaalsus, terviklikkus ja käideldavus, sealhulgas krüpteerimine, kui see on asjakohane.
- Ründepinna vähendamine: vajalikud funktsioonid ja liidesed, turvaline käsitsemine ning kaitse teadaolevate haavatavuste eest.
- Turvauuendused: haavatavuste tuvastamine, parandamine ja turvauuenduste kättesaadavaks tegemine kogu tugiperioodi jooksul.
- Läbipaistvus: kasutajale antakse vajalik teave, sealhulgas tugiperioodi lõppkuupäev.
Tootja peab määrama tugiperioodi, mis kajastab toote eeldatavat kasutusaega. CRA artikkel 13 järgi on see üldjuhul vähemalt viis aastat, välja arvatud juhul, kui toote eeldatav kasutusiga on lühem. Tugiperioodi lõpp tuleb selgelt ja arusaadavalt märkida juba ostuhetkel.
Lisaks peab tootja koostama tehnilise dokumentatsiooni, sh riskianalüüsi ja valitud meetmete põhjenduse, ning hoidma selle turujärelevalveasutusele kättesaadavana. Enne turule laskmist tehakse vastavushindamine, koostatakse ELi vastavusdeklaratsioon ja kinnitatakse CE-märgis. Tootejuhend peab sisaldama tootja andmeid, identifitseerimisteed, kasutusjuhiseid ja tugiperioodi.
Komponendi tarnija roll ei kao. Kui tootja integreerib kolmanda osapoole komponendi, peab ta tegema hoolsuskontrolli ja veenduma, et komponent ei kahjusta toote turvalisust. See ei tähenda, et iga avatud lähtekoodiga teek tuleb ise üle auditeerida, kuid tarnija väited ja turvauuenduste protsess peavad olema kontrollitavad.
Tähtajad ja üleminek
| Kuupäev | Mis muutub | Mida see tähendab |
|---|---|---|
| 10.12.2024 | Määrus jõustub | Õiguslik raamistik on olemas, kuid põhinõuded veel ei kohaldu. |
| 11.06.2026 | Vastavushindamisasutuste peatükk | Liikmesriigid saavad määrata teavitavad asutused ja teavitatud asutused. |
| 11.09.2026 | Teatamiskohustus | Tootjad peavad teatama aktiivselt ärakasutatud haavatavustest ja tõsistest intsidentidest. |
| 11.12.2027 | Põhinõuded | Turule lastavad tooted peavad vastama CRA-le; CE-märgis ja vastavusdeklaratsioon muutuvad kohustuslikuks. |
| 11.06.2028 | Üleminek | Varasemad ELi tüübikinnitus- ja heakskiiduotsused kehtivad kuni selle kuupäevani, kui need varem ei lõpe. |
Enne 11. detsembrit 2027 turule lastud tooted jäävad CRA põhinõuete alt välja, kui neid pärast seda kuupäeva oluliselt ei muudeta. Teatamiskohustus on erand: see kehtib kõigile ELi turul kättesaadavatele toodetele, sealhulgas neile, mis lasti turule enne 2027. aastat. Avatud lähtekoodiga tarkvara eest vastutavatele „stewarditele“ hakkab teatamiskohustus kehtima 11. detsembril 2027.
Kalender: Laadi CRA ja AI Acti tähtajad .ics-failina.
Haavatavuste ja intsidentide teatamine
Alates 11. septembrist 2026 peab tootja teatama aktiivselt ärakasutatud haavatavusest ja tõsisest intsidendist, mis mõjutab toote turvalisust. Teatamine käib ühtse teatamisplatvormi (Single Reporting Platform, SRP) kaudu, mille on loonud ENISA. Teade suunatakse selle liikmesriigi CSIRT-ile, kus tootja peamine tegevuskoht asub, ja tehakse kättesaadavaks ENISA-le ning teistele asjaomastele CSIRT-idele.
| Etapp | Tähtaeg | Sisu |
|---|---|---|
| Varajane hoiatus | 24 tundi | Esmane teave, kas tegemist võib olla aktiivselt ärakasutatud haavatavuse või tõsise intsidendiga. |
| Põhiteavitus | 72 tundi | Üksikasjad mõju, mõjutatud toodete ja võetud meetmete kohta. |
| Lõpparuanne | 14 päeva või 1 kuu | Pärast parandusmeetme kättesaadavust (aktiivselt ärakasutatud haavatavus) või ühe kuu jooksul pärast põhiteavitust (tõsine intsident). |
Väikeettevõtted ja mikroettevõtted ei saa trahvi 24-tunni tähtaja ületamise eest; see ei vabasta neid teatamiskohustusest. Avatud lähtekoodiga tarkvara stewardid ei ole CRA rikkumiste eest trahvitavad, kuid neil on siiski teatamis- ja koostöökohustus.
Praktikas tähendab see, et tootjal peab olema haavatavuste käsitlemise protsess, kontaktpunkt, hindamisjuhend ja valmis teatamisdokumentatsioon. Teatamist ei tohiks jätta intsidendi ajal improvisatsiooniks.
Vastavushindamine ja CE-märgis
Enne CE-märgise kinnitamist peab tootja valima sobiva vastavushindamismenetluse. Üldjuhul saab kasutada sisemist kontrolli (moodul A), st tootja hindab ise, et toode vastab nõuetele ja dokumentatsioon on olemas. Kõrgema riskiga toodete puhul on nõutav teavitatud asutuse kaasamine või Euroopa küberturvalisuse sertifitseerimisskeem, kui komisjon on selle CRA jaoks kättesaadavaks teinud.
Olulised ja kriitilised tootekategooriad on loetletud CRA lisades III ja IV ning neid täpsustab rakendusmäärus (EL) 2025/2392. I klassi oluliste toodete puhul võib isehindamine olla lubatud ainult siis, kui on rakendatud harmoneeritud standardeid, ühiseid spetsifikatsioone või sertifitseerimisskeemi; muul juhul on vaja teavitatud asutust. II klassi olulised tooted ja kriitilised tooted nõuavad üldjuhul kolmanda osapoole hindamist. Erandeid ja üleminekuid tuleb kontrollida määruse kehtivast tekstist, mitte üldistada.
CE-märgis ei ole „turvatest“ ega tõenda, et tootes ei ole ühtegi haavatavust. See näitab, et tootja on läbinud nõutud vastavushindamise ja vastutab toote eest. Turujärelevalveasutus võib hiljem nõuda tõendeid, parandusi, turult kõrvaldamist või tagasikutsumist. Seetõttu peavad tehniline dokumentatsioon, SBOM, riskianalüüs ja turvauuenduste protsess olema päriselt olemas, mitte ainult kataloogis.
Oluline vahe: CRA vastavushindamine ei ole pentest. Pentest võib olla üks tõend, et turvakontrollid töötavad, kuid see ei asenda riskianalüüsi, tehnilist dokumentatsiooni, SBOM-i, tugiperioodi ega vastavusdeklaratsiooni.
CRA trahvid ja järelevalve
CRA artikkel 64 sätestab karistuste raamistiku, kuid konkreetsed trahvid kehtestab iga liikmesriik. Suurim tase on kuni 15 miljonit eurot või 2,5% ettevõtja ülemaailmsest aastakäibest, olenevalt sellest, kumb on suurem, ning see puudutab põhinõuete ja teatamiskohustuse rikkumisi. Muude kohustuste eest võib trahv olla kuni 10 miljonit eurot või 2% käibest ning vale või eksitava teabe eest kuni 5 miljonit eurot või 1% käibest.
Mikro- ja väikeettevõtteid ei trahvita 24-tunni teatamistähtaja ületamise eest, kuigi teatamiskohustus jääb kehtima. Avatud lähtekoodiga tarkvara stewardid ei ole CRA rikkumiste eest trahvitavad. Eesti täpne trahvimäär ja menetlus tuleb riigisisesest õigusest ja pädeva asutuse teabest; ära eelda, et ELi ülempiir rakendub automaatselt.
Ära kasuta trahvi suurust riskianalüüsi asendajana. Järelevalve võib nõuda parandust, turult kõrvaldamist või tagasikutsumist ka siis, kui trahv pole veel määratud.
Mida CRA juures päriselt tõendada
Hea CRA dokumentatsioon ei ole poliitikate kogu. Turujärelevalveasutus ja teavitatud asutus tahavad näha, et tootja mõistab oma toote riske ja suudab neid juhtida. Tavaline tõendipakett sisaldab:
- Riskianalüüs: toote otstarve, kasutuskeskkond, ohud, mõju ja valitud meetmed.
- Arhitektuuri ja seadistuse kirjeldus: andmevood, liidesed, autentimine, krüpteerimine, logimine ja turvaline vaikeseadistus.
- SBOM: komponendid, versioonid, tarnijad ja nende jälgitavus; protsess, kuidas haavatavusi jälgitakse. Vaata SBOM-i juhendit ja CSV-malli.
- Haavatavuste haldus: vastuvõtt, hindamine, parandamine, avalikustamine ja turvauuenduste testimine.
- Turvatestimise tõendid: näiteks koodianalüüs, läbistustest, konfiguratsiooni audit või CI turvaskannerid, koos ulatuse ja piirangutega.
- Intsidendiprotsess: kontaktid, eskaleerimine, 24/72 tunni ja lõpparuande valmidus.
- Tarneahel: komponentide hoolsuskontroll ja tarnijate turvauuenduste protsess.
- Vastavusdeklaratsioon ja CE: õige menetlus, versioon, toote identifitseerimine ja tugiperiood.
See on ka koht, kus tavaline „ostame pentesti ja paneme raporti kausta“ ei tööta. CRA nõuab elutsükli protsessi. Pentest võib paljastada olulise vea, kuid kui parandusprotsess, SBOM ja turvauuendused puuduvad, ei ole toode CRA mõttes valmis.
Eesti järelevalve
CRA on ELi määrus, mis kehtib Eestis otse, ilma eraldi ülevõtmise seaduseta. Riik peab määrama turujärelevalveasutuse, kes kontrollib tooteid, küsib dokumentatsiooni ja võib nõuda parandusi. Eesti avalikes allikates on seotud TTJA ja RIA, kuid pädevusjaotus ja menetluspraktika võivad veel täpsustuda. Enne konkreetset õiguslikku otsust kontrolli TTJA, RIA ja Euroopa Komisjoni kehtivat teavet.
See erineb NIS2-st, kus Eestis kehtib küberturvalisuse seadus ja kohustused on suunatud teenuseosutajatele. CRA kohustab toote turule laskjat; samal ettevõttel võivad olla mõlemad rollid. Kui oled nii NIS2 kohustuslane kui ka CRA tootja, ära eelda, et üks vastavus katab teise. NIS2 juhend ja regulatsioonide kaart aitavad rolle eristada.
Kuidas ette valmistuda
- Tee tooteinventuur: loetle kõik tooted ja komponendid, mis on ELi turul äriliselt kättesaadavad, ning märgi, kas need ühenduvad võrku.
- Määra rollid: tootja, importija, distributsioon, avatud lähtekoodi steward või komponendi tarnija. Iga rolli kohustused erinevad.
- Hinda kohaldumist ja erandeid: kontrolli sektoriregulatsiooni ja CRA artiklit 2; ära eelda, et meditsiiniseade või sõiduk on automaatselt väljas.
- Tee aus gap analysis: võrdle olemasolevat riskianalüüsi, SBOM-i, haavatavuste protsessi ja dokumentatsiooni CRA nõuetega.
- Rajaa haavatavuste protsess: kontaktpunkt, hindamine, parandus, turvauuendus, teatamise harjutus ja tõendid.
- Vali vastavushindamise tee: sisemine kontroll või teavitatud asutus; kontrolli klassifikatsiooni ja harmoneeritud standardite olemasolu.
- Valmista turule laskmise pakett: tehniline dokumentatsioon, vastavusdeklaratsioon, CE, kasutusjuhend ja tugiperioodi lõpp.
Kui toode on juba turul, alusta teatamiskohustusest ja kriitiliste haavatavuste protsessist. See on ainus osa, mis kehtib juba enne 2027. aastat ja mida saab päriselt testida.
Küsimused CRA kohta
Kas CRA kehtib juba?
CRA jõustus 10. detsembril 2024. Teatamiskohustus kehtib alates 11. septembrist 2026 ja põhinõuded hakkavad kehtima 11. detsembrist 2027. Tooted, mis on turule lastud enne seda, kuuluvad CRA alla alates 2027. aastast ainult olulise muudatuse korral, kuid teatamiskohustus kehtib ka varem turule lastud toodetele.
Kas CRA kehtib ainult riistvarale?
Ei. CRA kohaldub riist- ja tarkvaratoodetele, mis on ELi turul kättesaadavad ja millel on otsene või kaudne loogiline või füüsiline andmeühendus seadme või võrguga. See hõlmab ka eraldi turustatavaid komponente ja toote toimimiseks vajalikke kaugandmetöötluslahendusi.
Mida tähendab CRA teatamiskohustus?
Tootja peab teatama aktiivselt ärakasutatud haavatavustest ja tõsistest intsidentidest, mis mõjutavad toote turvalisust. Algne hoiatus tuleb esitada 24 tunni jooksul, põhiteavitus 72 tunni jooksul ning lõpparuanne 14 päeva jooksul pärast parandusmeetme kättesaadavust või ühe kuu jooksul tõsise intsidendi puhul. Teatamine käib ENISA ühtse teatamisplatvormi kaudu.
Kas CRA nõuab SBOM-i?
CRA kohustab tootjat tuvastama ja dokumenteerima toote komponente, sealhulgas koostama tarkvara koostisosade loendi (SBOM). SBOM ise ei tõesta turvalisust, kuid see on vajalik haavatavuste jälgimiseks ja turujärelevalve küsimustele vastamiseks.
Kas CRA asendab NIS2 või ISO 27001?
Ei. CRA reguleerib tooteid, NIS2 teenuseosutajaid ja ISO 27001 on vabatahtlik juhtimisstandard. Samad tõendid võivad aidata mitut raamistikku, kuid vastavust tuleb hinnata iga nõude järgi eraldi.
Kes teeb Eestis CRA järelevalvet?
CRA on ELi määrus ja kehtib Eestis otse. Riik peab määrama turujärelevalveasutuse; Eestis on avalikes allikates nimetatud TTJA ja RIA rolli, kuid täpne pädevusjaotus võib veel täpsustuda. Enne konkreetset otsust kontrolli TTJA, RIA ja Euroopa Komisjoni kehtivat teavet.
Kui suured on CRA trahvid?
CRA artikkel 64 sätestab kolm taset: kuni 15 miljonit eurot või 2,5% ülemaailmsest aastakäibest põhinõuete ja teatamiskohustuse rikkumise eest, kuni 10 miljonit eurot või 2% muude kohustuste eest ning kuni 5 miljonit eurot või 1% vale või eksitava teabe eest. Konkreetsed trahvid kehtestab liikmesriik; mikro- ja väikeettevõtteid ei trahvita 24-tunni teatamistähtaja ületamise eest.
Kas Tehisabiline teeb CRA vastavushindamise?
Ei. Tehisabiline ei ole teavitatud vastavushindamisasutus ega väljasta CE-märgist. Saame teha tehnilist turvatestimist ja dokumenteerida tõendeid, mis toetavad tootja riskianalüüsi ja vastavushindamist, kuid lõpliku vastavusotsuse teeb tootja või teavitatud asutus.
Allikad
- Cyber Resilience Act, määrus (EL) 2024/2847.
- Euroopa Komisjon: Cyber Resilience Act.
- Euroopa Komisjon: CRA õigusliku teksti kokkuvõte.
- Euroopa Komisjon: CRA teatamiskohustus.
- Euroopa Komisjon: CRA vastavushindamine.
- ENISA: CRA ühtne teatamisplatvorm.
Mõisted: SBOM, CE-märgis, vastavushindamine ja CRA.
See leht on selgitav, mitte õigusnõu. Kohaldumise, erandite ja tõendite ulatuse kinnitab pädev asutus, teavitatud asutus või jurist.