Cyber Resilience Act vaatii laitevalmistajilta toimenpiteitä, mutta harva tietää, mistä aloittaa. CRA-valmiusarvioinnissa selvitämme kanssasi nykytilanteen ja teemme selkeän suunnitelman siitä, mitä kannattaa tehdä ja missä järjestyksessä.
Hinta alkaen 4 700 € (+ alv)
CRA-valmiusarviointi tiivistää hajallaan olevan tiedon ymmärrettäväksi kokonaiskuvaksi ja tekee CRA-työstä hallittavaa: tiedätte, mitä pitää tehdä, missä järjestyksessä ja kenen toimesta.
CRA koskee monia tuotteita, mutta vaikutukset eivät ole kaikille samanlaisia. Valmiusarviointi on hyödyllinen organisaatioille, jotka:
CRA:n raportointivelvoitteet alkavat 11.9.2026, ja kaikki vaatimukset astuvat voimaan 11.12.2027.
Käytännössä tämä tarkoittaa, että valmistautuminen kannattaa aloittaa hyvissä ajoin. CRA edellyttää muutoksia sekä teknisiin ratkaisuihin, dokumentaatioon että sisäisiin prosesseihin, ja kaikkea ei voi tehdä kerralla.
Monelle tuotekehitystiimille suurin haaste ei ole yksittäinen tekninen vaatimus, vaan kokonaisuuden hahmottaminen: mitä kaikkea CRA edellyttää ja missä järjestyksessä asioita kannattaa tehdä.
Kahdessa minuutissa voit kuvailla tilannettasi tarkemmin, ja otamme yhteyttä jatkokeskustelua varten.
CRA-valmiusarviointi voidaan tyypillisesti toteuttaa muutamassa viikossa lähtötietojen saatavuudesta riippuen.
Keräämme ennakkokyselyn avulla keskeiset lähtötiedot arvioitavasta tuotteesta. Ennakkokyselyn yhteydessä pyydämme myös mahdollisesti muita arvioinnin kannalta keskeisiä materiaaleja työpajan valmistelua varten.
Puolen päivän strukturoidussa työpajassa käymme läpi CRA:n keskeiset vaatimukset järjestelmällisesti ja muodostamme perustan CRA-valmiusarvioinnille.
Toisessa puolen päivän työpajassa syvennymme ensimmäisessä työpajassa tunnistettuihin osa-alueisiin. Käymme läpi dokumentaation ja prosessien nykytilan sekä tarkennamme kokonaiskuvaa gap-analyysiä varten.
Yhdistämme kaiken saamamme ennakkotiedon, oman analyysimme sekä CRA:n vaatimukset. Saat selkeän dokumentaation, joka kokoaa yhteen tiekartan, priorisoidun toimenpidelistan ja kustannusarvion toteutuksesta.
Käymme raportin läpi yhdessä ja varmistamme, että kokonaisuus on selkeä. Sovimme tarvittaessa jatkosta.
Tämän kokonaisuuden avulla tiedätte mitä CRA:n suhteen pitää tehdä, missä järjestyksessä ja millä resursseilla.
Kirjallinen arvio siitä, kuuluuko tuotteenne CRA:n piiriin, mihin tuoteluokkaan se kuuluu ja mitkä vaatimukset koskevat juuri teidän tuotettanne.
Nykytilanne verrattuna CRA:n keskeisiin vaatimuksiin jäsenneltynä kolmelta osa-alueelta: tekniset ratkaisut, dokumentaatio ja sisäiset prosessit. Arvio perustuu materiaaleihin ja työpajoihin.
Mitä kannattaa tehdä ennen 11.9.2026 ja mitä ennen 11.12.2027. Jokaiselle toimenpiteelle arvio toteutuksen laajuudesta ja tarvittavasta osaamisesta.
Selkeä näkemys siitä, mitä seuraavaksi kannattaa tehdä ja miten pääsette sinne.
Hinta koskee yhden tuotteen arviointia. Jos tuotekokonaisuuksia on useampia, niistä sovitaan erikseen. Lopullinen kiinteä hinta sovitaan aina ennen aloittamista.
Cyber Resilience Act koskee tuotteita, joiden tarkoitettu tai ennakoitavissa oleva käyttö sisältää suoran tai epäsuoran yhteyden verkkoon tai toisiin laitteisiin. Tämä kattaa esimerkiksi IoT-laitteet, sulautetut järjestelmät sekä niihin liittyvät ohjelmistot ja valmistajan tarjoamat pilvipalvelut.
Jos soveltuvuus mietityttää, voimme käydä tilanteenne läpi lyhyessä keskustelussa.
CRA edellyttää muun muassa:
tietoturvariskien arviointia
turvallista ohjelmistokehitystä
haavoittuvuuksien hallintaa ja raportointia
teknistä dokumentaatiota
turvallisia päivitysmekanismeja
Vaatimukset koskevat koko tuotteen elinkaarta.
Jos soveltuvuus mietityttää, voimme käydä tilanteenne läpi lyhyessä keskustelussa.
Ei. CRA-valmiusarviointi ei yksin tee tuotteesta CRA-yhteensopivaa.
Arviointi antaa kuitenkin selkeän lähtöpisteen:
soveltuvuusarvion
nykytilannekuvan suhteessa CRA-vaatimuksiin
priorisoidun toimenpidelistan
Näiden pohjalta varsinainen compliance-työ voidaan toteuttaa hallitusti.
Tyypillisesti noin 2–3 viikkoa ennakkomateriaalin keräämisestä valmiiseen raporttiin.
Aikataulu riippuu esimerkiksi tuotteen monimutkaisuudesta ja lähtötietojen saatavuudesta, mutta sovimme aikataulun etukäteen ja pidämme siitä kiinni.
Perushinta koskee yhden tuotteen arviointia.
Jos tuotteita on useita, voimme usein tarkastella tuoteperheen yhteisiä komponentteja, ohjelmistoja ja prosesseja samalla kertaa, mikä säästää aikaa ja kustannuksia.
CRA:n haavoittuvuuksien raportointivelvoitteet alkavat 11.9.2026.
Kaikkien CRA-vaatimusten tulee täyttyä 11.12.2027 mennessä.
Jos tuote on markkinoilla tämän jälkeen, sen on täytettävä vaatimukset koko elinkaarensa ajan.
Arviointi tuottaa selkeän dokumentin, jonka pohjalta voitte edetä haluamallanne tavalla. Monet asiakkaat jatkavat Qalmarin kanssa toteutusvaiheeseen, mutta se ei ole valmiusarvioinnin edellytys.
Jos laite voi käynnistää mitä tahansa koodia, se ei ole enää valmistajansa hallinnassa, vaan mahdollisen hyökkääjän. Secure Boot estää hyökkäykset varmistamalla, että laitteen käynnistyksessä hyväksytään vain valmistajan allekirjoittama ohjelmisto.
Cyber Resilience Act (CRA) on EU:n uusi kyberturvallisuusasetus, joka tuo pakolliset vaatimukset lähes kaikille suoraan tai epäsuorasti verkkoon tai toisiin laitteisiin yhdistettäville laitteille sekä niihin liittyville ohjelmistoille.
Head of Sales
juho.arkkola@qalmari.fi
+358 40 560 2336
