EU:n kyberkestävyyssäädöksen eli CRA:n (Cyber Resilience Act) ensimmäiset käytännön velvoitteet tulevat voimaan 11. syyskuuta. Viikon päästä valmistajien on alettava raportoida aktiivisesti hyväksikäytetyistä haavoittuvuuksista ja vakavista tietoturvapoikkeamista. Velvoite koskee myös EU:n ulkopuolisia puolijohdeyrityksiä, jos niiden tuotteita myydään unionin markkinoilla.
CRA tulee kokonaisuudessaan sovellettavaksi vasta joulukuussa 2027, mutta raportointivelvoite alkaa jo nyt. Valmistajan on annettava ensimmäinen varoitus aktiivisesti hyväksikäytetystä haavoittuvuudesta tai vakavasta tietoturvapoikkeamasta 24 tunnin kuluessa siitä, kun se on tullut asiasta tietoiseksi.
Varsinainen ilmoitus on tehtävä 72 tunnin kuluessa. Raportointi tapahtuu ENISAn Single Reporting Platform -järjestelmän kautta. Velvoite pakottaa valmistajat rakentamaan etukäteen prosessit haavoittuvuuksien seurantaan, tapausten eskalointiin ja viranomaisraportointiin.
CRA ei koske vain valmiita kuluttajalaitteita. Sen piiriin kuuluvat myös erikseen EU-markkinoille saatettavat digitaaliset komponentit, joten vaatimukset ulottuvat muun muassa puolijohde- ja ohjainpiirivalmistajiin.
Valmistajan kotipaikalla ei ole ratkaisevaa merkitystä. Jos esimerkiksi taiwanilainen tai yhdysvaltalainen siruyhtiö myy CRA:n piiriin kuuluvia tuotteita EU:n alueella, sen on noudatettava samoja raportointivelvoitteita kuin eurooppalaisen valmistajan.
Tämä tarkoittaa käytännössä huomattavasti enemmän kuin viranomaislomakkeen täyttämistä hyökkäyksen jälkeen. Yrityksen on kyettävä seuraamaan tuotteidensa haavoittuvuuksia jatkuvasti, vastaanottamaan ilmoituksia, arvioimaan niiden vakavuutta ja käynnistämään raportointi hyvin nopeasti.
Yksi esimerkki valmistautumisesta on taiwanilainen Silicon Motion. SSD- ja flash-ohjaimia valmistava yhtiö kertoi saaneensa valmiiksi CRA-ohjelmansa ensimmäisen vaiheen. Se on rakentanut prosesseja muun muassa jatkuvaan haavoittuvuusseurantaan, koordinoituun julkistamiseen, tietoturvapoikkeamien eskalointiin ja raportointiin ennen 11. syyskuuta alkavaa velvoitetta.
