EU:n kyberkestävyyssäädös CRA tuo yrityksille lisää työtä, mutta muuttaa samalla perusteellisesti sitä, miten digitaalisten tuotteiden elinkaarta pitää ajatella, kirjoittaa Schneider Electricin asiantuntija Marko Latvasalo.
CRA eli Cyber Resilience Act koskee kaikkia digitaalisia elementtejä sisältäviä tuotteita, jotka voidaan liittää suoraan tai epäsuorasti toiseen laitteeseen tai verkkoon. Säädöksen ulkopuolelle jäävät esimerkiksi perinteiset releet, kontaktorit ja merkkivalot silloin, kun niissä ei ole tällaisia digitaalisia elementtejä.
Velvoitteet koskevat valmistajien lisäksi maahantuojia ja myyjiä. CRA ulottuu myös EU:n ulkopuolella toimiviin yrityksiin silloin, kun niiden tuotteita tuodaan unionin markkinoille.
Säädöksen vaatimuksia sovelletaan täysimääräisesti joulukuusta 2027 lähtien. Jo sitä ennen tulevat kuitenkin voimaan muun muassa haavoittuvuuksien raportointia ja ilmoitettuja laitoksia koskevat vaatimukset.
Siksi valmistautumista ei kannata jättää viime metreille.
CRA muuttaa erityisesti sitä, miten tuotteiden elinkaarta tarkastellaan. Jatkossa ei riitä, että laite toimii teknisesti vuosien tai jopa vuosikymmenten ajan. Sen pitää myös olla kyberturvallinen ja päivitettävissä koko sille määritellyn tukijakson ajan.
Tästä seuraa käytännössä uusi tilanne: muuten täysin toimiva tuote voi muuttua markkinoiden näkökulmasta vanhentuneeksi, jos sen kyberturvallisuutta ei enää pystytä ylläpitämään.
Tämä koskee erityisesti kone- ja laitevalmistajia. Niiden kannattaa jo nyt selvittää, mitä nykyisiin tuotteisiin täytyy muuttaa. Yhdenkin komponentin vaihtaminen voi aiheuttaa kerrannaisvaikutuksia koko koneen rakenteeseen ja suunnitteluun.
Samalla on arvioitava nykyisten tuotteiden elinkaarta uudelleen. Joidenkin tuotteiden kaupallinen elinkaari voi CRA:n vuoksi jäädä aiemmin suunniteltua lyhyemmäksi.
CRA tuo kuitenkin myös selviä etuja. Se yhtenäistää vaatimuksia ja ohjaa valmistajia kehittämään tuotteita, joissa on jo lähtökohtaisesti vähemmän haavoittuvuuksia. Loppukäyttäjälle tämä tarkoittaa parempaa mahdollisuutta tehdä riskienhallintapäätöksiä tuotteen todellisten kyberturvallisuusominaisuuksien perusteella.
Erityisen merkittävä vaatimus liittyy päivitettävyyteen. Kun haavoittuvuuksia havaitaan tuotteen elinkaaren aikana, niihin pitää pystyä reagoimaan. Tämä parantaa kyberturvallisuuden lisäksi myös tuotteiden vastuullisuutta, koska toimivaa laitetta ei tarvitse vaihtaa vain siksi, ettei sen ohjelmistoa enää voida päivittää.
Myös loppukäyttäjien kannattaa valmistautua muutokseen. Jos uusia järjestelmiä tai koneita ollaan hankkimassa lähivuosina, niiden komponenttien CRA-valmius on syytä ottaa huomioon jo tarjous- ja suunnitteluvaiheessa.
Joulukuun 2027 jälkeen EU:n markkinoille ei enää voi tuoda tuotteita, jotka eivät täytä CRA:n vaatimuksia.
Valmistajien kannattaa siksi käydä tuoteportfolionsa läpi hyvissä ajoin ja selvittää, mitkä tuotteet voidaan päivittää vaatimusten mukaisiksi ja mitkä on korvattava uusilla ratkaisuilla.
Schneider Electric on päättänyt globaalisti, että jos jokin nykyinen tuote ei joulukuussa 2027 ole CRA-valmis, se poistetaan EU:n valikoimasta. Kyberturvallisuusominaisuuksien kehittämisessä hyödynnämme IEC 62443-4-1 -standardia ja secure-by-design-periaatetta.
CRA ei siis ole vain uusi sertifiointivaatimus. Se muuttaa tuotteen elinkaaren määritelmää.
Jatkossa tuotteen käyttöikä ei pääty välttämättä siihen, että laite rikkoutuu. Se voi päättyä siihen, ettei tuotteen kyberturvallisuutta enää pystytä ylläpitämään.
Suojattu flash-muisti tarjoaa verkkoon liitetyille laitteille ja järjestelmille laitteistopohjaisen suojauskerroksen ja täyttää NIST SP800-193 -ohjeistuksen mukaiset häiriönsietovaatimukset. Muistipiireihin erikoistuneen Winbondin kehittämä suojattu flash-piiri on myös suoraan korvaava ja täysin yhteensopiva tavanomaisten NOR-flash-piirien kanssa.
