EU:n kyberkestävyyssäädös eli CRA-asetus ja uusi koneasetus asettavat tiukkoja vaatimuksia kone- ja laitevalmistajien raportoinnille, laitteiden tietoturvalle ja dokumentaatiolle. Valmistavan teollisuuden on varmistettava, että prosessit ja toimitusketjut ovat ajoissa valmiit, sillä määräajat lähestyvät nopeasti. Vaikka tekoäly voi nopeuttaa kartoitusta, kokonaisvastuu laitteiden turvallisuudesta säilyy aina ihmisellä.
Kone- ja laitevalmistajien kalenterissa on nyt muutama kiveen hakattu päivämäärä. Ensimmäinen meni jo: CRA-asetuksen haavoittuvuuksien raportointivelvollisuus astui voimaan 11.9.2026. Velvollisuus koskee myös jo markkinoilla olevia tuotteita.
Seuraava virstanpylväs häämöttää 20.1.2027, jolloin konedirektiivin korvaa koneasetus (EU) 2023/1230. Sitä sovelletaan sellaisenaan kaikissa EU-maissa.
Goforen johtava kyberturvallisuuden neuvonantaja Antti Laatikainen muistuttaa, että säädökset palvelevat pitkälti samaa tavoitetta. Hän on toiminut kyberturvallisuuskonsulttina yli vuosikymmenen ajan – erityisesti kriittisen infrastruktuurin ja valmistavan teollisuuden kentällä – ja oli aiemmassa työssään mukana EU-työryhmässä valmistelemassa CRA:n haavoittuvuuksien hallinnan standardia.
Laatikaisen mukaan alan yritysten valmius vastata sääntelyyn vaihtelee paljon.
“Teollisuudessa laatuun ja fyysiseen turvallisuuteen liittyvä sääntely on tuttua, mutta kyberturvallisuus hämmentää yhä monia. Se, mikä IT-taloissa on peruskauraa, vaatii teollisuudessa uuden opettelua. Dokumentaatio ei ole ajan tasalla, ja prosessien kehitys on vielä vaiheessa. Joidenkin organisaatioiden tilanne on silti jo hyvällä mallilla”, Laatikainen kuvailee.
CRA-vaatimukset ja raportointivelvoite ulottuvat pilveen asti
Raportointi vaatii selkeät prosessit ja nimetyt vastuuhenkilöt, jotka ilmoittavat vakavista poikkeamista viranomaisille. Työ ei kuitenkaan pääty tähän: Laatikainen muistuttaa, että velvoite ulottuu syvemmälle.
Valmistajan täytyy nimittäin hahmottaa myös ne taustajärjestelmät, joihin laitteet ottavat yhteyttä, kuten omat pilvipalvelut. Jos laitteen toiminta riippuu taustajärjestelmästä tai järjestelmässä liikkuu luottamuksellista tietoa, sen tietoturvapoikkeamat on pakko ilmoittaa eteenpäin.
“Ei riitä, että ilmoituslistalla on oikeat nimet. Oma ympäristö on tunnettava niin hyvin, että tiedetään täsmälleen, mitä valvotaan ja pystytään myös valvomaan sitä uskottavasti.”
Tämä muuttaa vastuunjakoa. Vaikka järjestelmä pyörisi julkisessa pilvessä, pilvitarjoaja ei valvo sitä valmistajan puolesta. Jos joku pääsee sorkkimaan järjestelmää, tilanteen havaitseminen ja raportointi ovat täysin valmistajan vastuulla.
Koneasetuksen vaatimukset: jokainen suojaustoimenpide pitää perustella
Uusi koneasetus kasvattaa entisestään tarvetta dokumentaatioon ja edellyttää, että koneturvallisuus ja standardit otetaan huomioon alusta alkaen. Toisin kuin vanha konedirektiivi, asetus vaatii perustelemaan jokaisen suojaustoimenpiteen: on pystyttävä osoittamaan, mitä tiettyä terveys- tai turvallisuusvaatimusta varten se on tehty.
Samalla pitää arvioida riskit, joita sisältyy koneen itseoppivaan logiikkaan ja käyttäytymiseen. Turvallisuuteen vaikuttavat ohjelmistot on avattava teknisiin asiakirjoihin lähdekoodia ja päivityskäytäntöjä myöten.
Itseoppiva kone on Laatikaisen mielestä täysin hyväksyttävä ratkaisu, kunhan ohjat pysyvät ihmisen käsissä.
“Tekoäly on vain työkalu, kuin erittäin monimutkainen laskin. Se ei ota vastuuta yrityksen liiketoimintariskeistä tai ihmisten turvallisuudesta. Jos turvallisuuskriittinen toiminto jätetään tekoälyn kontolle, omistajuus on pielessä.”
Järjestelmä voi kyllä optimoida toimintaansa vaikkapa viikoittain, kunhan välissä on selkeä hyväksyntävaihe. Ihmisen pitää tarkistaa protokollan mukaan, mitä järjestelmä on oppinut, miten se reagoi ja onko se yhä turvallinen.
EU-asetuksilla on selkeä työnjako. Koneasetus varmistaa koneen turvallisen käytön.
“Kyse on karkeasti ottaen siitä, että koneen käyttäjällä säilyvät sormet tallella”, Laatikainen kiteyttää.
CRA taas estää laitteiden kaappauksen ja luvattoman manipuloinnin. Sen piiriin kuuluu niin kunnan vesipumppu kuin leivänpaahdin, joka ilmoittaa puhelimeen, että leipä on valmis.
EU:n koneasetus 2027 ja CRA-asetus: lähes kaikki on samaa työtä
CRA-asetus, uusi koneasetus, NIS2 ja GDPR menevät ristiin ja päällekkäin. Jos yritys perustaa jokaiselle pykälälle oman erillisen hankkeensa, työtaakka uuvuttaa nopeasti.
“Iso ‘salaisuus’ on se, että noin 85 prosenttia vaatimuksista on täysin samaa kamaa: laadukkaita ja tietoturvallisia ohjelmistokehityksen käytäntöjä sekä hyvää tietoturvan hallintaa.”
Laatikainen paloittelee kokonaisuuden neljään teemaan, jotka kattavat kaikki eri säädökset:
Tiedä, mitä rakennat. Turvallinen suunnittelu, ajantasainen dokumentointi, muutoshallinta, uhkamallinnus ja johdon hyväksyntä.
Tiedä, mitä tuotteesi sisältää. Haavoittuvuuksien ja elinkaaren hallinta. CRA tuo uutena asiana valmistajan vastuulle laitteen tietoturvapäivitykset koko tukijakson ajan.
Varaudu poikkeamiin. Lokitiedot, valvonta, selkeät vastuut sekä reagointi-, kriisi- ja palautumissuunnitelmat ja näiden säännöllinen harjoittelu.
Tunne toimitusketjusi. Yksin ei pärjää kukaan. Riippuvuus voi olla tehtaan huoltosopimus tai koodikirjasto, jonka haavoittuvuus vaatii pikaista paikkausta.
“Mitä tapahtuu muutamassa tunnissa tai parissa päivässä, jos toimittaja ei pystykään toimittamaan varaosaa tai pyörittämään pilveä? Entä jos data katoaa?”
Tekoäly nopeuttaa kartoitusta, mutta vastuu jää ihmiselle
Dokumentoinnin nopeus riippuu pitkälti siitä, onko organisaation sisällä tietotekniikka- ja tietoturvaosaamista. Tekoälystä saa niiden rinnalle hyvän sparraajan.
Kielimallit perehtyvät materiaaliin hetkessä ja poimivat ristiriidat ja päällekkäisyydet. Ne tuntevat alan standardit ja osaavat kertoa, mitä turvallisen ohjelmistokehityksen ohjeistuksesta uupuu.
Laatikainen kehottaakin antamaan tekoälylle mahdollisimman tarkan taustoituksen, esimerkiksi: ”Olet kollegani, ja rakennamme yrityksellemme CRA-kyvykkyyttä. Kerro ensin, mitä CRA edellyttää tällaisilta ohjeilta, ja tarkista sitten, täyttävätkö nämä ohjeet vaatimukset.”
Tekoälyn käytössä on kuitenkin kaksi tärkeää reunaehtoa. Ensin on punnittava, mitä materiaalia tekoälylle syötetään ja mihin palveluun se syötetään.
Jos dokumentit sisältävät liikesalaisuuksia tai kriittistä turvatietoa, kannattaa harkita tarkkaan, mihin palveluun ne syötetään, jos ylipäätään mihinkään. Silloin tekoälyn kanssa sparrataan mieluummin yleisellä tasolla ja tehdään lopullinen vertailu omin voimin.
Toiseksi tekoälyn tekemä teksti on aina pelkkä raakavedos.
“Tekoälylle ei voi ulkoistaa vastuuta. Kaikella tekstillä pitää olla ihminen omistajana. Tekoälyn tuotokseen kannattaa suhtautua kuin työkaverin ensimmäiseen luonnokseen: vain harva raakavedos päätyy sellaisenaan talon viralliseksi linjaukseksi.”
Tekoäly ei myöskään muuta yrityskulttuuria eikä jalkauta mitään. Se luo rungon nopeasti, mutta itse toimintatapojen muovaaminen ja tiimien sitouttaminen ovat aina ihmisten tehtäviä.
Olennaista on ratkaista, mitkä tekoälyn kanssa hahmotelluista malleista sopivat juuri omaan yritykseen ja miten ne saadaan istumaan ohjelmistokehittäjien ja tuotantolinjojen arkeen. Laatikaisen mukaan ulkopuolinen apu voi tässä säästää sekä aikaa että rahaa
Laatua ei voi lisätä valmiiseen lääkepulloon
Goforella kyberturvallisuus nähdään kokonaisuutena, ei erillisenä IT-projektina. Laatikainen havainnollistaa asiaa kokemuksillaan lääketeollisuudesta, jossa hän aiemmin vastasi silmälääkkeiden tuotantoketjun tietoturvasta.
“Meillä oli tietenkin laadunvarmistus, mutta kaikki ymmärsivät, ettei pöydällä nököttävään valmiiseen lääkepulloon voi enää jälkikäteen kaataa laatua. Laatu syntyy koko ketjun arjesta, aina trukkikuskeista ja ilmanvaihdosta lähtien.”
CRA tekee kyberturvasta vastaavalla tavalla koko organisaation yhteisen asian. Yksittäinen tietoturva-asiantuntija ei voi kantaa vastuuta yksin.
Siksi ohjeistus kannattaa rakentaa toiminto kerrallaan. Se tarkoittaa, että vuorotellen ohjelmistokehittäjät, logistiikkatiimi ja hankintaosasto istuvat alas.
“Kun työntekijä pääsee itse vaikuttamaan ohjeisiin, sitoutuminen ja motivaatio noudattaa niitä ovat aivan eri luokkaa.”
Näistä merkeistä tunnistat, että olette myöhässä
Jokaisen kone- ja laitevalmistajan tulisi pystyä vastaamaan näihin kysymyksiin jo tänään:
- Kuka meillä ottaa vastaan ilmoitukset tietoturvapoikkeamista? Tietävätkö asiakkaamme, miten ja minne he voivat ilmoittaa tuotteidemme haavoittuvuuksista?
- Missä sijaitsee se viranomaisportaali, johon ilmoitus jätetään?
- Mitä IT-taustajärjestelmiä tuotteemme tarvitsevat toimiakseen?
- Pystymmekö havaitsemaan niissä häiriöitä, valvomaan niitä ja reagoimaan niihin nopeasti?
- Onko järjestelmien ylläpito ja valvonta annettu nimetyille henkilöille tai tiimeille?
“Jos jokin näistä mietityttää, kannattaa laittaa äkkiä tossua toisen eteen. Nämä ovat jo sen verran pahoja liiketoimintariskejä, ettei niitä kannata jäädä ihmettelemään.”
CRA:n lopullisiin vaatimuksiin on aikaa joulukuuhun 2027 asti mutta ylätason linjauksiin Laatikainen suosittelee tarttumaan heti. Jos yritykseltä puuttuu tietoturvapolitiikka, jossa määritellään, kuka tietoturvasta vastaa, miten sitä kehitetään ja mistä tiimit ja yksilöt vastaavat, työ kannattaa aloittaa nyt.
Sääntelyssä on myös kääntöpuoli. CRA-yhteensopivuus on edellytys sille, että tuotetta saa ylipäätään myydä EU:ssa.
Jos vaatimuksia ei täytetä, tuote voidaan vetää markkinoilta ja seurauksena saattaa olla tuntuva sanktio. Viranomaiset tekevät lisäksi pistokokeita ja tuoteauditointeja markkinoilla.
Aloita kahvikupin äärestä
Mistä työ sitten kannattaa aloittaa? Laatikaisen mukaan ruohonjuuritasolta.
Ennen vanhaan piirustukset löytyivät timpurin taskussa olleesta tupakka-askista. Nykyään koodareilla on omat muistiinpanonsa, sähköasentajilla piirustuksensa ja IT-ammattilaisilla tieto päivitysrutiineista.
“Kahvikuppi kouraan ja juttelemaan niiden ihmisten kanssa, jotka työt tekevät. Kannattaa kysyä yksinkertaisesti: mitä kaikkea meillä on jo kasassa?”
Laatikainen vertaa kyberturvallisuutta turvavyöhön. Aikoinaan sekin tuntui ylimääräiseltä pakkopullalta, mutta ei kukaan nykyään mainosta autoa turvavöillä, vaan vyöt ovat itsestäänselvyys.
IT-talot nostavat jo tietoturvasertifikaatit etusivulleen, ja valmistavan teollisuuden kannattaisi ottaa sama erottuvuuskulma.
“Ei kannata tähdätä siihen, että ollaan rimaa hipoen valmiita juuri takarajalla. Kannattaa pyrkiä alansa luotettavimmaksi toimijaksi. Silloin viranomaisten määräajoista tulee pelkkä sivujuonne.”
Haluatko arvioida organisaatiosi valmiutta CRA-vaatimuksiin ja uuteen koneasetukseen? Goforen asiantuntijat auttavat kartoittamaan nykytilan ja suunnittelemaan tarvittavat askeleet.
CRA:n ja koneasetuksen tärkeimmät päivämäärät
- 11.9.2026 – CRA: Haavoittuvuuksien raportointivelvoite alkaa. Koskee myös jo markkinoilla olevia tuotteita.
- 20.1.2027 – Koneasetus: Uusien koneiden on noudatettava uutta asetusta direktiivin sijaan. Siirtymäaikaa ei ole: 19.1.2027 asti noudatetaan direktiiviä, 20.1. alkaen asetusta.
- 11.12.2027 – CRA: Olennaiset kyberturvallisuusvaatimukset astuvat voimaan uusille markkinoille tuotaville tuotteille.
