Page 23

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 22 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA omassa toiminnassaa, ei yleensä tarvitse reagoida kyberkestävyyssäädökseen erillisillä toimenpiteillä, koska säädöksen vaatimukset kohdistuvat ensisijaisesti laitteiden ja ohjelmistojen valmistajiin, maahantuojiin ja jakelijoihin, eivät niiden käyttäjiin. Terminä Kyberresilisenssi tarkoittaa organisaation tai järjestelmän kykyä varautua kyberhyökkäyksiin, kestää niitä, jatkaa toimintaa häiriöiden aikana ja palautua nopeasti ennalleen. Kyberresilisenssi on puolustusstrategia, joka yhdistää teknisen suojauksen, riskienhallinnan ja kyvyn sietää poikkeustilanteita. Kyberkestävyyssäädös asettaa pakollisia kyberturvallisuusvaatimuksia kaikille EU:n markkinoilla myytäville ohjelmistoille, laitteistoille ja verkkoon liitetyille laitteille eli digitaalisia ominaisuuksia sisältäville tuotteille, kuten älylaitteille ja ohjelmistoille. Sen tavoitteena on varmistaa, että kuluttajille ja yrityksille myytävät laitteet ovat suojattuja tietoturvauhkilta koko elinkaarensa ajan ja että valmistajat korjaavat niiden haavoittuvuudet nopeasti. Tavoitteena on parantaa tuotteiden turvallisuutta niiden koko elinkaaren ajan. Asteittain voimaan astuva kyberkestävyyssäädös (Cyber Resilience Act, CRA) velvoittaa valmistajat olemaan vastuussa tuotteidensa kyberturvallisuudesta tuotteen koko niiden elinkaaren ajan. Vaatimustenvastaiset laitteet voidaan poistaa markkinoilta. CRA ei keskity organisaatioihin, vaan asettaa velvoitteita toimijoille, jotka vastaavat digitaalisten tuotteiden saattamisesta markkinoille – erityisesti valmistajille, mutta myös maahantuojille ja jakelijoille. Asetus tuli voimaan jo joulukuussa 2024, mutta organisaatioiden ei tulisi odottaa viimeiseen hetkeen asti sen valmistelujen kanssa. Täytäntöönpano tapahtuu vaiheittain: • 11. kesäkuuta 2026: Noudattavuuden arviointielimiä koskevat säännöt tulevat voimaan. • 11. syyskuuta 2026: Valmistajien on alettava ilmoittaa aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista tietoturva-häiriöistä. • 11. joulukuuta 2027: CRA:n kaikki kyberturvallisuusvaatimukset tulevat pakollisiksi EU:n markkinoille saatettaville tuotteille. Lähde: digital-strategy.ec.europa.eu Kokonaisturvallisuus Vaikka kokonaisturvallisuus ei sinänsä liity tietoturvaan, avaan muutamalla sanalla sen merkityksen yritystoiminnassa osana kokonaisvaltaista riskienhallintaa ja varautumista. Avaan tulevissa kappaleissa oheisen kuvan mukaisesti termistöä.