Suomen uusi kyberlaki pakottaa valmistajat vastuuseen

Suomi sai 1. kesäkuuta uuden kansallisen kyberkestävyyslain, joka täydentää EU:n Cyber Resilience Actia (CRA). Laki asettaa tiukat tuotetason kyberturvallisuusvaatimukset ohjelmistoille ja laitteille sekä velvoittaa valmistajat nopeaan raportointiin. Muutos vaikuttaa sekä kuluttajaelektroniikkaan että teollisiin järjestelmiin ja koskee käytännössä kaikkia internetiin tai toiseen laitteeseen yhdistettäviä tuotteita.

Mitä velvoitteet tarkoittavat käytännössä?

Nopea haavoittuvuusilmoitus — 24 tuntia

Valmistajien on alkaen 11. syyskuuta 2026 ilmoitettava Traficomin Kyberturvallisuuskeskukselle aktiivisesti hyödynnetyt haavoittuvuudet ja vakavat tietoturvapoikkeamat. Ilmoitusvelvollisuus on tiukka: 24 tuntia siitä, kun valmistaja on saanut tiedon ongelmasta. Myöhemmin vaaditaan myös kuluttajille suunnattuja ilmoituksia.

Laaja soveltamisala

Laki koskee muun muassa älypuhelimia, älykelloja, valvontakameroita, reitittimiä, älyvessoja, leluja, sovelluksia ja pelejä sekä etähallintaratkaisuja, pilvi‑komponentteja ja teollisia ohjausjärjestelmiä. Poikkeuksia on rajattu vain sellaisille aloille, joilla on jo tiukat regulaatiot, kuten lääkinnälliset laitteet, ilmailu, ajoneuvot ja puolustusteknologia.

Vaatimukset laitteille ja ohjelmistoille

Uuden sääntelyn mukaisesti EU‑markkinoille tuotavissa tuotteissa on oltava muun muassa:

• turvalliset oletusasetukset ja minimointi,
• automaattiset ja suojatut tietoturvapäivitykset,
• pääsynesto luvattomilta tahoilta,
• luottamuksellinen datan säilytys ja käsittely. Kaikkien digitaalisten tuotteiden on täytettävä vaatimukset viimeistään 11. joulukuuta 2027.

Valvonta, ilmoitetut laitokset ja sektori‑poikkeukset

Traficom Kyberturvallisuuskeskus hoitaa markkinavalvonnan, haavoittuvuusilmoitukset ja hallinnolliset seuraamukset Suomessa. Suomalaiset ilmoitetut laitokset voivat hakea nimeämistä 11. kesäkuuta alkaen, jonka jälkeen ne voivat arvioida tuotteita koko EU:ssa. Suuririskisten tekoälyjärjestelmien valvonta jää toimialakohtaisille viranomaisille, kuten Tukesille, Energiavirastolle, Tietosuojavaltuutetulle ja Finanssivalvonnalle.

Verkkotunnustiedot ja NIS2‑yhteensopivuus

Laki täydentää myös verkkotunnuksia koskevaa sääntelyä NIS2‑direktiivin hengessä. Rekisteröintitietojen keräämistä ja luovuttamista laajennetaan koskemaan myös muita kuin .fi ja .ax ‑tunnuksia, jos välittäjä tai rekisteri toimii Suomessa. Tavoitteena on parantaa viranomaisten mahdollisuuksia puuttua verkossa tapahtuvaan laittomaan toimintaan. Uudet verkkotunnusvelvoitteet tulevat voimaan kolmen kuukauden siirtymäajan jälkeen.

Miksi muutos on merkittävä suomalaisille yrityksille ja kuluttajille?

Suomalaiset valmistajat ja ohjelmistotoimittajat joutuvat investoimaan turvalliseen tuotesuunnitteluun, päivitysprosessiin ja incident‑response‑valmiuksiin. Tämä voi nostaa kehityskustannuksia, mutta parantaa myös tuotteiden laatua ja kilpailukykyä EU‑markkinoilla. Kuluttajille laki tarkoittaa parempaa läpinäkyvyyttä, nopeampia korjauksia ja turvallisempia oletusasetuksia. Suomessa yleisesti hyvä tietoturvakulttuuri ja vahva kyberturvaosaaminen auttavat alan yrityksiä sopeutumaan ja hyötymään uudesta sääntelystä.

Keywords: kyberturvallisuus, kyberkestävyyslaki, Traficom, haavoittuvuusilmoitus, IoT, ohjelmisto, EU