Küberkerksus

Küberkerksuse määruse ehk CRA rakendamiseks oleme koostanud teekaardi ja rakenduskava, mille eesmärk on tagada määruse õigeaegne, koordineeritud ja ühetaoline rakendamine Eestis. JDM täidab üldkoordineerivat rolli, TTJA ja RIA vastutavad peamiste rakendusülesannete eest. Tutvu teekaardiga siin:

CRA jõustus 10. detsembril 2024 ja hakkab Eestis mõjutama nii riigi turujärelevalvet, intsidendi- ja haavatavuste teavituste käsitlemist kui ka digielementidega toodete turule lubamist. Teema vajab juhtkonna tähelepanu praegu, sest esimesed sisulised kohustused hakkavad kohalduma 11. septembril 2026 ning pädevate asutuste määramine, töövoogude kokkuleppimine ja õigusmuudatuste ettevalmistamine peavad olema tehtud enne seda tähtaega.

CRA on oluline, sest see kehtestab kogu Euroopa Liidus ühtsed küberturvalisuse nõuded digielementidega toodetele, sh tarkvarale, riistvarale ja ühendatud seadmetele. Riigi jaoks tähendab see vajadust tagada toimiv järelevalve, kiire teavituste käsitlemine ning selged juhised ettevõtjatele ja tootjatele. Määruse tähtaegne rakendamine vähendab haavatavate toodete turule jõudmise riski ja toetab Eesti digiriigi usaldusväärsust.

CRA rakendamisel tuleb arvestada ka post-kvantkrüptograafia arengutega, sest määrus suunab tootjaid tagama digielementidega toodete turvalisuse kogu elutsükli jooksul. Juhtkonna jaoks tähendab see vajadust jälgida Euroopa Liidu standardeid ja suuniseid, mis võivad edaspidi mõjutada toodete turvanõudeid, vastavushindamist ja haavatavuste käsitlemist.

JDM koordineerib CRA riigisisest rakendamist, koostab teekaardi ja rakenduskava, valmistab ette vajalikud õigusmuudatused ning jälgib tegevuste edenemist. TTJA roll on seotud turujärelevalve ja vastavushindamisega, RIA roll haavatavuste ja raskete intsidentide teavituste käsitlemisega, sh CERT-EE töövoogudega. Rakendamine toimub koostöös MKM-i, VLA, EAK, ITL-i ning teiste seotud asutuste ja turuosalistega.

Küberkerksuse määruse ehk CRA rakendamiseks oleme koostanud teekaardi ja rakenduskava, mille eesmärk on tagada määruse õigeaegne, koordineeritud ja ühetaoline rakendamine Eestis. JDM täidab üldkoordineerivat rolli, TTJA ja RIA vastutavad peamiste rakendusülesannete eest.

Rakenduskava võimaldab jälgida tegevuste edenemist, sh pädevate asutuste määramist, õigusmuudatuste ettevalmistamist, teavituskanalite kujundamist, järelevalveprotsesside valmisolekut ning vajalikke arendusi ja ressursse. Osa tegevusi on juba töös, sealhulgas RIA ja TTJA koostöö, rollijaotus, õigusmuudatuste ettepanekud ning Euroopa Komisjoni teavitamiseks.

Oluline on, et CRA rakendamine jätkub teekaardi alusel ning seotud asutused liiguvad kokkulepitud ajakavas. CRA on seotud ka post-kvantkrüptograafiaga, sest määruse eesmärk on tagada digielementidega toodete turvalisus kogu nende elutsükli jooksul, sealhulgas tulevaste krüptograafiliste riskide suhtes. See tähendab, et rakendamisel tuleb arvestada Euroopa Liidu suuniste ja standarditega, mis võivad mõjutada toodete turvanõudeid, vastavushindamist ja haavatavuste käsitlemist. Olulised tähtajad on 11. juuni 2026 ja 11. september 2026 ning määruse täismahus kohaldumine 11. detsembril 2027.

Kohaldamisala

Küberkerksuse määrust (CRA), (EL) 2024/2847 kohaldatakse liidu turul kättesaadavaks tehtud digielementidega toodetele, mille otstarve või mõistlikult ettenähtav kasutus hõlmab otsest või kaudset loogilist või füüsilist andmeühendust seadme või võrguga. Alljärgnev loetelu on näitlik – kohaldamisala hinnatakse iga toote puhul eraldi.

Tüüpilised kohaldamisalasse kuuluvad tooted:

• võrku ühendatavad seadmed ja IoT-tooted;
• arvutid, telefonid, ruuterid ja võrguseadmed;
• nutikodu-, turva- ja juurdepääsukontrolli seadmed;
• tööstuslikud juhtimis- ja automaatikaseadmed;
• operatsioonisüsteemid, püsivara ja seadmedraiverid;
• mobiili- ja töölauarakendused;
• ERP-, CRM- ja muu kliendi juurde paigaldatav äritarkvara;
• VPN-id, paroolihaldurid, tulemüürid ja muud küberturbetooted;
• eraldi turule lastavad digikomponendid, moodulid ja tarkvarateegid;
• kaugandmetöötluslahendused ehk pilvefunktsioonid, mis on loodud tootja poolt või tema vastutusel ja mille puudumisel ei saaks toode täita vähemalt ühte oma funktsioonidest.

Määrust ei kohaldata muu hulgas digielementidega tootele, mis:

• kuulub määruse (EL) 2017/745 või (EL) 2017/746 kohaldamisalasse (meditsiiniseadmed ja in vitro diagnostikameditsiiniseadmed);
• on sertifitseeritud määruse (EL) 2018/1139 kohaselt (lennundus);
• kuulub direktiivi 2014/90/EL kohaldamisalasse (meresõiduvarustus);
• kuulub määruse (EL) 2019/2144 kohaldamisalasse (mootorsõidukid);
• kuulub määruse (EL) nr 168/2013 kohaldamisalasse, välja arvatud määruses (EL) 2025/1535 sätestatud L1e-kategooria pedaalitavad sõidukid;
• on loodud või muudetud üksnes riigikaitse või riikliku julgeoleku otstarbel või spetsiaalselt salastatud teabe töötlemiseks;
• on varuosa, mis asendab identset komponenti ja on toodetud samade spetsifikatsioonide järgi.

Määrust ei kohaldata samuti üldjuhul:

• tasuta ja avatud lähtekoodiga tarkvarale, mida ei tarnita äritegevuse käigus. CRA mõistes avatud lähtekoodiga tarkvara haldajale (open-source software steward) võivad siiski kehtida artiklis 24 sätestatud piiratud kohustused, sh teatud teavitamiskohustused;
• eraldiseisvale pilve- või veebiteenusele (SaaS), mis ei ole digielementidega toote kaugandmetöötluslahendus;
• tootele, millel puudub digielement või otsene või kaudne andmeühendus seadme või võrguga.

Kui avatud lähtekoodiga komponent integreeritakse ärilisse digielementidega tootesse, vastutab lõpptoote CRA nõuetele vastavuse eest selle toote tootja.

Millal kohustused kehtima hakkavad?

11.09.2026 – hakkab kohalduma tootja (artikli 14) teavitamiskohustus ühtsel teatamisplatvormil aktiivselt ärakasutatavatest nõrkustest ja tõsistest intsidentidest, mis mõjutavad EL-i turul müüdavate digielemente sisaldavate toodete turvalisust. See kehtib ka CRA kohaldamisalasse kuuluvatele toodetele, mis on turule lastud enne 11.12.2027.  

11.12.2027 – hakkavad üldiselt kohalduma ülejäänud CRA nõuded: olulised küberturvalisusnõuded, nõrkuste käitlemine, tehniline dokumentatsioon, vastavushindamine ja CE-märgis.

*Enne 11.12.2027 turule lastud toodetele kohalduvad ülejäänud CRA nõuded üldjuhul siis, kui toodet pärast seda kuupäeva oluliselt muudetakse.

Kellest ja millest tuleb teavitada?

Küberkerksuse määrusest sirgunud ühtne teatamisplatvorm (Single Reporting Platvorm, SRP) https://portal.cra-srp.enisa.europa.eu/ on veebipõhine vahend tootjatele ja avatud lähtekoodiga tarkvara korraldajatele, millega täita kohustust teatada aktiivselt ärakasutatavatest nõrkustest ja tõsistest intsidentidest. ELi teatamiskohustuste lihtsustamiseks loodud SRP on elektrooniline süsteem, mille kaudu piisab ühekordsest teatest, et edastada teave kõigile asjaomastele ametiasutustele. Platvorm kasutab turbemeetmeid, et tagada konfidentsiaalsust.

Iga teade ja selles sisalduv saadetakse automaatselt teie riigi küberintsidentidele reageerimise üksusele (CSIRT), kes võtab teate esimesena vastu, teistele riiklikele CSIRTidele liikmesriikides, kus digitaalseid elemente sisaldav toode on kättesaadav, ning Euroopa Liidu Küberturvalisuse Ametile (ENISA).

Mis sündmustest tuleb teavitada?

• Aktiivselt ärakasutatavad nõrkused: digielemente sisaldavate toodete nõrkused, mida kuritahtlik isik teadaolevalt praegu ära kasutab, vastavalt küberkerksuse määruse artikli 3 punktile 42.
• Tõsised intsidendid: juhtumid, mis avaldavad tõsist mõju digitaalseid elemente sisaldava toote turvalisusele (nt ohustades kättesaadavust, autentsust, terviklust või konfidentsiaalsust) vastavalt artikli 3 punktile 44; tõsiduse kriteeriumid on määratletud artikli 14 lõikes 5.

Kuhu tuleb teavitada?

Kohustuslik teavitus esitatakse ENISA ühtse teatamisplatvormi (SRP) kaudu. Platvormil määratakse teate esimesena vastu võttev riiklik CSIRT üldjuhul teavitaja peamise tegevuskoha alusel. Eestis täidab riikliku CSIRTi ülesandeid Riigi Infosüsteemi Ameti küberintsidentide käsitlemise osakond CERT-EE.

• Euroopa Küberturvalisuse Amet (ENISA) ühtne teavitusplatvorm (Single Reporting Platform, SRP) – CRA artikli 14 kohustusliku teavituse kanal aktiivselt ärakasutatava nõrkuse või toote turvalisust mõjutava raske intsidendi korral. Esmane hoiatus tuleb esitada 24 tunni jooksul. Platvorm edastab teabe pädevale CSIRT-üksusele ja ENISA-le.
• Riigi Infosüsteemi Amet (CERT-EE) – aktiivse küberintsidendi korral tehnilise abi, analüüsi ja riikliku koordineerimise küsimustes. CERT-EE poole pöördumine ei asenda CRA teavitust SRP kaudu.
• Tarbijakaitse ja Tehnilise Järelevalve Amet (TTJA) – CRA nõuetele vastavuse, CE-märgise, turule laskmise ja turujärelevalve küsimustes.

Millal tuleb teavitada?

Teatamine algab hetkest, mil teie kui tootja või avatud lähtekoodiga tarkvara korraldaja saate teada haavatavuse või tõsise intsidendi aktiivsest ärakasutamisest.

Tähtajad:

• Eelhoiatus: 24 tunni jooksul pärast haavatavusest või intsidendist teada saamist.
• 72 tunni teade: 72 tunni jooksul pärast aktiivselt ärakasutatavast nõrkusest või tõsisest intsidendist teada saamist, esitades üldteabe ja esialgse hinnangu.
• Lõpparuanne:
  • Haavatavused: hiljemalt 14 päeva pärast seda, kui parandusmeede (nt tarkvarapaik) on kättesaadav.
  • Tõsised intsidendid: 1 kuu jooksul pärast 72 tunni teate esitamist.

Mis toimub pärast teate esitamist?

Kui teated on esitatud, edastab teate esimesena saanud CSIRT teabe kohe teistele asjaomastele CSIRTidele ELi liikmesriikides, kus toode on samuti kättesaadav. Teade edastatakse samal ajal ka ENISA-le.

Riiklikud CSIRTid jagavad osa teavet ka oma turujärelevalveasutustega, et need saaksid täita oma jõustamiskohustusi.

Kuidas kasutada platvormi?