Avoimuus on osa turvallisuutta — haavoittuvuuksista ilmoittamisen kanava
Verkkoon kytketyt automaatiojärjestelmät tuovat tehokkuutta tuotantoon, mutta samalla ne avaavat uuden riskipinnan. EU vastaa tähän kehitykseen kyberkestävyyssäädöksella (CRA, Cyber Resilience Act), joka muuttaa perustavanlaatuisesti sitä, miten verkkoon kytkettyjen laitteiden ja ohjelmistojen valmistajien tulee käsitellä ja ilmoittaa havaitut haavoittuvuudet.
Varautuminen on positiivinen asia, kun turvallisuus suunnitellaan tuotteisiin alusta alkaen. Se luo perustan koko toimitusketjun turvaamiseksi.
Mikä Cyber Resilience Act on?
CRA (asetus 2024/2847) on ollut voimassa 10.12.2024 alkaen, ja sen velvoitteet astuvat voimaan vaiheittain. Kaksi päivämäärää on erityisen tärkeitä:
11.9.2026 — valmistajien on alettava ilmoittaa aktiivisesti hyväksikäytetyistä haavoittuvuuksista ja vakavista tietoturvapoikkeamista Euroopan kyberturvallisuusvirasto ENISA:lle. Ilmoitus tehdään 24 tunnin kuluessa havainnosta varhaisvaroituksena, minkä jälkeen seuraa tarkempi ilmoitus ja loppuraportti.
11.12.2027 — asetus tulee täysimääräisesti sovellettavaksi, mukaan lukien CE-merkintä ja vaatimustenmukaisuuden arviointi.
Käytännössä CRA velvoittaa valmistajat toimittamaan tuotteensa ilman tunnettuja hyväksikäytettäviä haavoittuvuuksia, huolehtimaan tietoturvapäivityksistä tuotteen koko elinkaaren ajan sekä rakentamaan selkeän prosessin haavoittuvuuksien vastaanottamiseen ja korjaamiseen.
Miksi tämä koskee teollisuusautomaatiota?
Orferin toimittamat automaatio- ja robotiikkajärjestelmät sisältävät digitaalisia elementtejä — ohjausjärjestelmiä, verkkoyhteyksiä ja ohjelmistoja — jotka kuuluvat CRA:n soveltamisalaan. Se tarkoittaa, että vastuu jatkuu koko järjestelmän käyttöiän ajan, myös toimituksen jälkeen.
Miten haavoittuvuuden voi ilmoittaa Orferille?
Olemme rakentaneet asiakkaillemme ja tietoturvatutkijoille selkeän kanavan havaittujen haavoittuvuuksien ilmoittamiseen osoitteessa orfer.com/security-advisories. Sivulla voi kuvata löydetyn haavoittuvuuden, sen vaikutukset ja mahdollisen hyökkäysvektorin (reitti tai menetelmä, jota hyökkääjä käyttää). Ilmoitukset haavoittuvuuksista käsitellään viiveettä ja korjataan mahdollisimman nopeasti. Tunnustuksena ilmoituksesta mainitsemme löytäjän nimen julkaistavissa tiedoissa, mikäli hän niin toivoo.
Turvallisuus on jatkuva prosessi
CRA:n aikataulu antaa koko toimialalle selkeän tavoitteen, mutta Orferille vastuullinen haavoittuvuuksien hallinta ei ole vain sääntelyn noudattamista — se on osa sitä, miten rakennamme luotettavia automaatioratkaisuja pitkälle tulevaisuuteen. Jos löydät järjestelmästänne ohjausjärjestelmistä, verkkoyhteyksistä ja ohjelmistoista jotain poikkeavaa, otathan yhteyttä.
