Kehys, jolla EU-kyberturvallisuussertifikaatit myönnetään. Sertifiointi on vapaaehtoista, ellei laissa toisin säädetä, ja järjestelmiä on käytössä yksi.
Mikä se on Sertifiointi on vapaaehtoista. Kyberturvallisuusasetuksen (EU) 2019/881 56 artiklan 2 kohta sanoo sen suoraan: eurooppalainen kyberturvallisuussertifiointi on vapaaehtoista, ellei unionin tai jäsenvaltion laissa toisin säädetä. Kehyksestä ei siis seuraa yhtään määräpäivää yritykselle, joka ei itse hae sertifikaattia. Asetus teki ENISAsta pysyvän EU-viraston ja perusti sertifiointikehyksen, joka ei itse aseta tuotteille vaatimuksia. Se on kehys, jonka nojalla ENISA valmistelee ehdokasjärjestelmän ja komissio hyväksyy sen täytäntöönpanoasetuksella. Jokainen järjestelmä määrittää oman soveltamisalansa ja vaatimuksensa sekä sen, mitkä varmuustasot se kattaa. Tasoja on 52 artiklan mukaan kolme: perustaso, korotettu ja korkea. Käytössä olevia järjestelmiä on toistaiseksi yksi. EUCC on Common Criteria -pohjainen ICT-tuotteiden sertifiointi, jota on sovellettu 27.2.2025 alkaen. Pilvipalvelujen EUCS ja 5G-verkkojen EU5G ovat olleet valmistelussa vuosia ilman hyväksymispäivää. Komissio toteaa itse uudistusehdotuksensa perusteluissa, että molempien eteneminen on jumittunut poliittisiin ja teknisiin syihin. Hallinnoitujen tietoturvapalvelujen EUMSS on luonnos, jonka kuuleminen päättyy 13.9.2026. EUDI-lompakon EUDIW on Traficomin mukaan valmistelussa. Komissio ehdotti 20.1.2026 koko kehyksen korvaamista uudella kyberturvallisuusasetuksella. Ehdotus COM(2026) 11 final on Euroopan parlamentin ITRE-valiokunnan käsittelyssä, eikä siihen ole parlamentin eikä neuvoston kantaa. Se on ehdotus, ei laki, eikä se muuta nykyisiä sääntöjä. Koskeeko sinua Ratkaisevaa ei ole toimiala vaan kysyntä. Kehys koskee teitä, jos haette tuotteellenne EU-kyberturvallisuussertifikaattia tai jos asiakas, tarjouspyyntö tai hankintaehto vaatii sellaista. Se koskee teitä myös silloin, kun toimitte vaatimustenmukaisuuden arviointilaitoksena tai aiotte ryhtyä sellaiseksi: sertifikaattien myöntäminen edellyttää akkreditointia ja ilmoittamista, korkealla varmuustasolla lisäksi kansallisen viranomaisen valtuutusta. Jos mikään näistä ei päde, kehys jää teille taustatiedoksi. Kaksi valtuutta kannattaa silti tuntea, ja molemmat ovat muualla kuin tässä asetuksessa: kyberkestävyysasetus antaa komissiolle vallan vaatia liitteen IV kriittisiltä tuotteilta vähintään korotetun varmuustason sertifikaattia, ja NIS2 antaa jäsenvaltiolle mahdollisuuden vaatia sertifioitujen tuotteiden käyttöä keskeisiltä ja tärkeiltä toimijoilta. Kumpaakaan valtuutta ei ole toistaiseksi käytetty. Keskeiset velvoitteet Sertifiointi on vapaaehtoista, ellei unionin tai jäsenvaltion laissa toisin säädetä (56 artiklan 2 kohta). Sama vapaaehtoisuus koskee 53 artiklan 4 kohdan nojalla perustason EU-vaatimustenmukaisuusilmoitusta. Tämä on voimassa oleva pääsääntö. Varmuustasoja on kolme: perustaso, korotettu ja korkea (52 artikla). Sertifiointijärjestelmä voi sallia valmistajan oman vaatimustenmukaisuuden arvioinnin perustasolla (53 artiklan 1 kohta), mutta kyse ei ole automaattisesta oikeudesta, vaan siitä mitä kukin järjestelmä sallii. Voimassa nyt. Perus- ja korotetun tason sertifikaatin myöntää akkreditoitu arviointilaitos (56 artiklan 4 kohta). Korkealla tasolla myöntäjä on lähtökohtaisesti kansallinen sertifiointiviranomainen tai arviointilaitos joko sen tapauskohtaisella ennakkohyväksynnällä tai yleisen siirron nojalla (56 artiklan 6 kohta). Nämä myöntämissäännöt ovat voimassa nyt. EUCC kattaa ICT-tuotteet ja suojausprofiilit vain varmuustasoilla korotettu ja korkea (4 artikla). Se edellyttää siis aina kolmannen osapuolen arviointia, eikä itsearviointi ole EUCC:ssä mahdollinen. Sovellettu 27.2.2025 alkaen. Kansalliset sertifiointijärjestelmät, jotka EUCC kattaa, lakkasivat tuottamasta oikeusvaikutuksia 27.2.2025. Aiemmin myönnetyt kansalliset sertifikaatit pysyvät voimassa oman voimassaoloaikansa loppuun, eivätkä jäsenvaltiot saa perustaa uusia kansallisia järjestelmiä alueelle, jonka eurooppalainen järjestelmä jo kattaa (57 artikla). EUCC-arviointi on lähtökohtaisesti tehtävä standardiversioilla CC:2022 ja ISO/IEC 15408:2022 sekä CEM:2022 ja ISO/IEC 18045:2022. Siirtymä on voimassa nyt: vanhempia versioita saa käyttää 31.12.2027 asti. Sen jälkeen jää kapea poikkeus: vanhaan CC 3.1 rev. 1–4 -suojausprofiiliin saa vedota, jos profiilin käyttö on pakollinen ajopiirturi-, eIDAS- tai allekirjoitusvälinesäädöksen nojalla. Suomessa arviointilaitos tarvitsee FINASin akkreditointitodistuksen ja toimittaa sen Traficomille, joka ilmoittaa laitoksen komissiolle ja ENISAlle. Jos sovellettava sertifiointijärjestelmä sitä edellyttää, esimerkiksi korkean varmuustason tehtävissä, laitos tarvitsee lisäksi Traficomin valtuutuksen. Voimassa 1.6.2026 alkaen. Tulossa: pilvipalvelujen EUCS, 5G-verkkojen EU5G, EUDI-lompakon EUDIW ja tietoturvapalvelujen EUMSS ovat Traficomin mukaan valmistelussa. Niistä ei seuraa velvoitteita ennen kuin komissio hyväksyy ne täytäntöönpanoasetuksella, eikä millekään hyväksymiselle ole ilmoitettu päivämäärää tai vuotta. Tulossa ja ehdollinen: kybersolidaarisuusasetuksen (EU) 2025/38 17 artiklan 2 kohdan j alakohta velvoittaa EU:n kyberturvallisuusreserviin palveluja tuottavan sertifioitumaan kahden vuoden kuluessa siitä, kun tietoturvapalvelujen sertifiointijärjestelmää aletaan soveltaa. Järjestelmää ei ole hyväksytty, joten määräaika ei ole alkanut eikä sille ole kalenteripäivää. Näin sovellat käytännössä Pk-ohjelmistotalo, jolta asiakas kysyy sertifikaattia tarjouspyynnössä Selvittäkää ensin, mitä tarjouspyynnössä oikeasti pyydetään. EU-kyberturvallisuussertifikaatti tarkoittaa käytännössä EUCC:tä, joka koskee ICT-tuotteita ja suojausprofiileja — se ei ole sama asia kuin ISO 27001, asiakkaan oma turvallisuusliite tai kyberkestävyysasetuksen mukainen CE-merkintä. Ensimmäinen askel on pyytää ostajalta täsmennys: mitä sertifikaattia, millä varmuustasolla ja mihin tuotteeseen. Vastaus voi hyvin olla, ettei EU-sertifikaattia tarvita. Silloin asia päättyy siihen. Laitevalmistaja, joka harkitsee EUCC-sertifikaattia tuotteelleen Varautukaa kolmannen osapuolen arviointiin: EUCC ei tunne perustasoa, joten itsearviointi ei riitä. Ensimmäinen askel on valita arviointilaitos ja sopia jo hakuvaiheessa, kummalla standardiversiolla arviointi tehdään. Vanhat versiot kelpaavat 31.12.2027 asti, ja pitkä hankeaikataulu voi ylittää tuon rajan, jolloin arviointi on aloitettava suoraan CC:2022:lla. Käytännössä laitos löytyy toisesta jäsenmaasta, joten varatkaa aikaa myös kieleen ja matkoihin. Vaatimustenmukaisuuden arviointilaitos, joka haluaa toimia Suomessa Hakekaa ensin FINASin akkreditointi ja toimittakaa akkreditointitodistus Traficomille, joka ilmoittaa laitoksen komissiolle ja ENISAlle. Korkean varmuustason tehtäviin tarvitaan lisäksi Traficomin valtuutus, ja valtuutusprosessiin voi kuulua auditointi, kyselyitä ja pilottiprojekti. Traficom ei ole vielä julkaissut tarkempia ilmoittamis- ja hakemisohjeita eikä lomakkeita, joten aikataulu kannattaa sopia viraston kanssa etukäteen. Hallinnoituja tietoturvapalveluja myyvä toimittaja Teitä koskeva järjestelmä on vasta luonnos. ENISAn EUMSS-ehdokasjärjestelmä on kuultavana 13.9.2026 asti, eikä se velvoita ketään ennen kuin komissio hyväksyy sen. Ensimmäinen askel on lukea luonnos ja arvioida, millaisia muutoksia sen ehdotetut vaatimukset edellyttäisivät, jos järjestelmä hyväksytään. Jos tavoitteenanne on myydä palveluja EU:n kyberturvallisuusreserviin, huomioikaa kahden vuoden sertifiointiaika, joka alkaa vasta kun järjestelmää ryhdytään soveltamaan. Suomessa Kansallisena kyberturvallisuussertifioinnin viranomaisena toimii Liikenne- ja viestintävirasto Traficom Kyberturvallisuuskeskuksensa kautta. Tehtävä perustuu lakiin eräiden tuotteiden kyberkestävyydestä sekä kyberturvallisuussertifioinnista (439/2026), joka annettiin 29.5.2026 ja tuli voimaan 1.6.2026. Lain 21 § nimeää Traficomin viranomaiseksi ja vaatii, että sertifikaattien myöntäminen eriytetään valvonnasta ja että molemmat hoidetaan toisistaan riippumattomasti. Sama luku hoitaa arviointilaitosten puolen: niiden ilmoittamisen ja valtuuttamisen (22 §), laitoksen velvollisuudet (23 §), korkean varmuustason myöntämistehtävän siirtämisen sopimuksella (24 §), tiedonsaanti- ja tarkastusoikeuden (25 §), valvontapäätöksen (27 §) ja sertifikaatin peruuttamisen (28 §). Seuraamusmaksusta säädetään 37 §:ssä. Aikataulussa sertifiointi on poikkeus: lain 45 §:n mukaan sekä sertifiointilukua että 37 §:ää sovelletaan heti voimaantulosta, kun taas saman lain kyberkestävyysasetuspykälät tulevat sovellettaviksi porrastetusti. Se aikataulu on CRA-sivulla . Kansallinen akkreditointielin on FINAS. Arviointilaitos tarvitsee FINASin antaman akkreditointitodistuksen ja toimittaa sen Traficomille, joka ilmoittaa laitoksen komissiolle ja ENISAlle. Jos sovellettava sertifiointijärjestelmä edellyttää lisävaatimuksia tai kyse on korkean varmuustason tehtävästä, laitos tarvitsee akkreditoinnin lisäksi Traficomin valtuutuksen. Viraston ohjesivu on päivitetty 24.4.2025, ja se kertoo tarkempien ohjeiden ja lomakkeiden tulevan sivustolle myöhemmin. Kysymykset menevät osoitteeseen ncca@traficom.fi . Käytännön tilanne kertoo, mistä sertifikaatti haetaan. ENISAn julkisessa sertifikaattirekisterissä oli 27.8.2026 tarkistettuna 103 EU-kyberturvallisuussertifikaattia, kaikki EUCC:n mukaisia. Yhdessäkään vastuullisena viranomaisena ei ole Suomi: ne ovat ANSSI Ranskassa, BSI Saksassa, CCN Espanjassa, FMV Ruotsissa ja RDI Alankomaissa. Rekisteri kertoo vain myönnetyistä sertifikaateista, joten se ei kerro, keitä laitoksia Suomi on komissiolle ilmoittanut — se kannattaa kysyä Traficomilta. Suomalaiselle yritykselle tie käy siis toisen jäsenmaan arviointilaitoksen kautta. Esimerkki on tuore: joensuulainen Blancco Technology Group IP Oy sai 26.6.2026 EUCC-sertifikaatin tuotteelle Blancco File Eraser 8.7.1 varmuustasolla korotettu (AVA_VAN 2). Sertifikaatin myönsi ruotsalainen atsec information security AB, vastuullisena viranomaisena Ruotsin kansallinen kyberturvallisuussertifioinnin viranomainen, ja se on voimassa 25.6.2031 asti. Sertifikaatin hankkiminen on Suomessakin vapaaehtoista. Kyberkestävyysasetus ja NIS2 antavat valtuudet muuttaa tämän, mutta kumpaakaan ei ole toistaiseksi käytetty, eikä Suomen kyberturvallisuuslaissa (124/2025) ole vaatimusta käyttää sertifioituja tuotteita. Valvonnan puolella oma määräpäivänsä on viranomaisella eikä yrityksellä: komission täytäntöönpanoasetuksen (EU) 2025/2540 mukaan Suomen sertifiointiviranomainen on vertaisarvioitava 31.12.2029 mennessä ja sen jälkeen viiden vuoden välein. Kyberturvallisuuskeskuksen sertifiointisivut ovat suomenkielinen perusaineisto, mutta ne on kirjoitettu ennen lakia 439/2026. Oikeusperusta kannattaa lukea lain omasta tekstistä Finlexistä.