Unijny akt o cyberodporności

Od monitorów dziecięcych po inteligentne zegarki, produkty i oprogramowanie zawierające komponent cyfrowy są wszechobecne w naszym codziennym życiu. Dla wielu użytkowników mniej widoczne jest ryzyko bezpieczeństwa, jakie mogą stwarzać takie produkty i oprogramowanie. 

Ustawa o cyberodporności (CRA) ma na celu ochronę konsumentów i firm kupujących lub korzystających z produktów lub oprogramowania z komponentem cyfrowym. Ustawa przewiduje, że nieodpowiednie zabezpieczenia staną się przeszłością wraz z wprowadzeniem obowiązkowych wymogów w zakresie cyberbezpieczeństwa dla producentów i sprzedawców detalicznych takich produktów, przy czym ochrona ta rozciąga się na cały cykl życia produktu.

Problem poruszony w rozporządzeniu jest dwojaki.

Po pierwsze, niewystarczający poziom cyberbezpieczeństwa nieodłącznie związany z wieloma produktami lub niewystarczające aktualizacje bezpieczeństwa takich produktów i oprogramowania.

Po drugie, niezdolność konsumentów i przedsiębiorstw do określenia, które produkty są bezpieczne w cyberprzestrzeni, lub do ich skonfigurowania w sposób zapewniający ochronę ich cyberbezpieczeństwa.

Ustawa o cyberodporności zagwarantuje:

• zharmonizowane przepisy przy wprowadzaniu na rynek produktów lub oprogramowania z komponentem cyfrowym;
• ramy wymogów w zakresie cyberbezpieczeństwa regulujących planowanie, projektowanie, rozwój i konserwację takich produktów, przy czym obowiązki te muszą być spełnione na każdym etapie łańcucha wartości;
• obowiązek zapewnienia opieki nad całym cyklem życia takich produktów.

Po wejściu w życie rozporządzenia oprogramowanie i produkty podłączone do internetu będą opatrzone oznakowaniem CE wskazującym, że spełniają nowe normy. Wymaganie od producentów i detalistów priorytetowego traktowania cyberbezpieczeństwa, klienci i przedsiębiorstwa byłyby uprawnione do dokonywania bardziej świadomych wyborów, mając pewność co do poświadczeń cyberbezpieczeństwa produktów oznaczonych znakiem CE.

Rozporządzenie zostało ogłoszone w strategii UE w zakresie cyberbezpieczeństwa z 2020 r. i stanowi uzupełnienie innych przepisów w tej dziedzinie, w szczególności ram NIS2.

Będzie on miał zastosowanie do wszystkich produktów podłączonych bezpośrednio lub pośrednio do innego urządzenia lub sieci, z wyjątkiem określonych wyłączeń, takich jak oprogramowanie lub usługi o otwartym kodzie źródłowym, które są już objęte obowiązującymi przepisami, co ma zastosowanie do wyrobów medycznych, lotnictwa i samochodów.

Oczekuje się, żerozporządzenie wejdzie w życie na początku 2024 r. Producenci będą musieli stosować przepisy 36 miesięcy po ich wejściu w życie. Komisja będzie następnie okresowo dokonywać przeglądu ustawy i składać sprawozdania z jej funkcjonowania.