Akt o kibernetski odpornosti – proizvajalci

Zato bonitetna agencija ne obravnava le končnih izdelkov, kot so pametni telefoni ali aplikacije, temveč tudi komponente, kot so čipi in operacijski sistemi.

Katera so glavna pravila? 

Podjetja, ki prodajajo izdelke strojne in programske opreme, morajo zagotoviti, da sta strojna in programska oprema zasnovani tako, da zagotavljata temeljno varnost. To na primer vključuje zahteve glede privzete varnosti (brez več „gesla“ kot privzetega gesla), nadzora dostopa, uporabe kriptografije in samodejnih posodobitev. Poleg tega bodo morali proizvajalci svoje izdelke vzdrževati tako dolgo, kot se pričakuje, da bodo v uporabi.  

Pred dajanjem na trg

Prvi korak za proizvajalca je izvedba ocene tveganja, na podlagi katere mora opredeliti, kako izvajati ustrezne bistvene zahteve glede kibernetske varnosti. Usklajeni standardi lahko dodatno podpirajo proizvajalce pri tej nalogi. Proizvajalec bo moral v tehnični dokumentaciji pojasniti, kako izpolnjuje ustrezne zahteve glede kibernetske varnosti, in izvesti postopek ugotavljanja skladnosti.

Ob dajanju na trg

Na koncu postopka lahko proizvajalec na svoje izdelke namesti oznako CE in priloži izjavo o skladnosti. Poleg tega mora proizvajalec navesti obdobje podpore, tj. kako dolgo bo izdelek podprt, ter zagotoviti informacije in navodila za uporabo izdelka.

Po dajanju na trg  

Proizvajalec mora obravnavati ranljivosti za navedeno obdobje podpore ter poročati o aktivno izkoriščenih ranljivostih in resnih incidentih, ki vplivajo na varnost izdelka.

Zgornja ponazoritev povzema izvedbene korake proizvajalca v skladu z bonitetno agencijo.

Ustrezni organi za sodelovanje

Strokovna skupina za kibernetsko varnost izdelkov z digitalnimi elementi Evropski komisiji svetuje pri pripravi smernic ter izvedbenih in delegiranih aktov, ki podpirajo akt o kibernetski odpornosti.

Referenčni dokumenti in povezave

Pogosta vprašanja o izvajanju bonitetnih agencij

Smernice Komisije o bonitetnih agencijah

ENISA Secure by Design and Default Playbook  

Nacionalni viri za izvajanje bonitetnih agencij

Neizčrpen seznam gradiva, ki so ga države članice objavile v podporo izvajanju bonitetnih agencij, vključuje:

Belgija

Smernice v nizozemščini, francoščini in nemščini

Nemčija

Smernice v nemščini (vključno s tehničnimi smernicami) in angleščini (vključno s tehničnimi smernicami)

Nizozemska

Smernice v nizozemščini

Poljska

Smernice v poljščini

Ciper

Smernice v angleščini

Komisija ni odgovorna za točnost informacij, navedenih na zgornjih povezavah; Predstavniki držav članic so vabljeni, da se obrnejo na cnect-cra@ec.europa.eu, če želijo navesti svoje nacionalne vire.