Vývojáři a výrobci digitálních produktů dosud často upřednostňovali rychlost uvedení na trh před bezpečností. Evropská unie na tuto praxi reaguje nařízením o kybernetické odolnosti (Cyber Resilience Act, CRA), které stanovuje bezpečnostní požadavky na širokou škálu hardwaru a softwaru. Odpovědnost za jejich plnění se přitom týká celého dodavatelského řetězce. Pro firmy to znamená změnu v přístupu k vývoji, testování i následné podpoře produktů. Bezpečnost bude nutné řešit od počátečního návrhu až po konec životnosti výrobku.
Proč EU zavádí nová pravidla
Dosavadní evropská legislativa pokrývala bezpečnost digitálních produktů jen částečně. Na trhu se proto objevovaly výrobky se zranitelnostmi a nedostatečnou podporou bezpečnostních aktualizací.
CRA má tuto situaci změnit. Jeho cílem je, aby byly produkty bezpečné už při návrhu a aby se bezpečně chovaly také při běžném používání. Například chytré zařízení s nedostatečným zabezpečením může posloužit jako vstupní bod pro útok na firemní síť nebo důležitou infrastrukturu.
Nařízení se zaměřuje také na celý životní cyklus produktu. Výrobce musí počítat s tím, jak bude zranitelnosti odhalovat, jak na ně bude reagovat a jak dlouho bude poskytovat bezpečnostní aktualizace. Požadavky CRA se přitom doplňují s dalšími evropskými pravidly pro kybernetickou bezpečnost, finanční sektor nebo umělou inteligenci.
Kterých firem se CRA týká
Nařízení dopadá především na výrobce, dovozce a distributory produktů s digitálním prvkem, které se připojují přímo nebo nepřímo k jinému zařízení či síti. Patří sem například chytré hodinky a průmyslové senzory, routery a další síťová zařízení, operační systémy a mobilní aplikace, firemní software a další digitální produkty.
Zvláštní pozornost by měli věnovat nařízení také výrobci, kteří do svých produktů začleňují software nebo komponenty od jiných dodavatelů. Pokud taková součást obsahuje bezpečnostní chybu, odpovědnost za výsledný produkt může nést jeho výrobce.
CRA má zvláštní režim pro některé projekty s otevřeným zdrojovým kódem. Software poskytovaný jako služba také obecně nespadá do jeho působnosti, mohou však existovat výjimky, například u vzdáleného zpracování dat nezbytného pro fungování konkrétního produktu.
Co budou muset výrobci zajistit
Nařízení stanovuje dvě hlavní skupiny požadavků.
- Bezpečnost samotného produktu
Produkty musí zohledňovat bezpečnostní rizika už při návrhu. Na trh by neměly vstupovat se známými zneužitelnými zranitelnostmi a jejich výchozí nastavení musí poskytovat odpovídající ochranu.
Požadavky zahrnují také ochranu dat, například prostřednictvím šifrování, a omezení množství shromažďovaných údajů i funkcí, které by mohly útočníkům usnadnit napadení produktu.
- Řešení bezpečnostních chyb
Výrobci musí průběžně vyhledávat a dokumentovat zranitelnosti, pravidelně testovat bezpečnost a poskytovat potřebné aktualizace. Součástí požadavků je také přehled softwarových komponent, z nichž se produkt skládá. Díky němu lze například zjistit, které výrobky mohou být ohroženy nově odhalenou chybou v používané knihovně.
Bezpečnostní aktualizace mají být oddělené od běžných funkčních změn. Doba podpory se odvíjí od předpokládané životnosti produktu a zpravidla nesmí být kratší než pět let, pokud životnost výrobku není kratší. Nařízení upravuje také dobu dostupnosti bezpečnostních aktualizací.
Klíčové termíny
CRA vstoupil v platnost 10. prosince 2024. Jednotlivé povinnosti se zavádějí postupně. Od 11. září 2026 platí povinnosti týkající se hlášení aktivně zneužívaných zranitelností a závažných bezpečnostních incidentů. Výrobci musí podat prvotní varování do 24 hodin a následné oznámení do 72 hodin.
Od 11. prosince 2027 se nařízení začne uplatňovat v plném rozsahu. Nové produkty musí splňovat příslušné požadavky a projít odpovídajícím posouzením shody.
Pro firmy je proto důležité začít s přípravou včas, zejména pokud vyvíjejí vlastní produkty nebo dodávají zařízení a software dalším podnikům.
Kde firmy narazí na největší problémy
Odpovědnost za dodavatelský řetězec
Výrobci budou muset lépe kontrolovat komponenty, které do svých produktů přebírají od třetích stran, včetně softwaru s otevřeným zdrojovým kódem. Potřebují vědět, co jejich produkt obsahuje, jaká rizika jednotlivé součásti představují a jak reagovat, pokud se v některé z nich objeví zranitelnost.
Aktualizace bez ohrožení provozu
U běžného softwaru může být instalace bezpečnostní aktualizace relativně jednoduchá. V průmyslu je situace složitější. Neplánovaný restart systému, který řídí výrobní linku nebo důležitou technologii, může způsobit výpadek nebo ohrozit bezpečnost provozu. Výrobci proto musí hledat řešení, která spojí požadavky na zabezpečení s potřebami zákazníků.
Prokazování souladu s pravidly
Požadavky na posouzení bezpečnosti se liší podle kategorie produktu. U některých výrobků může výrobce provést vlastní posouzení, u důležitých a kritických produktů může být nutné zapojit nezávislou odbornou organizaci. Firmy proto potřebují včas zjistit, do které kategorie jejich výrobky patří a jaké důkazy o splnění požadavků budou muset předložit.
Jak se na CRA připravit
Prvním krokem je zmapovat portfolio produktů a určit, na které z nich se nařízení vztahuje. Následovat by mělo posouzení bezpečnostních rizik, kontrola používaných softwarových komponent a nastavení procesů pro řešení zranitelností.
Významnou roli může sehrát automatizace. Nástroje pro analýzu softwaru dokážou průběžně kontrolovat používané komponenty a upozorňovat na známé bezpečnostní chyby. Automatizované testování zase pomáhá ověřovat bezpečnost produktu v průběhu jeho vývoje, nejen těsně před uvedením na trh.
Firmy by měly mít také jasně určené místo, kam mohou zákazníci a další partneři hlásit bezpečnostní problémy. Musí být schopné informace rychle vyhodnotit a v případě potřeby splnit oznamovací povinnosti. To je důležité zejména s ohledem na krátké lhůty pro hlášení závažných incidentů.
Při přípravě se vyplatí propojit nové povinnosti s již zavedenými procesy pro řízení rizik, kontrolu dodavatelů a ochranu dat. Firma tak může využít část stávajících postupů místo budování odděleného systému pro každou regulaci.
Bezpečnost jako součást obchodního rozhodování
CRA přichází v době, kdy jsou digitální produkty stále více propojené a jejich zranitelnosti mohou mít dopady daleko za hranicemi jednoho výrobku. Společné bezpečnostní požadavky mohou zároveň omezit rozdíly mezi výrobci, kteří do zabezpečení investují, a těmi, kteří ho dosud odsouvali.
Pro vedení firem bude důležité sladit rychlost vývoje s požadavky na bezpečnost, dokumentaci a kontrolu dodavatelů. Příprava proto patří také do rozhodování o vývoji produktů, rozpočtech a spolupráci s obchodními partnery.
Firmy, které dokážou bezpečnost svých produktů doložit, mohou tuto schopnost využít i při jednání se zákazníky. CRA tak vedle nových povinností vytváří prostor pro odlišení na trhu, kde bude důvěryhodnost digitálních produktů stále důležitější.