Vad är The Cyber Resilience Act? -en guide till CRA

Bakgrund

I vårt moderna samhälle har allt fler företag och organisationer ökat sitt beroende av digital teknik för att kunna bedriva sin verksamhet på ett effektivt sätt. I den sammankopplade infrastrukturen i moderna samhällen kan en cybersäkerhetsincident påverka ett helt system och störa många ekonomiska verksamheter eller samhällsviktiga funktioner. Detta skapar en utsatt position för många företag eftersom en digital uppkoppling kan medföra både möjligheter och hot. Antalet cybersäkerhetsincidenter ökar, men det är inte bara antalet som ökar utan även komplexiteten i utförandet, omfattningen och konsekvenserna av attackerna ökar.

Genom Cyber Resilience Act införs regler för att skydda digitala produkter som inte omfattas av något tidigare regelverk. På så sätt blir Cyber Resilience Act den första lagstiftningen som även påverkar IoT i världen.

Huvudmål

Ett av Cyber Resilience Acts huvudmål är att skapa förutsättningar för utveckling av säkra produkter genom att se till att hård- och mjukvaruprodukter som släpps ut på marknaden har färre sårbarheter. Man ålägger tillverkarna att ta säkerheten på allvar genom att låta dem ta ansvar för den under produktens hela livscykel och upp till fem år efter att den tillverkats. Det andra målet är att skapa förutsättningar för att användare ska kunna ta hänsyn till cybersäkerhet när de väljer och använder produkter i den här kategorin. Användarnas intressen skall skyddas även efter att tillverkaren levererat produkten kort och gott.

Detta kan betyda olika saker men som exempel kan tillverkare tvingas garantera att det finns processer för att hantera sårbarheter under hela produktlivscykeln, med konsekvenser för de som inte tar ansvar. Detta omfattar bland annat en skyldighet att rapportera sårbarheter och incidenter skyndsamt.

Vem omfattas av Cyber Resilience Act?

Förordningen föreslås omfatta alla produkter som är direkt eller indirekt anslutna till en annan anordning eller ett nätverk (undantaget medicinsk utrustning, flygtrafik och bilar som omfattas av liknande regelverk).

Alla produkter som omfattas av regelverket måste genomgå en självcertifieringsprocess där tillverkaren bedömer om produkten uppfyller de relevanta standarderna, grundläggande cybersäkerhetskrav med andra ord, medan ”kritiska produkter” måste genomgå en certifiering av ett EU-organ. Produkter som inte definieras som ”kritiska produkter” kan bedömas genom tillverkarens egenkontroll utan direkt bedömning av ett kontrollorgan. Samtidigt är det troligt att tillverkare av produkter som tar detta seriöst kommer att anlita externa bedömare, även i denna kategori.

Grundläggande krav på cybersäkerhet

Produkter kommer endast tillåtas på marknaden om de uppfyller de grundläggande cybersäkerhetskrav som ställs upp. Dessa säkerhetskrav bygger först och främst på befintlig god praxis, vi kan alltså vara säkra på att seriösa tillverkare ligger bra till redan idag.

Krav på hantering av sårbarheter

Tillverkare måste ha rutiner att se till att sårbarheter hanteras på lämpligt sätt och dessutom offentliggöra information om åtgärdade sårbarheter. Detta utgörs av en rapporteringsplikt, man måste under alla omständigheter inom 24 timmar efter att ha fått kännedom om en aktivt utnyttjad sårbarhet i produkten eller en incident som påverkat produktens säkerhet rapportera in händelsen. Användare av produkten eller systemet ska sedan underrättas utan onödigt dröjsmål och vid behov ska tillverkaren tillhandahålla information om åtgärder som användaren kan vidta för att mildra konsekvenserna av incidenten.

Mycket kritiska produkter

Produkter skulle kunna betraktas som mycket kritiska om de uppfyller bägge ovanstående kriterier, med andra ord att de har en viktig säkerhetsfunktion och är centrala i en IoT-miljö sett ur bredare perspektiv.

Denna klass omfattar virtuella privata nätverk (VPN), nätverkshanteringssystem för konfiguration, övervakning och uppdatering av nätverksenheter. Brandväggar för industriellt bruk kategoriseras som mycket kritiska om de både har en cybersäkerhetsrelaterad funktion och används i känsliga miljöer. Här nämns industriella kontrollmiljöer som betecknas som väsentliga enligt det nyligen reviderade direktivet NIS2.

En ytterligare grupp av produkter skulle klassificeras som ”mycket kritiska” om de uppfyller det dubbla villkoret att de används i en känslig miljö och är centrala för att hantera ett större system. Till denna produktgrupp hör integrerade kretsar, industriella automations- och kontrollsystem, industriella IoT-enheter och smarta mätare för el och vatten.

Ovanstående är bara ett par exempel som vi anser relevanta för våra kunder och intressenter. Den fullständiga förteckningen över kritiska och mycket kritiska produkter finns i bilagan till lagförslaget.