Zakon o kibernetski odpornosti

Pregled

Zakon o kibernetski odpornosti (CRA) uvaja obvezne zahteve za kibernetsko varnost strojne in programske opreme z digitalnimi elementi. Pokriva celoten življenjski cikel izdelka od zasnove do konca podpore in si prizadeva rešiti problem razširjenosti negotovih IoT in programskih izdelkov.^[1]

CRA velja za izdelke, ki so dani na trg EU, ne glede na kraj njihove proizvodnje.

Časovni načrt uporabe

Izdelki v obsegu

Pokriti izdelki

Izdelki z digitalnimi elementi, ki:

• Imajo neposredno ali posredno logično ali fizično podatkovno povezavo z napravo ali omrežjem
• Vključujejo strojne in programske komponente

Kategorije

Oprostitev

• Programska oprema z odprto kodo (nekomercialni razvoj)
• SaaS (pokriva druge uredbe)
• Izdelki, ki so že regulirani (zdravstvene naprave, vozila, letalstvo)
• Izdelki za obrambo in nacionalno varnost

Ključne zahteve za kibernetsko varnost^[2]

Varnost po zasnovi

Izdelki morajo biti zasnovani in razviti tako, da zagotavljajo:

1. Ustrezno raven varnosti: Glede na predvidene tveganja
2. Ni znanih izkoriščljivih ranljivosti: Ob času dajanja na trg
3. Varnostna privzeta konfiguracija: Vključno z možnostjo tovarniške ponastavitve
4. Zaščita zaupnosti: Za shranjene, prenašane in obdelane podatke
5. Zaščita integritete: Proti nepooblaščenim spremembam
6. Razpoložljivost: Odpornost proti zavrnitvi storitve
7. Minimalna površina napada: Zmanjšanje potencialnih vektorjev napada
8. Omejitev vpliva incidentov: Zmanjšanje posledic kršitev

Avtentikacija in nadzor dostopa

• Močna, edinstvena privzeta poverilnica ali nastavljena s strani uporabnika ob prvi uporabi
• Zaščita pred napadi z grobo silo
• Varnostni mehanizmi za avtentikacijo

Zaščita podatkov

• Šifrirano shranjevanje občutljivih podatkov
• Varen prenos podatkov
• Brisanje ali anonimizacija podatkov, ko niso več potrebni

Zahteve za ravnanje z ranljivostmi^[3]

Proizvajalci morajo:

1. Prepoznati ranljivosti: S testiranjem in spremljanjem
2. Dokumentirati komponente: Vzdrževati seznam programske opreme (SBOM)
3. Odpraviti ranljivosti: Zagotoviti varnostne posodobitve brez nepotrebnih zamud
4. Razkriti ranljivosti: Koordinirati z zadevnim stranmi
5. Varnostne posodobitve: Brezplačne posodobitve za določen podporni čas (najmanj 5 let)

Poročanje o ranljivostih

Od septembra 2026 morajo proizvajalci poročati o:

Presoja skladnosti

Izdelki morajo imeti označbo CE, ki potrjuje skladnost.

Kazni

• Neizpolnjevanje: Do 15 milijonov € ali 2,5 % svetovnega prometa
• Kršitev ključnih zahtev: Do 10 milijonov € ali 2 % prometa
• Druge kršitve: Do 5 milijonov € ali 1 % prometa^[4]

Dejanja za razvijalce

Za proizvajalce programske in strojne opreme:

1. Inventar izdelkov: Določite, kateri so v obsegu in njihovo kategorijo
2. Varnost po zasnovi: Vključite varnost v razvojne procese
3. Upravljanje ranljivosti: Ustanovite postopke zaznavanja in obravnave
4. Ustvarjanje SBOM: Dokumentirajte programske komponente in odvisnosti
5. Načrtovanje podpore: Določite in sporočite podporna obdobja
6. Mehanizmi posodobitev: Zgradite varne sisteme za dostavo posodobitev
7. Priprava skladnosti: Pripravite tehnično dokumentacijo