Evropská komise zveřejnila pokyny k uplatňování nařízení Cyber Resilience Act (CRA), který určuje pravidla kybernetické bezpečnosti pro digitální výrobky. Většina ustanovení se začne uplatňovat v prosinci roku 2027, první povinnosti nicméně začnou platit už 11. září letošního roku.
CRA bude důležitou regulací pro výrobce hardwaru a vývojáře softwaru včetně cloudových služeb. Jde o počítače, chytré telefony, routery, IoT, chytré spotřebiče, operační systémy, mobilní aplikace a tak dále.
Dodavatelé a výrobci musí řešit bezpečnost od fáze návrhu produktu, sledovat zranitelnosti a dodávat bezpečnostní aktualizace, hlásit incidenty a splnit požadavky, aby jejich zboží mohlo na trhy Evropské unie.
Firmy budou muset od září oznamovat aktivně zneužívané zranitelnosti a závažné bezpečnostní incidenty. V některých případech bude nutné podat hlášení do 24 hodin a do 72 hodin doplnit o podrobnější informace. Kontaktním místem bude evropská kyberbezpečnostní agentura ENISA.
Kompletní znění nařízení CRA je k dispozici zde. První pokyny Evropské komise jsou tady. Další materiály jsou publikovány na tomto webu.
Aktuální situaci kolem CRA shrnula Hospodářská komora ČR. Doporučuje také, aby firmy zahájily přípravy již nyní a provedly inventarizaci produktového portfolia a posoudily klasifikaci:
Stávající produkty nebude nutné automaticky kompletně přepracovat
- Pokyny se věnují také výrobkům navrženým před plnou použitelností CRA, které budou na evropský trh uváděny i po 11. prosinci 2027.
- Podle Evropské komise samotné stáří návrhu neznamená, že musí výrobce produkt automaticky kompletně přepracovat. Výrobce však musí posoudit kybernetická rizika a doložit splnění relevantních požadavků CRA. Pokud posouzení odhalí nesoulad, může být nutné provést přiměřené úpravy produktu, procesů nebo dokumentace.
- Firmy s rozsáhlejším portfoliem by proto měly výrobky rozdělit podle doby jejich uvedení na trh a u každého vyhodnotit rozsah nových povinností.
Do působnosti CRA mohou spadat také cloudové a vzdálené služby
- CRA se netýká pouze fyzického výrobku nebo softwaru instalovaného v zařízení. Za určitých podmínek mohou být součástí regulovaného produktu také takzvaný vzdálená řešení pro zpracování dat (remote data processing solutions).
- Typickým příkladem je cloudová infrastruktura nebo cloudová služby, bez níž zařízení nemůže vykonávat některé své funkce. Při přípravě na CRA proto nestačí provést pouze inventuru hardwarových zařízení. Firmy by měly posoudit celý technologický ekosystém produktu, včetně mobilních aplikací, cloudových služeb, aplikačních rozhraní, autentizačních služeb a infrastruktury zajišťující aktualizace.
Správná klasifikace ovlivní náklady na uvedení výrobku na trh
- Správné zařazení produktu podle CRA může významně ovlivnit náklady na jeho uvedení na trh. Nařízení vedle běžných produktů rozlišuje také důležité produkty třídy I a II a kritické produkty. Zařazení do jednotlivých kategorií ovlivňuje způsob posuzování shody a v některých případech také nutnost zapojení nezávislého subjektu.
- Chybná klasifikace proto může vést buď k nesplnění požadavků, nebo naopak ke zbytečnému zvýšení nákladů na posuzování shody a uvedení výrobku na trh. Pokyny Evropské komise zdůrazňují zejména hlavní funkci produktu. Samotná přítomnost bezpečnostní komponenty automaticky neznamená, že celý výrobek musí být zařazen do vyšší rizikové kategorie.
Vyšší náklady a konsolidace trhu
IT distributor EET Group uvedl, že CRA může zvýšit náklady výrobců, ovlivnit ceny některých produktů a urychlit konsolidaci trhu.
“CRA vnímáme nejen jako bezpečnostní normu, ale také jako faktor, který může změnit konkurenční podmínky na trhu. Pro některé výrobce budou nové požadavky představovat významnou investici, kterou nemusí být ochotni nebo schopni podstoupit,” shrnul Jan Bartoš, generální ředitel společnosti EET Group pro Česko a Slovensko.
Šéf EET Group odhaduje dopady následovně:
Největší dopad mohou nová pravidla pocítit výrobci velmi levných nebo úzce specializovaných zařízení. U produktů s nižšími maržemi může být návratnost investic do splnění požadavků CRA problematická, zejména pokud Evropa představuje jen omezenou část jejich celkového odbytu.
Nelze vyloučit, že někteří výrobci přehodnotí své působení na evropském trhu nebo omezí část svého produktového portfolia.
U některých výrobců může být evropský trh natolik malý, že se jim investice do splnění regulatorních požadavků nebude ekonomicky vyplácet. Nemyslím si, že by mělo jít o plošný odchod mimoevropských značek. Evropský trh je pro řadu technologických firem stále příliš významný. Pravděpodobnější je proto postupná selekce portfolia.
Jednou z nejčastějších otázek spojených s CRA je možné zdražení produktů. Vývoj bezpečnějších produktů, testování, dokumentace i dlouhodobé řešení zranitelností představují dodatečné náklady, jejichž část se může promítnout do koncových cen. Podle EET Group to však neznamená plošné zdražení veškerého IT hardwaru.
Největší dopad lze očekávat u komplexnějších síťových a IoT zařízení, kde je bezpečnostní vývoj a následná podpora náročnější. U jednodušších produktů může být cenový dopad podstatně menší. Výrobci tak budou hledat rovnováhu mezi náklady na splnění regulace, cenou produktu a zachováním konkurenceschopnosti.
CRA může změnit nejen konkurenční prostředí v IT distribuci, ale také způsob, jakým budou firmy vybírat produkty do svých portfolií. Splnění nových požadavků vyžaduje odborné kapacity, robustní procesy a schopnost pracovat s dokumentací i informacemi o bezpečnosti produktů. Výhodu tak mohou získat především firmy, které dokážou efektivně řídit dodavatelský řetězec a životní cyklus produktů.
Vedle ceny, dostupnosti a technických parametrů bude stále důležitější také přístup výrobce k bezpečnosti, aktualizacím a řešení zranitelností. Regulace tak může podle EET Group přispět k určité konsolidaci trhu a změnit ekonomiku některých produktů.
Pro evropský technologický trh tak CRA nemusí představovat pouze další regulatorní povinnost. Může ovlivnit složení nabídky na trhu a zvýšit význam bezpečnosti jako jednoho z klíčových parametrů technologických produktů. V budoucnu tak nemusí stačit nabídnout nejnižší cenu. Výrobci budou muset prokázat, že dokážou své produkty bezpečně podporovat po celý jejich životní cyklus. Konečným vítězem by přitom podle EET Group měl být zákazník.
Pokud regulace skutečně povede k tomu, že výrobci budou produkty bezpečněji navrhovat, pravidelně aktualizovat a aktivně řešit jejich zranitelnosti, zákazníci by měli za své peníze získat kvalitnější a bezpečnější technologie.
ČLÁNKY DO MAILU