Dojrzałość Cyber Resilience Act · Rozporządzenie (UE) 2024/2847 w sprawie cyberodporności produktów cyfrowych

Cyber Resilience Act, rozporządzenie (UE) 2024/2847, ma zastosowanie do produktów z elementami cyfrowymi, sprzętowymi lub programowymi, udostępnianych na rynku Unii. Ustanawia zasadnicze wymogi cyberbezpieczeństwa dotyczące projektowania, rozwoju i produkcji oraz obowiązki w zakresie obsługi podatności przez cały okres wsparcia. Wprowadza obowiązek oceny zgodności, dokumentacji technicznej, deklaracji zgodności UE i oznakowania CE. Ustanawia również obowiązki zgłaszania do ENISA aktywnie wykorzystywanych podatności i poważnych incydentów.

Trudność nie polega na przeczytaniu tekstu, lecz na ustaleniu, kto za co odpowiada. CRA angażuje dział R&D, bezpieczeństwo produktu, jakość, prawo i wsparcie, często w organizacjach, w których cyberbezpieczeństwo było dotąd pomyślane dla systemu informatycznego, a nie dla sprzedawanego produktu. Czy znają Państwo dokładny zakres produktów objętych rozporządzeniem i ich klasyfikację? Czy potrafią Państwo wygenerować aktualną nomenklaturę oprogramowania dla każdego z nich? Kto dziś zobowiązuje się do okresu wsparcia i dystrybucji poprawek bezpieczeństwa?

Często pojawia się nieporozumienie: CRA nie jest odmianą NIS 2. NIS 2 dotyczy bezpieczeństwa podmiotów i ich systemów, CRA zaś produktów wprowadzanych przez przedsiębiorstwo na rynek. Ta sama grupa może podlegać obu aktom, z różnymi odpowiedzialnymi i różnymi dowodami. Kolejna istotna kwestia: rozporządzenie wchodzi w życie według rozłożonego w czasie harmonogramu, przy czym obowiązki zgłaszania pojawiają się przed obowiązkami ogólnymi. Potraktowanie tematu jako zwykłego dossier oznakowania CE prowadzi do spóźnionego odkrycia zasadniczych zagadnień, w szczególności skoordynowanego zarządzania podatnościami.

Audyt zgodności kończy się stwierdzeniem luki lub zgodności, produkt po produkcie. Diagnoza dojrzałości odpowiada na inne pytanie: na jakim poziomie opanowania znajdują się Państwa praktyki bezpieczeństwa produktu i jakie konkretne działanie pozwala przejść na poziom wyższy. To właśnie umożliwia prowadzenie programu transformacji na wielu liniach produktowych i wielu zespołach deweloperskich, z trajektorią czytelną dla zarządu, a nie listą wymogów do odhaczenia.

W Datamensio model referencyjny jest gotowy do użycia i mogą Państwo go dostosować. Sztuczna inteligencja dopasowuje obszary tematyczne, pytania i poziomy do Państwa portfela produktów albo buduje odmianę na podstawie Państwa procedur rozwoju i istniejącej dokumentacji technicznej. Następnie weryfikuje odpowiedzi, sygnalizuje luki powtarzające się w różnych liniach produktowych i przygotowuje prezentację wyników, podczas gdy decyzja pozostaje po Państwa stronie: każde proponowane działanie można zachować, odrzucić lub przeredagować przed włączeniem do mapy drogowej.