Britisk regulering stjeler sjelden EUs oppmerksomhet. Likevel er det nettopp det som skjedde i april 2024 da Storbritannias lov om produktsikkerhet og telekommunikasjonsinfrastruktur (PSTI), som regulerer tilkoblede enheter, ble lov. Det PSTI klarte i fart, mistet den i omfang. EU-versjonen, Cyber ​​Resilience Act (CRA), er langt bredere og mer detaljert og vil sette en høy standard for samsvar – og kreve en streng tilnærming til cyberrisikohåndtering.

På et høyt nivå er CRA designet for å forbedre sikkerheten og påliteligheten til tilkoblet teknologi og gjøre det lettere for kjøpere å se høykvalitetsprodukter takket være et dragemerkesystem. Med bøter på opptil 15 millioner euro eller 2.5 % av den årlige omsetningen, er manglende overholdelse ikke et alternativ, og for britiske firmaer som ønsker å utnytte det enorme EU-markedet, er det et must. Heldigvis vil overholdelse av beste praksis sikkerhetsstandarder som ISO 27001 gjøre mye av det tunge løftet.

Hva dekker det?

CRA gjelder for:

  • Produkter med digitale elementer (PDE) – med andre ord programvare eller maskinvare som kan kobles til en enhet eller et nettverk
  • En PDEs løsninger for "ekstern databehandling".
  • En PDEs programvare eller maskinvarekomponenter som markedsføres separat

I praksis betyr dette et bredt spekter av produkter, inkludert smarte enheter som smarttelefoner, nettbrett, PC-er, TV-er og kjøleskap, wearables og til og med barneleker. Noen produktkategorier som medisinsk utstyr og kjøretøy, som allerede er regulert, er ikke dekket av CRA foreløpig.

Hva trenger du å gjøre?

Lovverket vil gjelde for produsenter, deres autoriserte representanter, importører, distributører og forhandlere. Mesteparten av overholdelsesbyrden vil falle på produsenter, som må:

  • Vurder PDE-cybersikkerhetsrisikoer og sørg for at produktene er designet og produsert i samsvar med CRAs essensielle cybersikkerhetskrav (ECR)
  • Sørg for at komponenter som er hentet eksternt ikke kompromitterer PDE-ens sikkerhet
  • Dokumenter og korriger sårbarheter i tide
  • Gi sikkerhetsstøtte i fem år eller produktets levetid (avhengig av hva som er kortest)
  • Varsle EUs sikkerhetsbyrå ENISA innen 24 timer etter at du blir oppmerksom på aktiv sårbarhetsutnyttelse eller en annen sikkerhetshendelse, med informasjon om korrigerende tiltak
  • Gi detaljert informasjon om hvordan du installerer produktoppdateringer, hvem du skal rapportere sårbarheter til og andre produsentdetaljer
  • Etabler en samsvarsvurderingsprosess for å verifisere CRA-samsvar

Importører må være klar over det ovennevnte for å oppfylle sine forpliktelser til å sikre at kun kompatible PDE-er selges i EU. CRA har en omfattende liste over ECR- er oppført i vedlegg I til lovgivningen, som er utformet for å være åpne snarere enn detaljfokuserte for å holde dem relevante etter hvert som teknologien utvikler seg. De inkluderer krav om at PDE-er skal være:

  • Produsert uten kjente utnyttbare sårbarheter og med en sikker konfigurasjon som standard
  • Designet og produsert med "passende" nivåer av cybersikkerhet innebygd og på en måte som vil redusere virkningen av sikkerhetshendelser
  • Kan beskytte mot uautorisert tilgang med sterk autentisering
  • Kan beskytte konfidensialiteten til lagret, overført eller behandlet informasjon, for eksempel via kryptering
  • I overensstemmelse med dataminimeringsprinsipper
  • Designet og produsert med begrenset angrepsoverflate
  • Designet for å sikre at sårbarheter kan lappes via produktoppdateringer, automatisk der det er mulig
  • Produsert sammen med en policy for avsløring av sårbarheter

På tide å planlegge

John Moor, leder av IoT Security Foundation (IoTSF), forklarer at selv om det ikke er på tide å få panikk ennå, må produsenter begynne å samarbeide med forsyningskjedene sine for å finne ut hvordan nye produkter vil være i samsvar med CRA.

"Produkter på markedet er utenfor rekkevidden foreløpig, men kan trenge en slutt-av-livsplan," sier han til ISMS.online. "Selv om tidslinjen er omtrent 36 måneder, vil noen avsetninger komme inn tidligere. Produktprodusenter må være kompatible på den datoen, og gitt at alle i forsyningskjeden må ta eierskap, peker det mot planlegging fremover.»

I tillegg til å jobbe med disse leverandørkjedepartnerne, bør produsenter også vurdere om interne prosesser er egnet for formålet fra et risiko- og sårbarhetsstyringsperspektiv, hevder Moor.

«Så kommer vi til selve produktet. Det er her sikkerhet og personvern-by-design-praksis trer i kraft. Mange produsenter vil allerede være kjent med disse elementene utover den tradisjonelle funksjonaliteten, ytelsen og kraftbetraktningene, sier han. «Hvor kan de få hjelp? Konsulenter, testlaboratorier og organisasjoner som IoTSF. Vi ble etablert i 2015 og kunne se hvordan verden var på vei. Derfor har vi forutsett hva som skulle komme og har innebygd råd, prosess og metodikk i våre guider og verktøy.»

Hvordan ISO 27001 kan hjelpe

Gitt CRAs langvarige og krevende overholdelseskrav, kan organisasjoner også dra nytte av å følge allerede etablerte beste praksisstandarder som er relevante for loven. Moor sier at produktutviklingsstandardene ISO/SAE 21434 for bilindustrien og IEC/ISA 62443 for industrielle kontrollsystemer sannsynligvis er de mest relevante. Andre eksperter sier imidlertid også at det er en viss overlapping med ISO 27001.

Adam Brown, administrerende sikkerhetskonsulent hos Black Duck , forteller ISMS.online at det kan legge et «godt grunnlag» for britiske teknologiselskaper som ser på CRA.

“ISO 27001s systematiske tilnærming til risikostyring, sikker utvikling, forsyningskjedesikkerhet, hendelsesrespons og livssyklusstyring dekker mange av de samme områdene som CRA legger vekt på. Imidlertid er ISO 27001 rettet mot organisasjonssikkerhet, mens CRA er rettet mot individuelle produkter, legger han til.

«Organisasjoner som har vært gjennom ISO-akkreditering vil forstå risikovurdering; CRA krever også en grundig risikovurdering per produkt. Secure by Design and Default: CRA Annex 1(h) krever at produkter utformes, utvikles og produseres for å begrense angrepsoverflater, inkludert eksterne grensesnitt. På samme måte omhandler ISO 27001s vedlegg A.14 sikker utvikling og støtte for informasjonssystemer, inkludert integrering av sikkerhet gjennom hele programvareutviklingens livssyklus.»

Den gode nyheten er at tilpasning til ISO 27001 ikke bare vil sette produsentene klar til suksess med CRA-overholdelse. Det kan også bidra til å skape et sikkert grunnlag for en rekke andre bransjeforskrifter og krav, fra NIS 2 til GDPR. Det kan være på tide å ta en titt.