Kibernetička sigurnost i EU

Prijetnje kibernetičkoj sigurnosti rastu diljem svijeta: 2021. godine procijenjena je šteta uzrokovana kibernetičkim napadima na softver i hardver u vrijednosti od oko 6 trilijuna dolara. Trend je to koji će rasti u budućnosti, s obzirom na to da će – prema definiciji Gartnera – do 2024. u svijetu biti 22,3 milijarde uređaja koji će se spajati na Internet stvari (IoT).

U Europskoj uniji situacija se malo mijenja. ENISA – Europsko tijelo za kibernetičku sigurnost – naglašava kako su se napadi povećali i u smislu sofisticiranosti i utjecaja. Povećanje je uglavnom posljedica rasta online prisutnosti tvrtki i PA, potaknutog različitim čimbenicima: pandemijom koronavirusa, odabirom tvrtki da prijeđu na međusobno povezana rješenja i rješenja temeljena na oblaku (kao što je IoT) i, konačno, korištenje novih tehnologija – poput umjetne inteligencije.

EU provedba

Dugo vremena europski čelnici traže od EU-a da razvije strategiju koja bi im pomogla:

• zaštititi se od cyber prijetnji;
• osigurati sigurno komunikacijsko okruženje, zahvaljujući i kvantnoj kriptografiji;
• jamčiti pristup podacima za potrebe pravosuđa i provedbe zakona.

Nakon niza direktiva, Europska komisija je 15. rujna konačno predložila nova pravila Cyber ​​​​Resilience Acta, čiji je cilj poboljšati sigurnost uređaja i njihovih korisnika u uvjetima porasta napada diljem svijeta. Novi zakon će obuhvatiti sve uređaje i povezane tehnologije koje prethodno nisu bile uključene u prethodne direktive, kako bi se obuhvatio cijeli životni ciklus proizvoda – počevši od faze razvoja.

Razloge iza ove odredbe objasnio nam je izravno Bruxelles: “u povezanom okruženju kibernetički incident prisutan u proizvodu može utjecati na cijelu organizaciju ili lanac opskrbe, često se šireći izvan granica tvrtke, u roku od nekoliko minuta. To može dovesti do ozbiljnih poremećaja u gospodarskim i društvenim aktivnostima ili čak postati opasno po život.“

Provedba Cyber Resilience Act

Predloženi zakon ima za cilj uspostaviti zajedničke standarde kibernetičke sigurnosti za digitalne proizvode i povezane usluge koje se stavljaju na tržište Europske unije.
Zakon o kibernetičkoj otpornosti ima četiri cilja:

• osigurati dosljedan kibersigurnosni okvir koji proizvođačima hardvera i softvera olakšava usklađenost;
• poboljšati jasnoću i transparentnost informacija o sigurnosti proizvoda s digitalnim elementima;
• osigurati da proizvođači poboljšaju sigurnost proizvoda opremljenih digitalnim elementima već od faze dizajna i razvoja i tijekom cijelog životnog ciklusa – ili najmanje pet godina nakon što su stavljeni na tržište;
• omogućiti tvrtkama i potrošačima da sigurno koriste proizvode koji se sastoje od digitalnih komponenata.

Popis softverskih i hardverskih proizvoda je vrlo velik, zbog čega su podijeljeni na proizvode koji pripadaju klasi I (firewall, IPS, router, switch, password manager, itd.) i klasi II (operativni sustavi, korporativni vatrozidi i IPS , kontrolni sustavi, sigurnosni čipovi, robotske komponente, IoT sustavi itd.).
Ono što se mijenja od jedne klase do druge je sustav usklađenosti:

• Klasa I: proizvođač može izabrati hoće li se sam certificirati ili zatražiti certificiranje od certificirane treće strane;
• Klasa II: dobavljač može samo i obvezno pribjeći certificiranju ovlaštenog trećeg tijela.

Svaka država članica Europske unije morat će kontrolu poštivanja pravila povjeriti nacionalnom tijelu. Što se tiče proizvođača – koji predstavljaju fokus ovog prijedloga zakona – oni će imati obvezu prijaviti svaku neusklađenost ili ranjivost izravno ENISA-i.

Za dobavljače koji se odluče ne pridržavati nametnutih pravila, predviđene su novčane kazne ili čak povlačenje proizvoda s tržišta. Kazne za nepoštivanje bitnih zahtjeva – u najtežim slučajevima – procjenjuju se na 15 milijuna eura ili 2,5% godišnjeg prometa, ovisno o tome koja je vrijednost veća.

The next step: kako će se razviti situacija?

Kao što je već definirano, Zakon o kibernetičkoj otpornosti još uvijek je nacrt koji je predložila Europska komisija. Sada ga moraju analizirati Vijeće i Europski parlament radi mogućih promjena. Na kraju ove operacije, predloženi zakon moći će definitivno stupiti na snagu: od tog trenutka tvrtke će imati dvije godine da se usklade.

Detaljnije informacije o zakonu možete pronaći na stranici Europske unije.