Jaké jsou hlavní požadavky aktu o kybernetické odolnosti?
Akt o kybernetické odolnosti neboli Cyber Resilience Act (CRA), tedy nařízení (EU) 2024/2847, platí od 10. prosince 2024 a jako první právní předpis EU stanovuje pravidla kybernetické bezpečnosti přímo pro produkty. Aby bylo možné na evropský trh uvést připojený hardware nebo software, například routery, kamery, aplikace nebo firmware, musí splňovat požadavky CRA.
Od 11. září 2026 platí povinnost hlásit aktivně zneužívané zranitelnosti a závažné incidenty. Tato povinnost se vztahuje i na starší produkty, které se stále používají, přestože už jim skončilo období podpory. Výrobci je hlásí agentuře ENISA a příslušnému národnímu CSIRT prostřednictvím jednotné platformy ENISA pro hlášení (Single Reporting Platform).
Další důležitý termín přijde 11. prosince 2027. Od tohoto data budou muset produkty splňovat základní požadavky CRA. Po prokázání shody výrobce vypracuje EU prohlášení o shodě a produkt opatří označením CE. Bez splnění příslušných požadavků nebude možné produkt uvést na trh EU.
Od bezpečnosti při návrhu ke správě zranitelností
Základní požadavky CRA uvedené v příloze I lze rozdělit do dvou oblastí:
Část I: Bezpečnostní požadavky na produkt
První část se týká toho, jak je produkt navržen, vyvíjen a vyráběn. Příslušné požadavky musí produkt splňovat už při uvedení na trh.
Patří sem například princip bezpečnosti již od návrhu a ve výchozím nastavení (secure by design and by default), požadavek uvést produkt na trh bez známých zneužitelných zranitelností nebo ochrana dat a přístupu pomocí odpovídajících bezpečnostních mechanismů, například šifrování.
Část II: Řešení zranitelností
Druhá část se zaměřuje na povinnosti výrobce během období podpory. Výrobce musí zranitelnosti identifikovat, řešit a poskytovat bezpečnostní aktualizace. Jeho odpovědnost za kybernetickou bezpečnost produktu tedy nekončí jeho prodejem.
I produkt, který je při uvedení na trh dobře zabezpečený, může postupem času čelit novým zranitelnostem v důsledku nových způsobů útoku nebo nedostatků použitých komponent. Výrobce proto musí bezpečnost řešit v průběhu celého životního cyklu produktu.
Požadavky na kybernetickou bezpečnost se vztahují na všechny produkty spadající do působnosti CRA. Způsob prokazování shody se ale liší podle jejich kategorie:
- Výchozí kategorie: Sem spadá přibližně 90 % produktů, například běžné aplikace nebo jednoduchá IoT zařízení. Posouzení shody může provést sám výrobce.
- Důležité produkty, třída I: Například prohlížeče, VPN, operační systémy, routery nebo chytré zámky. Výrobce může využít vlastní posouzení, pokud uplatní harmonizované normy, společné specifikace nebo evropský systém certifikace kybernetické bezpečnosti. V opačném případě je potřeba zapojit třetí stranu.
- Důležité produkty, třída II: Například hypervizory, firewally nebo IDS/IPS. Zde posouzení shody provádí třetí strana, tedy oznámený subjekt.
- Kritické produkty: Například hardwarové bezpečnostní moduly, brány inteligentních měřidel nebo čipové karty. Vyžadují posouzení třetí stranou a v některých případech může být povinná také evropská certifikace kybernetické bezpečnosti.
Bez ohledu na kategorii je potřeba mít k dispozici dokumentaci, pomocí které lze splnění příslušných požadavků doložit.
Kdy podle CRA vzniká ohlašovací povinnost?
Ohlašovací povinnost je část CRA, která již platí. Řada organizací zná lhůty 24 a 72 hodin ze směrnice NIS2, která se vztahuje na jejich vlastní sítě a služby. CRA podobnou logiku uplatňuje na produkty, které výrobci vyvíjejí a dodávají na trh.
Kdy tedy vzniká povinnost hlášení? Bezpečnostní zjištění lze pro zjednodušení rozdělit do tří situací:
Běžná zranitelnost
Hlášení není nutné. Jde například o zranitelnost, u které nejsou známky aktivního zneužívání. Samotné vysoké skóre CVSS, třeba 9,8, ještě automaticky neznamená vznik ohlašovací povinnosti.
Aktivně zneužívaná zranitelnost
Tu je nutné nahlásit. Existují důvěryhodné důkazy, že je zranitelnost skutečně zneužívána. Může jít například o údaje v protokolech, upozornění CSIRT nebo potvrzení zákazníka.
Závažný incident
Také podléhá ohlašovací povinnosti. Jde o událost, která narušuje bezpečnost produktu nebo například vede k šíření škodlivého kódu. Příkladem může být napadený aktualizační server, přes který se k uživatelům začne distribuovat malware.
Hlášení se podávají prostřednictvím jednotné platformy ENISA pro hlášení (Single Reporting Platform), v České republice ve vazbě na Vládní CERT provozovaný NÚKIB. Následuje prvotní upozornění do 24 hodin, oznámení do 72 hodin a následně závěrečná zpráva.
Koho se Cyber Resilience Act týká?
Povinnosti vyplývající z CRA, od hlášení zranitelností a incidentů až po označení CE, se týkají především výrobců. Dopadat mohou také na dovozce a distributory, kteří uvádějí produkt na trh pod vlastní značkou nebo jej podstatným způsobem upraví. Uvnitř organizace se ale CRA nedotýká pouze jednoho oddělení.
Do plnění požadavků vstupují například: management, který musí počítat také s rizikem sankcí, bezpečnostní týmy, které posuzují zranitelnosti a řeší jejich hlášení, produktové a vývojové týmy, které zajišťují opravy a aktualizace, service desk, který často patří mezi první místa, kam informace o problému dorazí, compliance, kde se požadavky CRA mohou potkávat například s NIS2 nebo GDPR.
Jak může ALVAO podpořit procesy spojené s compliance?
ALVAO může podpořit procesy, které organizace potřebují při plnění požadavků předpisů v oblasti kybernetické bezpečnosti, jako jsou NIS2, DORA nebo CRA. Propojením Service Desku a IT Asset Managementu v jednom řešení získávají organizace lepší přehled a kontrolu nad IT procesy i informacemi, které jsou pro jejich compliance důležité.
Chcete mít procesy spojené s compliance lépe pod kontrolou? Podívejte se, jak může ALVAO přinést lepší přehled, strukturu a kontrolu nad informacemi, které pro plnění regulatorních požadavků potřebujete.
Autorkou článku je Alexandra Märtzová, Information Security Compliance Specialist v ALVAO. Věnuje se kybernetické bezpečnosti a compliance se zaměřením na ochranu dat a digitálního prostředí.
FAQ
Co je Cyber Resilience Act (CRA)?
Cyber Resilience Act neboli akt o kybernetické odolnosti je nařízení EU, které zavádí požadavky na kybernetickou bezpečnost produktů s digitálními prvky, včetně připojeného hardwaru a softwaru. Zaměřuje se jak na samotnou bezpečnost produktu, tak na řešení zranitelností během jeho životního cyklu.
Od kdy Cyber Resilience Act platí?
CRA vstoupil v platnost 10. prosince 2024. Povinnost hlásit aktivně zneužívané zranitelnosti a závažné incidenty se uplatňuje od 11. září 2026. Hlavní požadavky CRA se začnou uplatňovat od 11. prosince 2027.
Kdo musí plnit požadavky Cyber Resilience Act?
Povinnosti CRA se týkají především výrobců. Za určitých okolností se vztahují také na dovozce a distributory, například pokud uvádějí produkt na trh pod vlastním jménem či ochrannou známkou nebo produkt podstatně upraví.
Jaké požadavky na kybernetickou bezpečnost CRA zavádí?
CRA se zaměřuje na dvě hlavní oblasti: bezpečnostní požadavky na produkty a řešení zranitelností. Výrobci musí zohlednit kybernetickou bezpečnost už při návrhu a vývoji produktu. Zároveň musí během období podpory průběžně řešit zranitelnosti a poskytovat bezpečnostní aktualizace.