Cyber Resilience Act obejmuje produkty z elementami cyfrowymi, czyli bardzo szeroką kategorię sprzętu i oprogramowania. W praktyce chodzi zarówno o urządzenia podłączone do sieci, jak i programy, biblioteki, komponenty oraz usługi powiązane z działaniem produktu. To ważna zmiana, bo wiele cyberataków zaczyna się nie od spektakularnego włamania do dużej firmy, lecz od zaniedbanego komponentu, starego firmware'u albo urządzenia, którego nikt nie aktualizował.
Bezpieczeństwo od projektu do aktualizacji
Najważniejsza zasada jest prosta: bezpieczeństwo ma być cechą produktu, a nie dodatkiem serwisowym. Producent powinien ocenić ryzyko, ograniczyć podatności już na etapie projektowania, dokumentować wymagania bezpieczeństwa, zapewnić aktualizacje i informować użytkowników o ryzykach. To odwraca dotychczasową wygodną logikę, w której klient kupował urządzenie, a później sam musiał domyślać się, czy powinien zmienić hasło, aktualizować system albo wyłączyć niepotrzebne funkcje.
Przepisy mają też uporządkować reagowanie na podatności. Jeżeli producent dowie się o aktywnie wykorzystywanej luce albo poważnym incydencie wpływającym na bezpieczeństwo produktu, nie będzie mógł ograniczyć się do cichej poprawki albo komunikatu dla wybranych klientów. System ma wymuszać zgłaszanie, koordynację i szybsze ostrzeganie, bo jedna luka w popularnym produkcie może w krótkim czasie dotknąć tysięcy firm i instytucji.
Małe firmy też wejdą w ten łańcuch
Dla dużych producentów będzie to kosztowny, ale zrozumiały element zgodności. Mają działy bezpieczeństwa, prawników, procesy aktualizacji i zespoły reagowania. Trudniejszy test czeka mniejsze firmy, które tworzą oprogramowanie niszowe, urządzenia przemysłowe albo komponenty używane później przez większych dostawców. One będą musiały udowodnić, że bezpieczeństwo nie jest improwizacją po wykryciu problemu.
Zmiana ma znaczenie także dla zamawiających. Firma albo urząd publiczny kupujący produkt cyfrowy powinny pytać nie tylko o cenę i funkcje, ale też o cykl wsparcia, politykę aktualizacji, sposób zgłaszania podatności i dokumentację bezpieczeństwa. Najtańszy produkt może okazać się droższy, jeżeli po dwóch latach zostanie bez poprawek, a jego luka stanie się wejściem do całej sieci.
Największym ryzykiem będzie formalizacja bez realnej poprawy. Jeżeli zgodność z Cyber Resilience Act sprowadzi się do dokumentów, deklaracji i długich regulaminów, rynek dostanie kolejną warstwę papieru. Jeżeli jednak klienci, regulatorzy i dostawcy potraktują przepisy jako zmianę sposobu projektowania produktu, cyberbezpieczeństwo zacznie przesuwać się bliżej inżynierii, a nie tylko działu prawnego.