Připravenost CRA začíná před rokem 2027: Jak se nyní připravuje ODOT

Kdy skutečně začíná zákon EU o kybernetické odolnosti?

Pro mnoho výrobců je prosinec 2027 stále považován za klíčové datum. Ale připravenost CRA nelze do té doby jednoduše odložit.

Zákon Cyber ​​Resilience Act vstoupil v platnost 10. prosince 2024 . Její hlavní povinnosti budou platit od 11. prosince 2027 , zatímco ohlašovací povinnosti podle CRA začnou platit od 11. září 2026 .

Pro výrobce produktů s digitálními prvky to znamená jednu věc:

Příprava CRA musí začít před rokem 2027.

CRA je více než konečná kontrola souladu

Kybernetická bezpečnost nemůže být jednoduše přidána k produktu po dokončení vývoje.

Pro výrobce průmyslové automatizace zahrnuje připravenost CRA mnohem více než jen dokončení jednoho testu nebo přípravu jednoho technického dokumentu. Vyžaduje, aby se úvahy o kybernetické bezpečnosti staly součástí životního cyklu produktu – od požadavků a vývoje po ověřování, řešení zranitelností, aktualizace a dokumentaci.

V ODOT je to přístup, který dnes volíme.

Naše přípravné práce se postupně propojují:

· Kontrola požadavků na produkt

· Analýza síťového rozhraní a povrchu útoku

· Hodnocení rizik kybernetické bezpečnosti

· Software a kontrola verzí

· Ověřování a testování výrobků

· Sledovatelnost produktu a firmwaru

· Řešení zranitelnosti

· Aktualizace softwaru

· Technická dokumentace

Cílem je proměnit regulační požadavky v praktické a sledovatelné inženýrské činnosti.

Od požadavků na produkt po hodnocení rizik kybernetické bezpečnosti

Kybernetická bezpečnost začíná mnohem dříve než finální testování produktu.

Během fáze požadavků na produkt je třeba identifikovat bezpečnostní aspekty a začlenit je do procesu vývoje. Externí rozhraní – včetně síťových portů, komunikačních protokolů a dalších dostupných rozhraní – je také třeba chápat jako součást potenciálního útočného povrchu produktu.
Jakmile tato rozhraní pochopíme, lze identifikovat, posoudit a řešit potenciální rizika kybernetické bezpečnosti.

Důležitým bodem je nejen přijímat technická rozhodnutí, ale také zajistit, aby úvahy a výsledné akce zůstaly zdokumentované a sledovatelné po celou dobu životního cyklu produktu.

Kybernetická bezpečnost pokračuje i poté, co produkt opustí továrnu

Připravenost CRA nekončí vydáním produktu.

Průmyslové produkty se nadále vyvíjejí prostřednictvím změn firmwaru, aktualizací softwaru a nových verzí. Když je nahlášen problém se zabezpečením nebo zranitelnost, výrobci potřebují procesy k přijetí, posouzení, nápravě, ověření a zdokumentování problému.

Díky tomu je správa zranitelnosti spíše nepřetržitou činností než jednorázovým vývojovým úkolem.

Aktualizace softwaru je také potřeba kontrolovat a ověřovat. Identita produktu – včetně sériového čísla, verze hardwaru a verze firmwaru – pomáhá propojit změny, výsledky testů a následné akce se správnou konfigurací produktu.

Dokumentace je součástí životního cyklu

Posouzení rizik, záznamy o verzích, zprávy o testech, záznamy o zranitelnosti a záznamy o aktualizacích společně tvoří sledovatelný soubor důkazů.

Technická dokumentace by proto neměla být považována za poslední administrativní krok po dokončení inženýrských prací. Je součástí samotného životního cyklu produktu.

Současně se stále vyvíjejí příslušné harmonizované normy. ODOT pokračuje v procesu standardizace a přezkoumá a sladí své přípravné činnosti, jakmile budou k dispozici příslušné normy.

ODOT se připravuje

CRA není jeden test.

Není to jeden dokument.

A není to odpovědnost pouze jednoho oddělení.

Jedná se o požadavky na propojení životního cyklu, hodnocení rizik, vývoj, ověřování, správu verzí, zpracování zranitelností, aktualizace a dokumentaci .

To je důvod, proč ODOT již pracuje na převedení požadavků na kybernetickou bezpečnost do praktického inženýrství a procesů životního cyklu produktu.

Připravenost CRA začíná před rokem 2027.

ODOT se připravuje.

Podívejte se na video, abyste viděli, jak se ODOT blíží připravenosti CRA v průběhu životního cyklu průmyslového produktu.