Router, kamera, sterownik przemysłowy czy urządzenie obsługiwane przez aplikację coraz częściej działają dzięki oprogramowaniu pochodzącemu od wielu różnych dostawców. W produkcie mogą znajdować się także komponenty open source.

Powstaje więc praktyczne pytanie: kto odpowiada za bezpieczeństwo całego produktu, jeżeli podatność znajduje się w komponencie, którego producent sam nie stworzył?

Cyber Resilience Act (CRA) zmienia sposób patrzenia na tę odpowiedzialność. Cyberbezpieczeństwo przestaje być wyłącznie zagadnieniem technicznym. Staje się elementem projektowania produktu, zarządzania dostawcami i planowania jego całego cyklu życia.

CRA – pierwsze obowiązki już obowiązują

CRA będzie stosowany w pełnym zakresie od 11 grudnia 2027 r., jednak część obowiązków zaczęła obowiązywać wcześniej.

Od 11 września 2026 r. producenci mają obowiązek raportowania określonych aktywnie wykorzystywanych podatności oraz poważnych incydentów mających wpływ na bezpieczeństwo produktów z elementami cyfrowymi. Pierwsze informacje trzeba przekazywać w krótkich terminach – w określonych przypadkach już w ciągu 24 godzin.

W praktyce oznacza to konieczność wcześniejszego przygotowania procesu: kto identyfikuje problem, kto ocenia jego wpływ na produkt, kto podejmuje decyzję i kto odpowiada za zgłoszenie.

Producent musi wiedzieć, z czego składa się jego produkt

To jedno z najważniejszych praktycznych wyzwań wynikających z CRA.

Produkt może zawierać własne oprogramowanie producenta, rozwiązania komercyjne innych dostawców oraz komponenty open source. Podatność w jednym z nich może wpływać na bezpieczeństwo całego produktu.

CRA wymaga od producentów zachowania należytej staranności przy integrowaniu komponentów pochodzących od osób trzecich, w tym komponentów open source.

Dlatego producent powinien być w stanie ustalić jakie komponenty znajdują się w produkcie, kto za nie odpowiada i których produktów może dotyczyć wykryta podatność.

Odpowiedzialność nie kończy się w dniu sprzedaży

CRA zmienia również sposób myślenia o cyklu życia produktu.

Producent będzie zobowiązany do obsługi podatności oraz zapewniania bezpieczeństwa produktu przez okres wsparcia. Co do zasady ma on wynosić co najmniej pięć lat, chyba że przewidywany okres użytkowania produktu jest krótszy. Jeżeli natomiast można racjonalnie oczekiwać dłuższego użytkowania produktu, okres wsparcia powinien to uwzględniać.

Ma to bezpośredni wymiar biznesowy. Koszty monitorowania podatności, przygotowywania aktualizacji i utrzymywania bezpieczeństwa mogą powstawać jeszcze długo po sprzedaży produktu.

Powinny więc zostać uwzględnione już na etapie jego projektowania i kalkulacji modelu biznesowego.

CRA powinien znaleźć odzwierciedlenie w umowach z dostawcami

Jeżeli bezpieczeństwo produktu zależy od zewnętrznego oprogramowania, producent powinien mieć możliwość odpowiednio szybkiego uzyskania informacji o problemie i podjęcia działań naprawczych.

Dlatego warto zweryfikować, czy umowy z dostawcami określają m.in.:

• kto i w jakim terminie informuje o podatnościach,
• kto przygotowuje poprawki i aktualizacje,
• jak długo dostawca zapewnia wsparcie,
• jak wygląda współpraca w przypadku incydentu,
• kto ponosi koszty i odpowiedzialność w przypadku problemów z bezpieczeństwem.

Zewnętrzny komponent nie oznacza bowiem zewnętrznego problemu. Z perspektywy producenta bezpieczeństwo całego produktu pozostaje kluczowe.

Cyberbezpieczeństwo staje się częścią odpowiedzialności za produkt

Zmiana nie ogranicza się przy tym do samego CRA.

Nowa unijna dyrektywa dotycząca odpowiedzialności za produkty wadliwe wprost obejmuje oprogramowanie pojęciem produktu. Przy ocenie wadliwości znaczenie mogą mieć również wymagania dotyczące cyberbezpieczeństwa.

W efekcie coraz trudniej traktować bezpieczeństwo produktu i jego cyberbezpieczeństwo jako dwa odrębne zagadnienia.

Od czego zacząć przygotowania do CRA?

Przedsiębiorca powinien przede wszystkim odpowiedzieć na kilka pytań:

Czy wiemy, z jakich komponentów składają się nasze produkty?
Czy potrafimy szybko ustalić, których produktów dotyczy wykryta podatność?
Czy nasi dostawcy mają obowiązek odpowiednio szybko nas o niej poinformować?
Czy zapewniają wsparcie tak długo, jak sami będziemy zobowiązani wspierać produkt?
Czy wiemy, kto w organizacji podejmie działania, gdy pojawi się problem?

Odpowiedzi pozwalają ocenić, czy przedsiębiorstwo jest przygotowane do nowych wymagań nie tylko formalnie, ale także operacyjnie.

Jak JLSW może pomóc?

JLSW wspiera przedsiębiorców w ustalaniu zakresu zastosowania CRA, analizie obowiązków producentów, importerów i dystrybutorów, przeglądzie umów z dostawcami oprogramowania i komponentów oraz przygotowaniu procedur dotyczących podatności, incydentów i aktualizacji.

Cyberbezpieczeństwo produktu nie kończy się na zabezpieczeniu kodu. Obejmuje sposób jego projektowania, dostarczania i utrzymywania przez cały okres życia produktu.