Подготвеноста за CRA започнува пред 2027 година: Како ODOT се подготвува сега

Кога навистина започнува Законот за сајбер отпорност на ЕУ?

За многу производители, декември 2027 година сè уште се смета за клучен датум. Но, подготвеноста за CRA не може едноставно да се одложи дотогаш.

Законот за сајбер отпорност стапи на сила на 10 декември 2024 година . Нејзините главни обврски ќе важат од 11 декември 2027 година , додека обврските за известување според АПК ќе почнат да важат од 11 септември 2026 година .

За производителите на производи со дигитални елементи, ова значи едно:

Подготовката на CRA треба да започне пред 2027 година.

CRA е повеќе од конечна проверка на усогласеноста

Сајбер-безбедноста не може едноставно да се додаде на производот откако ќе заврши развојот.

За производителите на индустриска автоматизација, подготвеноста за CRA вклучува многу повеќе од завршување на еден тест или подготовка на еден технички документ. Тоа бара размислувања за сајбер безбедноста да станат дел од животниот циклус на производот - од барања и развој до верификација, ракување со ранливоста, ажурирања и документација.

Во ОДОТ, ова е пристапот што го преземаме денес.

Нашата подготвителна работа прогресивно се поврзува:

· Преглед на барањата за производот

· Мрежен интерфејс и анализа на површината на нападот

· Проценка на ризикот од сајбер безбедноста

· Контрола на софтвер и верзија

· Проверка и тестирање на производот

· Следливост на производот и фирмверот

· Ракување со ранливост

· Ажурирања на софтверот

· Техничка документација

Целта е регулаторните барања да се претворат во практични и инженерски дејства што може да се следат.

Од барања за производи до проценка на ризикот за сајбер-безбедност

Сајбер-безбедноста започнува многу порано од тестирањето на финалниот производ.

За време на фазата на барање производ, безбедносните размислувања треба да се идентификуваат и да се вклучат во процесот на развој. Надворешните интерфејси - вклучувајќи мрежни порти, протоколи за комуникација и други достапни интерфејси - исто така треба да се разберат како дел од потенцијалната површина за напад на производот.
Откако ќе се разберат овие интерфејси, може да се идентификуваат, проценат и да се решат потенцијалните ризици за сајбер безбедноста.

Важно е не само да се донесат инженерски одлуки, туку и да се осигури дека расудувањето и дејствијата што произлегуваат остануваат документирани и може да се следат во текот на животниот циклус на производот.

Сајбер-безбедноста продолжува откако производот ќе ја напушти фабриката

Подготвеноста за CRA не завршува кога производот ќе биде пуштен во продажба.

Индустриските производи продолжуваат да се развиваат преку промени на фирмверот, ажурирања на софтверот и нови верзии. Кога е пријавено безбедносно прашање или ранливост, на производителите им се потребни процеси за да го примат, проценат, поправат, проверат и документираат проблемот.

Тоа го прави управувањето со ранливоста континуирана активност наместо еднократна развојна задача.

Ажурирањата на софтверот исто така треба да се контролираат и проверат. Идентитетот на производот - вклучувајќи го серискиот број, верзијата на хардверот и верзијата на фирмверот - помага да се поврзат промените, резултатите од тестот и последователните дејства до правилната конфигурација на производот.

Документацијата е дел од животниот циклус

Проценките на ризикот, записите за верзии, извештаите од тестовите, записите за ранливост и ажурираните записи заедно формираат тело на докази што може да се следи.

Затоа, техничката документација не треба да се третира како последен административен чекор по завршувањето на инженерската работа. Тоа е дел од самиот животен циклус на производот.

Во исто време, сè уште се развиваат релевантни хармонизирани стандарди. ОДОТ продолжува да го следи процесот на стандардизација и ќе ги прегледа и усогласи своите подготвителни активности кога ќе станат достапни релевантните стандарди.

ОДОТ се подготвува сега

CRA не е еден тест.

Тоа не е еден документ.

И тоа не е одговорност само на еден оддел.

Тоа е барања за поврзување на животниот циклус , проценка на ризик, развој, верификација, контрола на верзијата, ракување со ранливост, ажурирања и документација .

Затоа ODOT веќе работи на преточување на барањата за сајбер-безбедност во практични инженерски процеси и процеси на животниот циклус на производите.

Подготвеноста за CRA започнува пред 2027 година.

ОДОТ се подготвува сега.

Погледнете го видеото за да видите како ODOT се приближува до подготвеноста за CRA низ животниот циклус на индустрискиот производ.