Cyberodporność po nowemu – co zmieni rozporządzenie CRA i jak się przygotować? (cz. 2) 

Cyber Resilience Act (CRA), czyli unijny Akt o cyberodporności

Opowiadałem o nim już tutaj i będę opowiadał dalej – regulacja CRA kończy erę „wolnej amerykanki” w zakresie bezpieczeństwa cyfrowego.  

Czemu? Można posłużyć się analogią do branży spożywczej

Dotychczas oprogramowanie przypominało produkt spożywczy bez etykiety – klient kupował go „na wiarę”, nie znając składu ani ryzyka zatrucia. CRA wprowadza standardy: producent musi teraz ujawnić „skład” produktu (SBOM), zapewnić „datę przydatności” (minimum 5-letnie wsparcie) oraz posiadać procedurę na wypadek „zatrucia” użytkownika (VDP) – oczywiście zaraz omówię to w szczegółach.  
A wszystko to pod rygorem kontroli. I dobrze wiem, że to z powodu potencjalnych kar większość czytających tutaj jest – je też omówimy.  😉

Trochę podstaw i rozplączmy mit

Podkreślam: CRA jest rozporządzeniem i w  przeciwieństwie do dyrektywy jest stosowane bezpośrednio we wszystkich krajach UE jednocześnie. Nie musimy czekać na polską ustawę wdrażającą i liczyć na obsuwy jak przy wielu innych polskich wdrożeniach. Przepisy od razu będą identyczne w Warszawie, Berlinie czy Paryżu. Mechanizm ten jest analogiczny do RODO: zasady są odgórne, sztywne i nie podlegają lokalnej interpretacji.  

Harmonogram

To teraz spacer po kalendarzu:

• 11 grudnia 2024: Wejście w życie CRA
  Tak, już dawno weszło i przecież od dawna pożytecznie korzystasz z czasu na wdrażanie. Bez zostawiania na ostatnią chwilę, prawda?  
• 12 czerwca 2026: Początek działalności jednostek oceniających
  Produkty o wyższym stopniu ryzyka zaczynają podlegać obowiązkowym badaniom certyfikacyjnym. 
• Wrzesień 2026 r: Data graniczna dla Twojej gotowości reagowania na incydenty
  Od tego momentu ENISA oraz krajowe zespoły CSIRT (Computer Security Incident Response Teams) stają się organami odbiorczymi dla zgłoszeń o błędach. Realnie – w tym miejscu musisz mieć procedury i umieć reagować, nie zostało dużo czasu.
• 12 października 2027: Uruchomienie pełnej, rozszerzonej fazy obowiązkowego raportowania incydentów i podatności 
• 12 grudnia 2027: Pełna egzekwowalność
  Produkty niespełniające wymogów otrzymują zakaz wprowadzania na rynek UE. Czyli najpóźniej w listopadzie 2027 – panika.

CRA – kogo i czego dotyczy

Kluczowa jest definicja z Art. 3: regulacja dotyczy oprogramowania jako „części elektronicznego systemu informatycznego”. 

Co jest pod lupą?

• Oprogramowanie – systemy operacyjne, aplikacje mobilne oraz komercyjne wtyczki i motywy do CMS. 
• Hardware (IoT) – inteligentne lodówki czy odkurzacze itp. Ale też – co warto podkreślić – profesjonalne systemy hotelowe (np. aplikacje do sterowania temperaturą w pokoju czy zamki elektroniczne). 
• Urządzenia sieciowe typu routery, serwery, firewalle. 
• Last but (zdecydowanie) not least – strony internetowe. Choć sama witryna nie zawsze podpadnie pod powyższą definicję – twórca ponosi pełną odpowiedzialność prawną, jeśli „zaszyje” w niej komercyjne komponenty niespełniające CRA. 

Czyli kogo dotyczy CRA?

Twórców – zwykle zwanych „producentami” – ale też importerów,  dystrybutorów itp. Trochę jak przepisy o odpowiedzialności za namacalne bezpieczeństwo produktów. Na przykład GPSR czy regulacje Kodeksu Cywilnego o produkcie niebezpiecznym – notabene temat mojej magisterki z czasów, jak jeszcze miałem włosy i to nawet dużo. 😉
Jeśli na rynek wszedł produkt niebezpieczny, powiedzmy zabawka – trzeba go usunąć, ktoś za to odpowiada itd. Jest to nie tylko producent, ale właśnie też importer czy dystrybutor.  

Jakie obowiązki wynikają z CRA?

No właśnie – usunąć, odpowiadać. Trochę to wyliczmy:
Na początek – coś znanego bywalcom mojego cyklu o RODO , czyli „coś” by design. Tam było to privacy. Czas na security by design. Bezpieczeństwo musi być fundamentem architektury, a nie „nakładką” dodawaną na końcu.
I kończą się wymówki typu „to tylko beta” lub „to MVP”. Każdy produkt komercyjny musi być bezpieczny od pierwszej sekundy na rynku.

Poza tym? Zobowiązanie do:

• Usuwania luk przed premierą
• Zapewnienia wsparcia i łat bezpieczeństwa przez minimum 5 lat 
• Wdrożenia rygorystycznych procedur on-call: wykryty incydent musi trafić do ENISA i CSIRT w ciągu 24 godzin.

Dokumentacja i procedury 

Będzie trochę papierów – jak przy RODO. I na tym nie koniec podobieństw – należałoby uszyć je na miarę dla Twojego kontekstu. Choć po ponad dekadzie w branży wiem, że i wymiany wzorków nie unikniemy.  
Dla porządku – podziel dokumentację na dwa obiegi: poniżej w tabeli są trochę rozpisane. 

Kluczowym elementem są procedury rollbacku – producent musi posiadać technologiczną i prawną możliwość sprawnego wycofania produktu z rynku lub cofnięcia wadliwej aktualizacji, jeśli zagraża ona bezpieczeństwu.

Testy bezpieczeństwa i „udowadnialność”

Najważniejszym słowem w CRA jest właśnie udowadnialność. Samo „zachowanie rozsądku” to za mało. W pewnym sensie brak dowodu na przeprowadzenie testu jest równoznaczny z jego zaniechaniem.  
Czyli musisz być w stanie dowieść przed kontrolą – też przykładowo po roku od zdarzenia – że testy penetracyjne i skanowania faktycznie miały miejsce, a ich wyniki zostały poddane analizie. Jeśli coś jest nieudowadnialne, w świetle CRA po prostu nie zostało zrobione. 
Wiem – wiele osób testuje, pilnuje. Po prostu teraz „tylko” będzie trzeba to wykazać. To przestała być kwestia dobrej woli.  
 

CRA i jeszcze więcej skrótów – VDP i SBOM 

Okej, no to je sobie krótko wyjaśnijmy:

• VDP (Vulnerability Disclosure Policy): oficjalny kanał komunikacji, przez który użytkownicy zgłaszają luki. To „linia alarmowa” producenta. 
• SBOM (Software Bill of Materials): szczegółowy wykaz wszystkich bibliotek i zależności użytych np. w kodzie. SBOM jest niezbędny do monitorowania bezpieczeństwa łańcucha dostaw – pozwala błyskawicznie sprawdzić, czy błąd w zewnętrznej bibliotece nie czyni Twojego produktu podatnym na atak. 

Przyznaj, że w obu przypadkach te dokumenty mają sens. Warto wiedzieć, jakie są „składniki” i którędy alarmować, że coś jest nie tak.

Zanim o karach – jak nie podlegać CRA

Opowiadam o tym CRA już nie od dziś i widzę klasyczny polski scenariusz – tak jak przy EAA czy już wspomnianym RODO. Czyli najwięcej pytań o to, jak nowej regulacji uniknąć.  
Istnieją dwa scenariusze pozwalające uniknąć rygorów rozporządzenia, jednak wymagają one ostrożności. 

• Brak charakteru komercyjnego: projekty czysto hobbystyczne, niegenerujące żadnych przychodów. Ale uwaga – nawet z płatnego wsparcia typu Patronite! 
• Brak istotnych aktualizacji: jeśli produkt jest „zamrożony” i nie otrzymuje nowych funkcji, może uniknąć części obowiązków. Należy jednak pamiętać o długu technologicznym – jeśli produkt jest nadal dostępny na rynku, producent wciąż może odpowiadać za krytyczne luki bezpieczeństwa na podstawie ogólnych przepisów o odpowiedzialności za produkt. 

Patrzę na to realnie i wiem, że nie są to ultraostro określone kryteria. Z tego też powodu nie stawiałbym na nie swojego biznesu. Na Teutatesa, po prostu nie trać energii na obejścia i zużyj ją na wdrożenie tych trzech literek!

Kary z CRA

Może przekonam Cię karami? Sankcje za naruszenie CRA są dotkliwe i nie ograniczają się do sfery finansowej. 

• Kary pieniężne – do 15 milionów euro lub 2,5% całkowitego rocznego obrotu światowego. Bagatela. Ale to nie wszystko.
• Sankcje administracyjne – np. nakaz natychmiastowego wycofania produktu z obrotu. Oraz – co najbardziej bolesne wizerunkowo – obowiązek publicznego poinformowania wszystkich użytkowników o zagrożeniu. I znów – ja tu widzę podobieństwa do regulacji o bezpieczeństwie produktów. 

Podsumujmy te przepisy

Weź do garnka trochę RODO, trochę bezpieczeństwa produktów i dla smaku dopraw regulacjami o cyberbezpieczeństwie – ten pyszny koktajl nazywa się CRA. Pewnie gdy to czytasz, to dla Ciebie oznacza nowe obowiązki. Ale nie zapominajmy o „odbiorcach końcowych”!  
Dla użytkownika końcowego CRA oznacza realny spokój i wiedzę, na czym stoi. Certyfikaty, możliwość porównania „składów”, możliwość zgłaszania wątpliwości i wiedzy, co z tym zgłoszeniem dzieje się dalej.  

💡 Wyobraź sobie firmę produkującą inteligentne żarówki sterowane aplikacją. Po wejściu CRA, firma ta będzie musiała udowodnić, że nikt nie włamie się do Twojej domowej sieci przez ich produkt. Jeśli za dwa lata ktoś odkryje błąd w ich oprogramowaniu, producent będzie miał obowiązek go naprawić i szybko Cię o tym powiadomić. 

Dla biznesu to czas na audyt i profesjonalizację procesów. Pierwsze kroki, które należy podjąć już teraz: 

• Audyt portfolio: sprawdzenie, które produkty podpadają pod definicję z Art. 3. 
• Inwentaryzacja techniczna: stworzenie list SBOM dla kluczowych rozwiązań. 
• Wdrożenie VDP: uruchomienie kanału zgłaszania podatności. 

Zignorowanie CRA to nie tylko ryzyko finansowe, to przede wszystkim ryzyko wykluczenia z europejskiego rynku cyfrowego. Bezpieczeństwo przestaje być opcją – staje się prawem.

 Wolisz posłuchać?

Zobacz nasze wystąpienie z drugim Tomkiem podczas WordUp-u w Gdyni:

Sprawdź więcej wpisów związanych z CRA