Že velja
RED / EN 18031
Od 1. avgusta 2025 radijskega izdelka, ki se lahko poveže z internetom, ni mogoče označiti z oznako CE za EU brez izpolnjevanja bistvenih kibernetskovarnostnih zahtev. To je pravilo, ki že učinkuje, dve leti pred CRA.
Kaj šteje za radijsko opremo
Precej več, kot ljudje pričakujejo. Vse, kar oddaja ali sprejema radijski signal in se lahko poveže z internetom, neposredno ali prek česa drugega: brezžične kamere, čitalniki za kontrolo pristopa, industrijski senzorji, droni, nosljive naprave, pametni števci, povezani medicinski izdelki in igrače. Če ima vgrajen Wi-Fi, Bluetooth, LTE ali LoRa in doseže omrežje, delegirani akt velja. Trije deli EN 18031 naslavljajo tri različne skrbi in izdelek je lahko zajet z enim delom, z drugim pa ne.
Trije deli EN 18031
- Del 1 — zaščita omrežja: izdelek ne sme biti pot v omrežje
- Del 2 — osebni podatki in zasebnost, za izdelke, ki jih obdelujejo
- Del 3 — zaščita pred goljufijami, za izdelke, ki upravljajo z denarjem ali kriptovalutami
Kaj ocena dejansko išče
- Brez skupnih ali privzetih poverilnic v celotni proizvodni seriji
- Varen mehanizem posodabljanja s podpisi, ki se dejansko preverjajo
- Šifrirana komunikacija in preverjanje potrdil, ki ni izklopljeno
- Zaprti razhroščevalni in servisni vmesniki v proizvodni različici
- Skrivnosti, ki jih ni mogoče prebrati s pomnilnika s programatorjem in enim popoldnevom
DATUMI
Kje to stoji danes
-
Sprejeta delegirana uredba (EU) 2022/30
-
Sprejeti harmonizirani standardi EN 18031
-
Kibernetskovarnostne zahteve začnejo veljati za nove izdelke
-
CRA se začne v celoti uporabljati in prevzame
Kaj glede tega storiti
- Odločiti, kateri deli EN 18031 veljajo — za vsak izdelek, ne za celoten katalog
- Testirati po standardu pred priglašenim organom, ne za njim
- Ugotovitve odpraviti v strojni programski opremi, kjer je poceni, in ne z odpoklicem
- Dokazila prenesti naprej — CRA bo zahteval isto in še več
- Ista vprašanja postaviti tudi kupljenim modulom: njihova šibkost postane vaša
Koliko stane, če ni urejeno
Tu ni globe v odstotku prometa. Sankcija je dostop do trga: organ za nadzor trga lahko zahteva uskladitev izdelka, omeji njegovo prodajo, odredi umik ali odpoklic, oznake CE pa brez ocene ni dopustno namestiti. Za proizvajalca je to hujši izid od globe, saj pride, ko so zaloge že izdelane.
KAJ NAREDIMO
Storitve, ki to vrzel zaprejo
Ne cel katalog — to so tiste, ki se ujemajo z zgornjimi obveznostmi. Če je kaj od tega že pokrito interno, povejte in obseg prilagodimo.
Penetracijski testi
Pravi napad, ki ga izvedejo ljudje s takšno kilometrino, s poročilom, po katerem lahko vaši inženirji ukrepajo in ki ga presojevalec sprejme.
Več VMUpravljanje ranljivosti
Nenehno odkrivanje, razvrščeno po tem, kaj je resnično dosegljivo in se resnično zlorablja — ne po orodju, ki vaši ekipi zvrne deset tisoč ugotovitev.
Več IoT / OTVarnost IoT in OT
Kamere, krmilniki in stroji, ki so bili dobavljeni brez varnosti in jih ni mogoče krpati. Ločimo jih v segmente, jih nadzorujemo in jim preprečimo klice v svet.
VečNiste prepričani, ali RED / EN 18031 velja za vas?
Povejte nam panogo, število zaposlenih in kaj prodajate. Povemo vam, kateri režimi vas zavezujejo in katere so prve tri stvari, ki jih je treba storiti — pisno in brezplačno, saj se pri polovici tistih, ki vprašajo, izkaže, da niso zavezanci, in to raje povemo.