Så här fungerar cyberresiliensförordningen

Vi blir alltmer beroende av uppkopplade produkter i vardagen. Mobiler, smarta klockor och hushållsapparater är några vanliga exempel. Samtidigt brister cybersäkerheten hos många produkter som säljs. Det kan handla om svaga standardlösenord, avsaknad av datakryptering och krångliga säkerhetsåtgärder, vilket gör dem till lätta mål för cyberangrepp.

Användarna är ofta inte medvetna om riskerna och kan därför inte skydda sig. Genom att tillverkare tar ansvar för att utforma produkter som är mer cybersäkra blir det enklare för användare att hålla sina produkter säkra genom hela livscykeln.

När tillverkare informerar om hur säkra deras produkter är mot cyberangrepp kan konsumenter fatta mer välgrundade beslut. Förutom att jämföra pris och funktion kan konsumenter även jämföra hur cybersäker en produkt är. Det är viktigt att veta hur länge tillverkaren erbjuder support på en produkt för att kunna använda den på ett säkert sätt.

Reglerna gäller alla produkter med digitala element som kan anslutas till en enhet eller ett nätverk. Från billiga konsumentvaror till programvara som används för handel mellan företag och avancerade komplexa industrisystem. Exempelvis:

• hårdvara med kopplade funktioner som smarta telefoner, laptops, kamerabevakning i hemmet, uppkopplade leksaker, modem, brandväggar och mätare för el- och vattenförbrukning.
• programvara som inte ingår i en produkt och säljs fristående, som bokföringsprogram, onlinespel och mobilappar.

• icke-kommersiell programvara med öppen källkod (open source).
• reservdelar för att ersätta identiska komponenter i uppkopplade produkter, under förutsättning att de framställts på samma sätt som originalet.
• prototyper som presenteras på mässor (under vissa villkor).
• programvara som används för testverksamhet under en begränsad period (under vissa villkor).
• molntjänster och programvara som levereras som en tjänst via internet (software as a service) om de inte tillhandahåller fjärrdatabehandling (molntjänstleverantörer regleras enligt cybersäkerhetslagen).
• produkter som utvecklats eller modifierats för nationella säkerhets- eller försvarssyften, eller är specifikt utformade för att bearbeta hemligstämplad information.
• produkter som omfattas av specifika EU-regler, som medicinsk utrustning, motorfordon, marin utrustning och produkter för civil luftfart.

De kompletterar varandra. Medan cybersäkerhetslagen handlar om säkerhet i nätverk och informationssystem handlar CRA om säkerhet i produkter med digitala element, inklusive lösningar för fjärrdatabehandling.

En medelstor molntjänstleverantör som tillhandahåller programvara med möjlighet till fjärrdatabehandling (enligt CRA:s definition) omfattas dels av cybersäkerhetslagen i egenskap av organisation/verksamhetsutövare, dels av CRA i och med att programvaran räknas som en produkt med digitala element.

Alla tillverkare som säljer sina produkter på den europeiska marknaden måste följa CRA. Detta gäller även om de är baserade utanför EU. Exempelvis omfattas en amerikansk tillverkare som säljer en mobilapplikation på europeiska telefoner, och en kinesisk tillverkare som säljer solpaneler i Sverige.

Det innebär att tillverkare ska göra en riskanalys för att se till att deras produkt uppfyller EU:s regler innan den släpps på marknaden. För att säkerställa att produkter är säkra så länge som de används ska tillverkare dessutom rapportera sårbarheter och incidenter.

CRA innehåller också bestämmelser som påverkar andra aktörer; importörer, distributörer, förvaltare av öppen källkod (som stiftelser), organ som övervakar regelefterlevnad och statliga myndigheter med ansvar för nationell cybersäkerhet och tillsyn.

CRA sätter en miniminivå för alla uppkopplade produkter som säljs inom EU, vilket innebär att cybersäkerhet ska vara en självklar del när en ny produkt utformas.

• Uppkopplade produkter måste utvecklas utifrån ett cybersäkerhetstänk genom att säkerställa att data som lagras eller överförs ska vara krypterad och attackytan ska i möjligaste mån begränsas. Detta kallas cybersecurity by design.
• Standardinställningarna i uppkopplade produkter ska bidra till att minska sårbarheter. Svaga lösenord förbjuds och installation av säkerhetsuppdateringar ska ske automatiskt. Detta kallas cybersecurity by default.
• Tillverkare måste tydligt ange hur länge de tillhandahåller säkerhetsuppdateringar för produkter. Informationen ska antingen finnas på förpackningen eller vara enkel att hitta på företagets webbplats.
• Tillverkare måste rapportera alla sårbarheter som aktivt utnyttjas samt allvarliga incidenter som påverkar säkerheten hos uppkopplade produkter inom 72 timmar (och förvarna inom 24 timmar). EU:s cybersäkerhetsbyrå Enisa har utvecklat en gemensam plattform för anmälan som ska underlätta ett säkert, effektivt utbyte av information om sårbarheter och säkerhetsåtgärder mellan europeiska CSIRT-team (Computer Security Incident Response Teams).

CRA innehåller cybersäkerhetskrav för alla uppkopplade produkter, oavsett vad de kostar och vem som använder dem. Kravet på tillverkare att rapportera sårbarheter och informera om hur länge företaget uppdaterar och åtgärdar säkerhetsbrister omfattar också alla slags produkter.

Däremot är kraven på efterlevnad tuffare för kritiska produkter som bedöms vara känsliga ur ett cybersäkerhetsperspektiv. Det kan handla om lösenordshanterare, brandväggar, smarta kort och mätare. Då krävs ett cybersäkerhetscertifikat utfärdat av EU, eller motsvarande nationellt intyg som är i linje med CRA (se Annex III och IV i förordningen).

CRA omfattar inte ickekommersiell programvara med öppen källkod som kan laddas ner kostnadsfritt. Skälet är att ett lagkrav skulle riskera att underminera utvecklingsprojekt som bygger på frivilliga insatser. 

Programvara med öppen källkod som distribueras kommersiellt och kan användas i stor skala av individer och organisationer över hela världen ska däremot behandlas på samma sätt som kommersiell programvara med sluten källkod och omfattas av CRA.

För förvaltare av kommersiell öppen källkodsprogramvara gäller särskilda regler. Eftersom de inte kan hållas ansvariga för det arbete som individuella utvecklare gjort undantas de från bedömning av regelefterlevnad enligt CRA. Men de måste ha en dokumenterad cybersäkerhetspolicy samt rapportera allvarliga incidenter och sårbarheter. De uppmanas även att delta i frivilliga säkerhetscertifieringsprogram.

CRA innehåller flera bestämmelser som ska minska regelbördan för små och medelstora företag så att de inte missgynnas. Bland annat får de använda ett förenklat format för att utfärda teknisk dokumentation för sina produkter. Marknadskontrollrådet ska också ta hänsyn till företagets storlek när de bedömer om en produkt uppfyller lagkraven och fattar beslut om avgiften för certifiering.

Nationella myndigheter har en nyckelroll när det gäller stöd för små tillverkare. Medan EU-kommissionen ger vägledning till små och medelstora företag, ska varje medlemsland erbjuda rådgivning för mikro- och små företag om hur CRA ska genomföras.