Cyber Resilience Act: nová pravidla pro bezpečný software a digitální produkty

Pro firmy, které vyvíjejí software, provozují digitální produkty nebo je dodávají zákazníkům, jde o zásadní změnu. CRA totiž říká jednoduchou věc: digitální produkt uvedený na evropský trh má být od začátku navržený tak, aby byl kyberneticky bezpečný.

Nejde jen o velké korporace nebo kritickou infrastrukturu. Regulace může dopadnout i na běžné mobilní aplikace, webové platformy, SaaS produkty, chytré spotřebiče, IoT zařízení, firemní software nebo zakázkově vyvíjené systémy. Pokud produkt obsahuje digitální prvek a je dostupný na trhu EU, je potřeba se CRA zabývat.

Co je hlavní změna?

Doteď se kybernetická bezpečnost často řešila hlavně na úrovni firmy, procesů a provozu. CRA přenáší důraz přímo na produkt. Nestačí tedy mít bezpečnostní politiku někde v dokumentaci. Důležité je, aby samotný software nebo zařízení bylo navržené, vyvíjené a udržované bezpečně.

Výrobce nebo dodavatel bude muset vědět, z čeho se jeho produkt skládá. Jaké knihovny používá. Jaké externí služby jsou napojené. Jak se řeší zranitelnosti. Kdo odpovídá za aktualizace. Co se stane, když se objeví bezpečnostní chyba.

To je v praxi velké téma hlavně u softwaru. Moderní aplikace často stojí na desítkách až stovkách komponent, frameworků, open source knihoven a cloudových služeb. CRA počítá s tím, že firma bude mít nad těmito částmi přehled. Mluví se o takzvaném softwarovém kusovníku, tedy seznamu komponent, ze kterých je produkt složený.

Kdy začne CRA platit?

Nařízení už je schválené, ale jeho účinnost je rozdělená do více kroků. Plné požadavky dopadnou hlavně na produkty uvedené na trh po 11. prosinci 2027.

To ale neznamená, že je čas čekat. Už dříve začnou platit povinnosti spojené s hlášením zranitelností a závažných bezpečnostních incidentů. Firmy proto budou muset mít nastavené procesy pro monitoring, vyhodnocování rizik, řešení incidentů a komunikaci s příslušnými autoritami.

Jinými slovy: kdo začne řešit CRA až na konci roku 2027, bude pravděpodobně pozdě.

Proč by to firmy měly řešit už teď?

Protože bezpečnost produktu se nedá jednoduše „dolepit“ na konci vývoje. Pokud má být software v souladu s CRA, musí se s bezpečností počítat už při návrhu architektury, výběru technologií, práci s dodavateli i při nastavení vývojového procesu.

Firmy by si měly už teď položit několik základních otázek:

• Dodáváme na trh software nebo digitální produkt?
• Jsme jeho výrobce, dodavatel, distributor, nebo jen integrátor?
• Jaké komponenty a knihovny náš produkt používá?
• Máme proces pro řešení bezpečnostních zranitelností?
• Víme, kdo odpovídá za aktualizace a opravy?
• Umíme doložit, že produkt vyvíjíme bezpečně?

Právě tyto otázky budou v příštích letech stále důležitější. Nejen kvůli regulaci, ale i kvůli důvěře zákazníků.

Co si z toho odnést?

CRA není jen další právní povinnost. Je to jasný signál, že bezpečnost softwaru se stává standardní součástí kvality produktu. Stejně jako se u fyzických výrobků očekává, že neohrozí zdraví uživatele, bude se u digitálních produktů očekávat, že neohrozí jeho data, soukromí ani provoz.

Pro nás v Railsformers je to téma, které dává smysl. Bezpečný vývoj, přehled nad komponentami, práce se zranitelnostmi a odpovědná architektura nejsou jednorázový checklist. Jsou to návyky, které musí být součástí celého životního cyklu softwaru.

A právě tam bude CRA nejvíc bolet ty, kteří bezpečnost dlouhodobě odkládali.