Pokud váš podnik dodává produkty s digitálními prvky — pomysleme si na chytrou termostat, software, který patří k nějakému zařízení, nebo aplikaci, která komunikuje se zařízením — požaduje zákon o kybernetické odolnosti dossier, které ukazuje, jak je zabezpečena kybernetická bezpečnost tohoto produktu. Zhruba řečeno jde o posouzení rizik produktu, technickou dokumentaci o jeho fungování a zabezpečení, přehled používaných softwarových komponent, proces pro řešení zranitelností a prohlášení o shodě. Přesné členění a označení jsou uvedeny v oficiálním textu nařízení; prostudujte si jej, nebo obraťte se na svého regulačního orgánu, abyste znali přesné vyplnění pro váš produkt.
To, co odlišuje toto dossier od např. dossier bezpečnosti produktu nebo dossier obalů, je, že není hotovo v okamžiku dodání. Dossier bezpečnosti produktu popisuje produkt tak, jak opouští továrnu. Dossier kybernetické bezpečnosti musí také ukazovat, co se děje PO dodání: jak zjišťujete zranitelnosti, jak rychle vydáte aktualizaci a jak si to zapisujete. To je detail, který se v tomto tématu nejvíce uplatňuje a kde se firmy zvyklé na jednorázová dossier nejsnáze zakopnou.
Co je v dossier obvykle obsaženo
U většiny produktů s digitálními prvky se dossier kybernetické bezpečnosti týká kombinace následujících komponent. Analýza rizik, která popisuje, jaká kybernetická rizika s produktem souvisejí a jak jsou řešena. Technický přehled architektury, včetně toho, jaký software a jaké komponenty třetích stran jsou obsaženy — často označované jako software bill of materials, seznam všech softwarových komponent v produktu. Popis procesu, kterým zjišťujete, vyhodnocujete a odstraňujete zranitelnosti. A prohlášení, v němž uvádíte, že produkt splňuje platné požadavky.
Zda váš produkt přesně tyto podklady potřebuje a v jaké formě, závisí na typu produktu a kategorii, do které spadá. Jedná se o věcnou otázku, která leží mimo to, co dělá reglia; k tomu je text nařízení nebo právník tím správným místem k připojení. Úvodní orientaci ohledně toho, jaké povinnosti mohou souviset s vaším typem podniku, najdete u na přehled připojených platforem.
Proč si proces aktualizací zaslouží zvláštní pozornost
Mnoho z ostatních dossier, která k podniku patří, je v podstatě snímkem z určitého okamžiku: vyprojektujete je, uchovávate je, a aktualizujete je, když se něco podstatně změní. Dossier kybernetické bezpečnosti vyžaduje něco jiného: probíhající proces, který také můžete prokázat. Kdo nahlásí zranitelnost, v jaké lhůtě se vyhodnotí, a jak se aktualizace dostane k uživateli? To není něco, co byste si jednou zapsali a pak nechali být — je to součást dossier, která se neustále vyvíjí, dokud se produkt používá.
V praxi to znamená, že dossier obsahuje dva druhy informací: stálé podklady, které se mění, když se změní samotný produkt, a průběžný protokol, který se rozrůstá s každou aktualizací nebo hlášením. Firmy, které toto rozlišení neuvádějí, riskují, že je dossier na papíře kompletní, ale v praxi neukazuje, jak byla bezpečnost po dodání udržována. Zda a jak se to na váš produkt vztahuje, nejlépe posoudíte spolu s právníkem nebo institucí, která o tom rozhoduje.
Jedno dossier, ale ne jediná vaše povinnost
Produkt s digitálními prvky, který prodáváte spotřebitelům, se v praxi často dotýká více než pouze Zákona o kybernetické odolnosti. Stejné údaje o produktu — specifikace, země určení, odpovídající osoba v rámci vaší společnosti — se objevují také u bezpečnosti produktů, u obalů a někdy u osobních údajů. Reglia sama tuto legislativu nevyplňuje, ale zajišťuje, že si jednou vyplníte firemní a produktové dossier a že platformy, které se tímto obsahem skutečně zabývají, si toto dossier přečtou, místo aby jste jej čtyřikrát překlepávali. Jak přesně to funguje a co reglia s těmito údaji dělá a nedělá, si můžete přečíst na vysvětlení fungování reglia.
Kdo chce vědět, jak jsou údaje přitom zabezpečeny a kdo k nim má přístup, to najde na stránce o bezpečnosti a ochraně osobních údajů. Vytvoření účtu je zdarma a zavazuje vás k ničemu; to, co následně u platformy používáte, platíte tam podle sazby, kterou daná platforma používá.
Zajímá vás, které platformy jsou připojeny k reglia a jakou část vaší společnosti každá z nich zasahuje? Podívejte se na nejčastější dotazy na reglia nebo se podívejte na přehled dostupných řešení.