Gælder Cyberresilience Act også for din virksomhed?
Cyberresilience Act er en europæisk forordning, som stiller cybersecurity-krav til produkter med digitale elementer: apparater og software, som kan forbinde sig til et netværk eller et andet apparat. Om forordningen berører virksomheden afhænger primært af to spørgsmål: sælger du sådan et produkt, og i hvilken rolle gør du det — som fabrikant, importør, distributør eller som part, der bringer et produkt under eget mærke på markedet.
En webshop, som videresælger færdigfremstillede produkter uden eget mærke, sidder normalt i rollen som distributør med andre forpligtelser end en fabrikant. Så snart du lader en producent fremstille et produkt under dit eget mærke eller eget label, kan du juridisk blive betragtet som fabrikant, selv hvis du ikke selv producerer noget. Denne tekst giver ikke et endeligt svar på din egen situation — det hører til en jurist eller til det tilsynsorgan, som er udpeget for denne forordning.
Hvad forordningen præcis sigter mod at regulere
Cyberresilience Act retter sig mod et produkts livscyklus: fra design og udvikling til opdateringer efter salget. Tanken bag det er, at produkter med digitale elementer ofte indeholder sårbarheder, som først bliver synlige efter salget, og at der skal være noget til gengæld: sikkerhed, som er indarbejdet på forhånd, og en måde at udbedre sårbarheder senere. Det påvirker således ikke blot et produkts teknik, men også hvor længe og hvordan du forbliver tilgængelig efter salget for rapportering og opdateringer.
Hvornår det kan være relevant for virksomheden
Kernen i forordningen ligger ved produkter, som indeholder software eller kan forbinde sig til internettet, et netværk eller et andet apparat. Tænk på intelligent belysning, overvågningskameraer, routere, sensorer til bygningsstyring eller udstyr, som betjenes via en app. En installatørvirksomhed, som sælger og installerer sådan udstyr, en webshop, som fører smart-home-produkter under eget mærke, eller et kontor, som leverer IoT-udstyr til kunder, kan falde inden for anvendelsesområdet. En virksomhed, som udelukkende leverer tjenesteydelser uden selv at bringe sådan et produkt på markedet, behøver normalt ikke at stille sig selv spørgsmål om denne forordning — selv om det stadig gælder, at det varierer fra situation til situation.
Hvis du sælger produkter under eget mærke
Dette er præcis det punkt, hvor mange SMV-virksomheder mod deres egne forventninger alligevel bliver berørt. En webshop, som lader en producent i Asien fremstille et produkt og sælger produktet under sit eget mærkenavn, behandles for den applicable regulering ofte som fabrikant, ikke som videresælger. Det er den samme forskydning, som opstår inden for produktsikkerhed og emballage: den rolle, du påtager dig, bestemmer, hvilke forpligtelser der hører til dig, og den rolle er ikke altid den, som du selv ville vælge. Om det også slår ud sådan for Cyberresilience Act for dit specifikke produkt, står i den officielle tekst og hos det udpegede tilsynsorgan.
Hvorfor dette sjældent står alene
En virksomhed, som falder under denne forordning, falder ofte også under anden regulering: produktsikkerhed i almindelig forstand, muligvis tilgængelighedskrav hvis produktet har en brugergrænseflade, og personoplysninger så snart apparatet indsamler eller videresender data. Det er præcis grunden til, at det er nyttigt at kortlægge én gang, hvilken regulering der gælder for virksomheden, i stedet for at starte forfra ved hvert spørgsmål. reglia er skallen over de koblinger, som hver fagdisciplin behandler indholdsligt; du kan via et overblik over de tilsluttede koblinger se hvilket platform der beskæftiger sig med hvilket emne.
Hvad reglia selv gør og ikke gør med de data, som du udfylder hertil, læser du på siden om hvordan reglia fungerer. Når du først har udfyldt en virksomhedsdossier, behøver du ikke at gøre det igen for hver platform, og du bevarer selv overblikket over, hvilke data hver platform bruger.
Hvis du er usikker på, om et produkt, som du sælger, falder ind under Cyberresilience Act, er det et spørgsmål, der hører hjemme hos en jurist eller hos den tilsynsmyndighed, der er udpeget herfor. På siden med ofte stillede spørgsmål finder du mere forklaring på, hvad reglia gør og ikke gør for dig.
Hvis du gerne vil vide, hvilke platforme der findes, og hvilket emne der behandles dermed, kan du roligt læse videre ved oprettelse af en gratis konto for at se, hvad der er tilgængeligt for din virksomhed.