Leverer dit selskab produkter med digitale elementer — tænk på en smart termostat, software, der hører til en maskine, eller en app, der kommunikerer med en enhed — så kræver Cyberresilience Act et dossier, der viser, hvordan produktets cybersikkerhed er sikret. Det handler i store træk om en risikovurdering af produktet, teknisk dokumentation af dets funktion og sikkerhed, en oversigt over de brugte softwarekomponenter, en proces for håndtering af sårbarheder, og en overensstemmelseserklæring. Den nøjagtige inddeling og benævnelse findes i den officielle tekst til forordningen; rådfør dig med den eller din tilsynsmyndighed for den præcise udfyldning for dit produkt.
Det, der adskiller dette dossier fra fx et produktsikkerhedsdossier eller et emballagedossier, er, at det ikke er færdigt ved levering. Et produktsikkerhedsdossier beskriver et produkt, som det forlader fabrikken. Cybersikkerhedsdossieeret skal også vise, hvad der sker efter denne levering: hvordan du opdager sårbarheder, hvor hurtigt du udgiver en opdatering, og hvordan du dokumenterer det. Det er den detalje, der betyder mest i denne sammenhæng, og hvor virksomheder, der er vant til engangs-dossier, lettest snubler.
Hvad der typisk står i dossieeret
For de fleste produkter med digitale elementer kommer et cybersikkerhedsdossier ned til en kombination af følgende dele. En risikoanalyse, der beskriver, hvilke cyberrisikoer der knytter sig til produktet, og hvordan de er håndteret. En teknisk oversigt over arkitekturen, herunder hvilken software og hvilke tredjedeltekomponenter, der er i det — ofte kaldet en software bill of materials, en liste over alle softwarekomponenter i produktet. En beskrivelse af den proces, hvormed du opdager, vurderer og afhjælper sårbarheder. Og en erklæring, hvori du angiver, at produktet overholder de gældende krav.
Om dit produkt præcis har brug for disse stykker, og i hvilken form, afhænger af produkttypen og den kategori, det falder ind under. Det er et indholdsmæssigt spørgsmål, der ligger uden for hvad reglia gør; for det er forordningens tekst eller en jurist det rigtige udgangspunkt. En første orientering om, hvilke forpligtelser der kan høre til din type virksomhed, finder du på oversigten over tilsluttede platforme.
Hvorfor opdateringsprocessen fortjener særlig opmærksomhed
Mange af de andre dossier, der hører til en virksomhed, er i det væsentlige et snapshot: du udfylder dem, du opbevarer dem, og du opdaterer dem, hvis noget væsentligt ændres. Cybersikkerhedsdossieeret kræver noget anderledes: en igangværende proces, som du også kan dokumentere. Hvem melder en sårbarhed, inden for hvilken tidsramme vurderes den, og hvordan når en opdatering brugeren? Det er ikke noget, du skriver ned én gang og så lader ligge — det er en del af dossieeret, der udvikler sig, så længe produktet er i brug.
I praksis betyder det, at dossieeret indeholder to slags information: faste stykker, der ændres, når selve produktet ændres, og en igangværende logbog, der vokser med hver opdatering eller melding. Virksomheder, der ikke skelner mellem denne forskel, risikerer, at dossieeret på papir er fuldstændigt, men i praksis ikke viser, hvordan sikkerheden er blevet vedligeholdt efter levering. Om og hvordan det gælder for dit produkt, vurderer du bedst sammen med en jurist eller den instans, der har ansvaret herfor.
Ét dossier, men ikke din eneste forpligtelse
Et produkt med digitale elementer, som du sælger til forbrugere, påvirkes i praksis ofte af mere end blot Cyberresilience Act. De samme oplysninger om produktet — specifikationer, bestemmelsesland, ansvarlig person i din virksomhed — dukker også op i forbindelse med produktsikkerhed, emballage og nogle gange personoplysninger. reglia udfylder ikke selv denne lovgivning, men sikrer, at du udfylder en virksomheds- og produktmappe én gang, og at de platforme, der faktisk håndterer indholdet, læser denne mappe i stedet for, at du skal skrive den ind fire gange. Du kan læse om, hvordan det præcis fungerer, og hvad reglia gør og ikke gør med disse oplysninger, på forklaringen af, hvordan reglia fungerer.
Hvis du vil vide, hvordan oplysninger bliver sikret, og hvem der har adgang til dem, finder du det på siden om sikkerhed og privatlivsbeskyttelse. Det er gratis at oprette en konto, og det forpligter dig til intet; hvad du derefter bruger hos en platform, betaler du der, til det takst, som pågældende platform anvender.
Er du nysgerrig efter, hvilke platforme der er tilknyttet reglia, og hvilken del af din virksomhed hver enkelt påvirker? Se de hyppigst stillede spørgsmål om reglia eller kig på oversigten over tilgængelige løsninger.