Jos yrityksenne toimittaa tuotteita, joissa on digitaalisia elementtejä — esimerkiksi älythermostaatti, ohjelmisto, joka liittyy koneeseen, tai sovellus, joka kommunikoi laitteen kanssa — Cyberresilience Act edellyttää odottamusta, joka osoittaa, kuinka kyseisen tuotteen kyberturvallisuus on varmistettu. Pääpiirteissään kyse on tuotteen riskinarviosta, teknisestä dokumentaatiosta sen toiminnasta ja turvallisuudesta, yhteenveto käytetyistä ohjelmistokomponenteista, prosessista haavoittuvuuksien käsittelemiseksi ja vaatimustenmukaisuusvakuutuksesta. Tarkkaa jakoa ja nimityksiä koskevat määräykset ovat asetuksen virallisessa tekstissä; tutkikaa sitä tai ottakaa yhteyttä valvontaviranomaiseenne saadaksenne tarkat ohjeet tuotteellenne.
Tämä dossier eroaa esimerkiksi tuoteturvallisuusdossiereista tai pakkausdossiereista siinä, että se ei ole valmis toimittamisen yhteydessä. Tuoteturvallisuusdossieri kuvailee tuotteen sellaisena kuin se lähtee varastosta. Kyberturvallisuusdossieri sen sijaan on osoitettava, mitä tapahtuu sen jälkeen: kuinka tunnistatte haavoittuvuudet, kuinka nopeasti julkaisette päivityksen ja kuinka dokumentoitte sen. Se on yksityiskohta, joka tässä aiheessa vaikuttaa eniten, ja se, jossa yrityksille, jotka ovat tottuneet kertakertaisiin dossiereiseihin, on helpoimmin kaatua.
Mitä dossieri tavallisesti sisältää
Useimpiin digitaalisia elementtejä sisältäviin tuotteisiin kyberturvallisuusdossieri merkitsee seuraavien osien yhdistelmää. Riskianalyysi, joka kuvaa tuotteeseen liittyviä kybervaaroja ja niiden hallintaa. Tekninen katsaus arkkitehtuuriin, mukaan lukien mitä ohjelmistoa ja kolmansien osapuolten komponentteja siinä on — usein kutsutaan ohjelmiston materiaaliluetteloksi, luettelo kaikista tuotteen ohjelmistokomponenteista. Kuvaus prosessista, jolla löydätte, arviotte ja korjaatte haavoittuvuuksia. Ja vakuutus, jossa ilmoitatte tuotteen olevan voimassa olevien vaatimusten mukainen.
Se, tarvitseeko tuotteellanne juuri nämä asiakirjat ja missä muodossa, riippuu tuotteen tyypistä ja siitä, mihin kategoriaan se kuuluu. Tämä on sisällöllinen kysymys, joka jää reglia-alueemme ulkopuolelle; siihen oikean ohjauspistan antavat asetuksen teksti tai lakimies. Ensimmäisen suuntaviivojen siitä, mitkä velvoitteet saattavat liittyä yritystyyppinne, löydätte osoitteesta liitettyjen alustojen yhteenvetoon.
Miksi päivitysprosessi vaatii erityistä huomiota
Monet muista yritykseen kuuluvista dossiereista ovat pohjimmiltaan tilannekuvia: täytätte ne, säilytätte ne ja päivitätte ne, kun jotakin olennaista muuttuu. Kyberturvallisuusdossieri pyytää jotain muuta: jatkuvaa prosessia, jonka voit myös osoittaa. Kuka ilmoittaa haavoittuvuudesta, kuinka nopeasti se arvioidaan ja kuinka päivitys saavuttaa käyttäjän? Se ei ole jotain, jonka kirjoitatte kerran ja sitten jätätte pois — se on osa dossieria, joka jatkaa liikkumista niin kauan kuin tuote on käytössä.
Käytännössä tämä tarkoittaa, että dossieri sisältää kahdenlaista tietoa: kiinteitä osia, jotka muuttuvat tuotteen itsensä muuttuessa, ja jatkuvaa päiväkirjaa, joka kasvaa jokaisen päivityksen tai ilmoituksen myötä. Yritykset, jotka eivät tee tätä erottelua, ottavat riskin, että dossieri on paperilla täydellinen mutta käytännössä ei osoita, kuinka turvallisuus on ylläpidetty toimittamisen jälkeen. Katsotte parhaiten arvioidessanne yhdessä lakimiehen tai asiasta vastaavan viranomaisen kanssa, missä määrin tämä koskee tuotettanne.
Yksi dossieri, mutta ei ainoa velvollisuutenne
Digitaalisia elementtejä sisältävä tuote, jonka myyt kuluttajille, koskettaa käytännössä usein paljon muuta kuin vain kyberresilienssilakia. Samat tuotetiedot — tekniset tiedot, määräpaikka, yrityksessä vastuussa oleva henkilö — tulevat esiin myös tuoteturvallisuudessa, pakkauksissa ja joskus henkilötiedoissa. Reglia ei täytä sitä sääntelyä itse, vaan huolehtii siitä, että täytät liiketoiminta- ja tuotedossier yhteen kertaan ja että palvelut, jotka käsittelevät asiaa sisällöllisesti, lukevat kyseisen dossier sen sijaan, että kirjoittaisit sen neljä kertaa uudelleen. Miten tämä tarkalleen ottaen toimii ja mitä reglia tekee ja ei tee näiden tietojen kanssa, luet osoitteessa selitys reglia-järjestelmän toiminnasta.
Jos haluat tietää, miten tietoja suojataan ja kenellä on niihin pääsy, löydät tiedot osoitteesta sivulla tietosuojasta ja turvallisuudesta. Tilin luominen on ilmaista eikä sitä velvoita mihinkään; mitä käytät sitten jonkin palvelun kanssa, maksat sen palvelussa sen hinnoittelun mukaan.
Oletko utelias, mitkä palvelut ovat liittyneet regliaan ja miten kukin niistä koskettaa yrityksen eri osia? Katso reglia:n usein kysyttyjen kysymysten kautta tai tutustu saatavilla olevien ratkaisujen yleiskatsaukseen.