Ha a vállalata digitális elemeket tartalmazó termékeket szállít — például egy intelligens termosztátot, egy géphez tartozó szoftvert, vagy egy eszközzel kommunikáló alkalmazást — akkor a Cyberresilience Act egy olyan dossié megadását írja elő, amely azt mutatja, hogy a termék kibervédelme hogyan biztosított. Nagyvonalakban egy kockázatértékelésről szól a termékhez, műszaki dokumentációról a működéséről és védelmérről, a felhasznált szoftverkomponensek áttekintéséről, a sebezhetőségek kezeléséről szóló folyamatról, és a megfelelőségi nyilatkozatról. A pontos tagolást és elnevezéseket a rendelet hivatalos szövege tartalmazza; tanulmányozza azt, vagy konzultáljon a felügyeleti hatóságával a termékre vonatkozó pontos kitöltéshez.
Azt, ami ezt a dossié-t megkülönbözteti például egy termék biztonsági dossié-tól vagy egy csomagolási dossié-tól, az az, hogy nem a szállításnál lesz kész. Egy termék biztonsági dossié-ja egy olyan terméket ír le, amely meghagyta az ajtót. A kibervédelmi dossié-nak azt is meg kell mutatnia, hogy mi történik az adott szállítás után: hogyan fedezi fel a sebezhetőségeket, milyen gyorsan ad ki frissítést, és hogyan dokumentálja azt. Ez az a részlet, amely ebben a témában a legtöbbet játszik, és ahol a szokásos egyszeri dossié-khoz szokott vállalatok a legkönnyebben megbotlanak.
Mit tartalmaz általában a dossié
A legtöbb digitális elemeket tartalmazó termék esetében egy kibervédelmi dossié a következő komponensek kombinációjára vezethető vissza. Egy kockázatelemzés, amely leírja, hogy milyen kiberveszélyek tartoznak a termékhez és azok hogyan vannak kezelve. A architektúra műszaki áttekintése, beleértve azt, hogy milyen szoftver és harmadik fél mely összetevői találhatók meg benne — gyakran szoftverlistának vagy az összes szoftverkomponens listájának nevezik a termékben. A folyamat leírása, amellyel felfedezi, értékeli és orvosolja a sebezhetőségeket. És egy nyilatkozat, amelyben jelzi, hogy a termék megfelel az érvényes követelményeknek.
Hogy a termék pontosan ezeket a darabokat igényli-e, és milyen formában, függ a termék típusától és az általa besorolt kategóriától. Ez egy szakterületi kérdés, amely kívül esik reglia tevékenységén; erre a rendelet szövege vagy egy jogász a megfelelő kiindulópont. Az első tájékozódás az Ön vállalattípusához tartozó lehetséges kötelezettségekről itt található: az összekapcsolt platformok áttekintését.
Miért érdemel az frissítési folyamat külön figyelmet
A vállalat számos egyéb dossié-ja lényegében egy pillanatkép: kitöltik, megőrzik, és frissítik, ha valami lényeges megváltozik. A kibervédelmi dossié azonban valami mást kér: egy folyamatot, amelyet be is tud bizonyítani. Ki jelenti be a sebezhetőséget, milyen határidőn belül kerül sor az értékelésre, és hogyan jut el egy frissítés a felhasználóhoz? Ez nem az a fajta, amit egyszer leír és utána elhagyja — ez a dossié-nak egy olyan része, amely addig mozog, amíg a termék használatban van.
A gyakorlatban ez azt jelenti, hogy a dossié két típusú információt tartalmaz: olyan rögzített darabokat, amelyek megváltoznak, ha maga a termék is megváltozik, és egy folyamatos naplót, amely minden frissítéssel vagy bejelentéssel növekszik. Azok a vállalatok, amelyek nem tesznek különbséget ezek között, abban a veszélyben vannak, hogy a dossié papíron teljes, de a gyakorlatban nem mutatja meg, hogy a biztonság szállítás után hogyan lett fenntartva. Hogy és hogyan vonatkozik ez a termékre, legjobb, ha egy ügyvéddel vagy a releváns hatósággal közösen dönt.
Egy dossié, de nem az egyetlen kötelezettség
Az Ön által fogyasztóknak értékesített digitális elemeket tartalmazó termék a gyakorlatban gyakran nem csak a Cyberresilience Act alá tartozik. Ugyanezek a termékinformációk — műszaki adatok, célország, a vállalat felelőse — megjelennek a termékvédelemnél, a csomagolásnál és időnként az személyes adatok kezelésénél is. A reglia nem a szabályozást tölti ki, hanem gondoskodik arról, hogy egyszer töltse ki az üzleti és termékdosszié adatait, és a platformok, amelyek ezekről ténylegesen szólnak, olvassák ezt a dosszié helyett annak négyszer való újragépelésének. Hogy ez pontosan hogyan működik, és a reglia mit tesz és mit nem tesz ezekkel az adatokkal, elolvasható itt: reglia működésével kapcsolatos magyarázat.
Aki tudni szeretné, hogyan védik ezeket az adatokat, és ki fér hozzájuk, azt megtalálja itt: a biztonság és az adatvédelem oldalárólAz account létrehozása ingyenes és semmire nem kötelez; amit ezt követően egy platformnál használ, ott fizet érte az adott platform díjtarifa szerint.
Kíváncsi, mely platformok vannak csatlakoztatva a regliához, és ezen platformok közül melyik érinti vállalatának mely részlegét? Nézze meg reglia leggyakoribb kérdéseiről vagy jelenítse meg az elérhető megoldások áttekintésének listáját.