Czy ustawa Cyberresilience Act obowiązuje Twoją firmę?
Ustawa Cyberresilience Act to rozporządzenie europejskie, które stawia wymogi dotyczące cyberbezpieczeństwa dla produktów z elementami cyfrowymi: urządzeń i oprogramowania, które mogą łączyć się z siecią lub innym urządzeniem. To, czy rozporządzenie to dotyczy Twojej firmy, zależy przede wszystkim od dwóch pytań: czy sprzedajesz taki produkt i w jakiej roli to robisz — jako producent, importer, dystrybutor lub jako strona, która wprowadza produkt na rynek pod własną marką.
Sklep internetowy, który sprzedaje gotowe produkty bez własnej marki, zwykle pełni rolę dystrybutora z innymi obowiązkami niż producent. Gdy tylko wprowadzisz produkt pod własną marką lub własną etykietą, możesz zostać prawnie uznany za producenta, nawet jeśli sam nic nie produkujesz. Tekst ten nie daje ostatecznej odpowiedzi dla Twojej własnej sytuacji — to należy do prawnika lub do organu nadzoru wyznaczonego dla tego rozporządzenia.
Czego dokładnie chce uregulować rozporządzenie
Ustawa Cyberresilience Act skupia się na cyklu życia produktu: od projektowania i opracowania do aktualizacji po sprzedaży. Idea stojąca za tym jest taka, że produkty z elementami cyfrowymi często zawierają luki w zabezpieczeniach, które ujawniają się dopiero po sprzedaży, i musi być coś, co temu zapobiegnie: bezpieczeństwo uwzględnione z góry i sposób na usuwanie luk w bezpieczeństwie później. Dotyczy to zatem nie tylko techniki produktu, ale także tego, jak długo i w jaki sposób pozostaniesz dostępny dla zgłoszeń i aktualizacji po sprzedaży.
Kiedy to może być istotne dla Twojej firmy
Rdzeń rozporządzenia leży w produktach zawierających oprogramowanie lub mogących łączyć się z Internetem, siecią lub innym urządzeniem. Pomyśl o inteligentnym oświetleniu, kamerach bezpieczeństwa, routerach, czujnikach do zarządzania budynkami lub urządzeniach obsługiwanych za pośrednictwem aplikacji. Firma zajmująca się instalacją, która sprzedaje i instaluje takie urządzenia, sklep internetowy oferujący produkty smart-home pod własną marką lub biuro, które dostarcza urządzenia IoT klientom, może wpaść w zakres stosowania. Firma, która wyłącznie świadczy usługi bez samodzielnego wprowadzania takiego produktu na rynek, zwykle nie powinna zadawać sobie pytań na temat tego rozporządzenia — chociaż pozostaje prawdą, że różni się to w zależności od sytuacji.
Jeśli sprzedajesz produkty pod własną marką
To jest dokładnie punkt, w którym wiele firm MŚP jest dotykanych wbrew ich własnym oczekiwaniom. Sklep internetowy, który zleca produkcję producentowi w Azji i sprzedaje produkt pod własną nazwą marki, jest często traktowany przez stosowne przepisy jako producent, a nie jako pośrednik handlowy. To jest to samo przesunięcie, które następuje w bezpieczeństwie produktów i opakowaniach: rola, którą pełnisz, określa, jakie obowiązki do Ciebie przypadają, i ta rola nie zawsze jest tą, którą byś wybrał. To, czy tak to się rozwiąże dla Cyberresilience Act dla Twojego konkretnego produktu, znajduje się w oficjalnym tekście i u wyznaczonego organu nadzoru.
Dlaczego to rzadko stoi samo
Firma, która podlega temu rozporządzeniu, często podlega też innym regulacjom: bezpieczeństwo produktów w ogólnym sensie, ewentualnie wymogi dostępności, jeśli produkt posiada interfejs użytkownika, i dane osobowe, gdy tylko urządzenie zbiera lub przesyła dane. To jest dokładnie powód, dla którego warto raz przeanalizować, które regulacje dotyczą Twojej firmy, zamiast za każdym razem zaczynać od nowa. Reglia jest powłoką nad platformami, które każdą dziedzinę zawodową obsługują; możesz poprzez przegląd połączonych platform zobaczyć, która platforma zajmuje się którym tematem.
To, co reglia robi i nie robi z danymi, które dla niej wprowadzasz, przeczytasz na stronie dotyczącej jak działa reglia. Gdy już raz wypełnisz dossier firmy, nie musisz powtarzać tego dla każdej platformy, a ty sam pozostajesz w pełni świadomy, które platformy wykorzystują które dane.
Jeśli masz wątpliwości, czy produkt, który sprzedajesz, podlega ustawie Cyberresilience Act, to pytanie, które powinno trafić do prawnika lub do wyznaczonego organu nadzoru. Na stronie zawierającej Najczęściej zadawane pytania znajdziesz więcej wyjaśnień na temat tego, co reglia robi i czego nie robi dla ciebie.
Jeśli chcesz wiedzieć, które platformy są dostępne i jaki temat jest przez nich poruszany, przejdź do utworzenie bezpłatnego konta aby zobaczyć, co jest dostępne dla twojej firmy.