Jeśli Twoja firma dostarcza produkty z elementami cyfrowymi — takie jak inteligentny termostat, oprogramowanie dołączane do maszyny lub aplikacja komunikująca się z urządzeniem — Cyberresilience Act wymaga dossier pokazującego, w jaki sposób zapewniono cyberbezpieczeństwo tego produktu. W dużych zarysach chodzi o ocenę ryzyka produktu, dokumentację techniczną dotyczącą jego działania i bezpieczeństwa, przegląd używanych komponentów oprogramowania, proces obsługi luk w zabezpieczeniach oraz deklarację zgodności. Dokładny układ i nazwy znajdują się w oficjalnym tekście rozporządzenia; zapoznaj się z nim lub skonsultuj się z organem nadzoru, aby uzyskać dokładne wskazówki dotyczące Twojego produktu.
To, co wyróżnia to dossier od na przykład dossier bezpieczeństwa produktu czy dossier opakowań, to fakt, że nie jest ono gotowe w momencie dostarczenia. Dossier bezpieczeństwa produktu opisuje produkt takim, jakim opuszcza fabrykę. Dossier cyberbezpieczeństwa musi również pokazywać, co się dzieje po dostarczeniu: jak wykrywasz luki, jak szybko wydajesz aktualizację i jak to dokumentujesz. To jest szczegół, który ma tu największe znaczenie i gdzie firmy przyzwyczajone do jednorazowych dossier najłatwiej się potykają.
Co zwykle zawiera dossier
W przypadku większości produktów z elementami cyfrowymi dossier cyberbezpieczeństwa sprowadza się do kombinacji następujących elementów. Analiza ryzyka opisująca zagrożenia cybernetyczne związane z produktem i sposób ich rozwiązania. Przegląd techniczny architektury, w tym tego, jakie oprogramowanie i które komponenty trzecie zawiera — często określany jako software bill of materials, lista wszystkich komponentów oprogramowania w produkcie. Opis procesu, w jaki sposób odkrywasz, oceniasz i naprawiasz luki w zabezpieczeniach. Oraz oświadczenie, w którym potwierdzasz, że produkt spełnia obowiązujące wymagania.
Czy Twój produkt potrzebuje dokładnie tych dokumentów i w jakiej formie, zależy od typu produktu i kategorii, do której należy. To pytanie merytoryczne, które wykracza poza to, co reglia robi; do tego tekst rozporządzenia lub prawnik to właściwe źródło informacji. Wstępną orientację dotyczącą tego, jakie obowiązki mogą wiązać się z Twoim typem firmy, znajdziesz na stronie przeglądem połączonych platform.
Dlaczego proces aktualizacji zasługuje na osobną uwagę
Wiele innych dossier, które znajdują się w firmie, jest zasadniczo migawką: wypełniasz je, przechowujesz, i aktualizujesz, gdy coś istotnie się zmienia. Dossier cyberbezpieczeństwa wymaga czegoś innego: bieżący proces, który możesz również udowodnić. Kto zgłasza lukę, w jakim czasem zostaje oceniona, i jak aktualizacja dociera do użytkownika? To nie jest coś, co napiszesz raz i zostawisz — to element dossier, który zmienia się, dopóki produkt jest w użyciu.
W praktyce oznacza to, że dossier zawiera dwa rodzaje informacji: części stałe, które zmieniają się, gdy zmienia się sam produkt, oraz bieżący dziennik, który rośnie z każdą aktualizacją lub zgłoszeniem. Firmy, które nie robią tego rozróżnienia, ryzykują, że dossier na papierze jest kompletne, ale w praktyce nie pokazuje, w jaki sposób bezpieczeństwo było utrzymywane po dostarczeniu. To, czy i jak mają to zastosowanie do Twojego produktu, najlepiej ocenić wspólnie z prawnikiem lub organem zajmującym się tą kwestią.
Jedno dossier, ale nie Twój jedyny obowiązek
Produkt z elementami cyfrowymi, który sprzedajesz konsumentom, w praktyce często objęty jest nie tylko ustawą o odporności na cyber-zagrożenia. Te same dane o produkcie — specyfikacje, kraj docelowy, osoba odpowiedzialna w Twojej firmie — pojawiają się również w kontekście bezpieczeństwa produktu, opakowań i czasem w ochronie danych osobowych. Reglia nie wypełnia samej regulacji, ale zapewnia, że wypełniasz dossier biznesowe i produktowe raz, a platformy, które rzeczywiście tym się zajmują, odczytują to dossier zamiast tego, żebyś wpisywał to cztery razy. Jak dokładnie to działa i co reglia robi i nie robi z tymi danymi, przeczytasz w wyjaśnienie sposobu działania reglia.
Jeśli chcesz wiedzieć, jak dane są w tym chronione i kto do nich ma dostęp, znajdziesz to na stronie o bezpieczeństwie i prywatności. Stworzenie konta jest bezpłatne i nic Cię nie zobowiązuje; to, co następnie używasz na platformie, płacisz tam, według stawek, które ta platforma stosuje.
Chcesz wiedzieć, które platformy są podłączone do reglia i która część Twojej firmy dotyczy każdej z nich? Sprawdź najczęstszych pytań dotyczących reglia lub przejrzyj przegląd dostępnych rozwiązań.