Gäller Cyberresilience Act även för ditt företag?
Cyberresilience Act är en europeisk förordning som ställer cybersäkerhetskrav på produkter med digitala element: enheter och mjukvara som kan ansluta till ett nätverk eller en annan enhet. Huruvida denna förordning påverkar ditt företag beror främst på två frågor: säljer du en sådan produkt, och i vilken roll gör du det — som tillverkare, importör, distributör eller som en part som marknadsför en produkt under eget varumärke.
En webshop som säljer färdiga produkter vidare utan eget varumärke har vanligtvis rollen som distributör, med andra förpliktelser än en tillverkare. Så snart du låter en produkt tillverkas under ditt eget varumärke eller egen etikett kan du juridiskt klassificeras som tillverkare, även om du själv inte tillverkar något. Den här texten ger inget slutgiltigt svar för din egen situation — det är en fråga för en jurist eller för den tillsynsmyndighet som har utsetts för denna förordning.
Vad förordningen syftar till att reglera
Cyberresilience Act fokuserar på en produkts livscykel: från design och utveckling till uppdateringar efter försäljning. Tanken bakom detta är att produkter med digitala element ofta innehåller sårbarheter som först upptäcks efter försäljning, och att det måste finnas något för att motverka detta: säkerhet som redan är inbyggd, och ett sätt att senare åtgärda sårbarheter. Detta påverkar därför inte bara en produkts teknik utan också hur länge och på vilket sätt du är tillgänglig efter försäljningen för rapporter och uppdateringar.
När detta kan vara relevant för ditt företag
Förordningens kärna ligger på produkter som innehåller mjukvara eller som kan ansluta till internet, ett nätverk eller en annan enhet. Tänk på smart belysning, säkerhetskameror, routrar, sensorer för byggnadsstyrning eller utrustning som styrs via en app. Ett installationsföretag som säljer och installerar sådan utrustning, en webshop som erbjuder smart-home-produkter under eget varumärke, eller ett kontor som levererar IoT-utrustning till kunder kan omfattas. Ett företag som enbart tillhandahåller tjänster utan att själv marknadsföra en sådan produkt behöver vanligtvis inte ställa sig frågor om denna förordning — även om det alltid gäller att detta skiljer sig från situation till situation.
Om du säljer produkter under eget varumärke
Detta är precis den punkt där många SMF-företag blir påverkade mot sina egna förväntningar. En webshop som låter en tillverkare i Asien producera en produkt och säljer den under sitt eget varumärke klassificeras ofta som tillverkare enligt tillämplig lagstiftning, inte som återförsäljare. Det är samma förskjutning som sker med produktsäkerhet och förpackningar: den roll du innehar avgör vilka förpliktelser som gäller för dig, och den rollen är inte alltid den du själv skulle välja. Hur detta slår ut för Cyberresilience Act för din specifika produkt framgår av den officiella texten och av den utsedda tillsynsmyndigheten.
Varför detta sällan står för sig själv
Ett företag som omfattas av denna förordning omfattas ofta även av andra bestämmelser: produktsäkerhet i allmän mening, eventuellt tillgänglighetskrav om produkten har ett användargränssnitt, och personuppgifter när enheten samlar in eller överför data. Det är precis anledningen till varför det är användbart att kartlägga vilka bestämmelser som gäller för ditt företag en gång istället för att börja om från början för varje fråga. reglia är skalet över de plattformar som var för sig behandlar varje område innehållsmässigt; du kan via en översikt över de anslutna plattformarna se vilken plattform som behandlar vilket ämne.
Vad reglia själv gör och inte gör med de data du fyller i för det läser du på sidan om hur reglia fungerarNär du väl har fyllt i ett företagsdossier behöver du inte göra det igen för varje plattform, och du behåller själv överblicken över vilken plattform som använder vilka uppgifter.
Om du är osäker på om en produkt som du säljer omfattas av Cyberresilience Act är det en fråga som bör ställas till en jurist eller till tillsynsmyndigheten som är utsedd för detta. På sidan med vanliga frågor hittar du mer information om vad reglia gör och inte gör för dig.
Om du vill veta vilka plattformar som finns och vilket område som täcks av dem, titta vidare på att skapa ett kostnadsfritt konto för att se vad som är tillgängligt för ditt företag.