Om ditt företag levererar produkter med digitala element — tänk på en smart termostat, programvara som hör till en maskin, eller en app som kommunicerar med en enhet — kräver Cyberresilience Act ett dossier som visar hur produktens cybersäkerhet är säkrad. I stora drag handlar det om en riskbedömning av produkten, teknisk dokumentation om dess funktion och säkerhet, en översikt över de programvarukomponenter som används, en process för hantering av säkerhetsluckor, och ett överensstämmelsecertifikat. Den exakta indelningen och benämningarna finns i förordningens officiella text; läs denna, eller kontakta din tillsynsmyndighet, för den exakta utfyllnaden för din produkt.
Det som skiljer detta dossier från exempelvis ett produktsäkerhetsdossier eller ett förpackningsdossier är att det inte är färdigt vid leverans. Ett produktsäkerhetsdossier beskriver en produkt som den lämnar fabriken. Cybersäkerhetsdossieren måste också visa vad som händer efter den leveransen: hur du upptäcker säkerhetsluckor, hur snabbt du släpper en uppdatering, och hur du dokumenterar det. Det är detaljen som spelar störst roll i denna fråga, och där företag som är vana vid engångsdossier lättast snubblar.
Vad som vanligtvis finns i dossieren
För de flesta produkter med digitala element utgörs ett cybersäkerhetsdossier av en kombination av följande komponenter. En riskanalys som beskriver vilka cyberrisker som är förknippade med produkten och hur de är avseende. En teknisk översikt över arkitekturen, inklusive vilken programvara och vilka tredjepartskomponenter som ingår — ofta kallad en software bill of materials, en lista över alla programvarukomponenter i produkten. En beskrivning av den process genom vilken du upptäcker, bedömer och åtgärdar säkerhetsluckor. Och ett certifikat där du anger att produkten uppfyller gällande krav.
Huruvida din produkt behöver exakt dessa handlingar, och i vilken form, beror på produkttypen och den kategori den tillhör. Det är en innehållsfråga som ligger utanför vad reglia gör; för det är förordningens text eller en jurist rätt kontaktpunkt. En första orientering om vilka skyldigheter som kan höra till din typ av företag finns på översikten över anslutna plattformar.
Varför uppdateringsprocessen förtjänar särskild uppmärksamhet
Många av de andra dossier som hör till ett företag är i huvudsak en ögonblicksbild: du fyller dem i, du sparar dem, och du uppdaterar dem om något väsentligt förändras. Cybersäkerhetsdossieren kräver något annat: en pågående process som du också kan visa. Vem rapporterar en säkerhetslucka, inom vilken tidsfrist bedöms den, och hur nå uppdateringen användaren? Det är inte något som du skriver ned en gång och sedan låter ligga — det är en del av dossieren som utvecklas tillsammans med varje uppdatering eller rapportering.
I praktiken innebär detta att dossieren innehåller två typer av information: fasta handlingar som förändras när produkten själv förändras, och en pågående logg som växer med varje uppdatering eller rapportering. Företag som inte gör denna åtskillnad riskerar att dossieren är fullständig på papper men inte i praktiken visar hur säkerheten upprätthållits efter leverans. Om och hur det gäller för din produkt bedömer du bäst tillsammans med en jurist eller den myndighet som ansvarar för detta.
Ett dossier, men inte din enda skyldighet
En produkt med digitala element som du säljer till konsumenter påverkar i praktiken ofta mer än bara Cyberresilience Act. Samma uppgifter om produkten — specifikationer, destinationsland, ansvarig person inom ditt företag — återkommer också vid produktsäkerhet, vid förpackningar och ibland vid personuppgifter. reglia fyller inte i denna lagstiftning själv, men ser till att du fyller i ett företags- och produktdossier en gång och att de plattformar som faktiskt arbetar med innehållet läser ut dossieren i stället för att du matar in det fyra gånger. Hur det fungerar i detalj och vad reglia gör och inte gör med dessa uppgifter kan du läsa om vid förklaringen om hur reglia fungerar.
Den som vill veta hur uppgifter skyddas och vem som har tillgång till dem hittar det på sidan om säkerhet och integritet. Att skapa ett konto är gratis och förbinder dig inte till något; vad du sedan använder på en plattform betalar du där, till den taxa som plattformen tillämpar.
Nyfiken på vilka plattformar som är kopplade till reglia och vilken del av ditt företag som var och en påverkar? Se vanliga frågor om reglia eller ta en titt på översikten över tillgängliga lösningar.