Sve objave
Kad se govori o europskom Aktu o kibernetičkoj otpornosti (Cyber Resilience Act, CRA), najviše se spominje 11. prosinca 2027., kada počinje njegova puna primjena. No, prvi rok za proizvođače proizvoda s digitalnim elementima nastupio je već 11. rujna ove godine. Od tada vrijede prva pravila i za neke proizvode koji su već dostupni na europskom tržištu.
Riječ je o obvezi prijavljivanja aktivno iskorištavanih ranjivosti i ozbiljnih sigurnosnih incidenata. Upravo bi taj zahtjev mnogim tvrtkama mogao pokazati koliko su spremne za nova europska pravila. Marko Gulan, stručnjak za kibernetičku sigurnost, upozorava da se sposobnost pravodobnog otkrivanja sigurnosnih problema ne može uspostaviti preko noći.
Većina ključnih zahtjeva CRA-a – od sigurnosti proizvoda po dizajnu i upravljanja ranjivostima do europske oznake sukladnosti (CE oznake) – obvezna će biti od prosinca iduće godine. “Prvo što CRA traži od proizvođača nije redizajniran proizvod, već sposobnost da brzo otkrije i prijavi ozbiljan sigurnosni događaj i pravodobno objavi informacije o ranjivostima koje su napadači već iskoristili”, kaže Gulan.
Što prijaviti?
Od 11. rujna proizvođači moraju prijavljivati aktivno iskorištavane ranjivosti i ozbiljne sigurnosne incidente. Ne prijavljuje se svaka ranjivost ni svaki popravak, već samo ona za koju postoji dokaz da ju je zlonamjerni akter već iskoristio. Postupak prijave odvija se u tri faze: najprije u roku od 24 sata, zatim 72 sata od incidenta, a završno izvješće u roku od 14 dana za ranjivosti i mjesec dana za ozbiljne incidente. Prijave se podnose Agenciji Europske unije za kibernetičku sigurnost (ENISA) i nadležnom nacionalnom timu za odgovor na računalne sigurnosne incidente (CSIRT). Nema prijelaznog razdoblja ni iznimke za starije proizvode – pravila vrijede i za uređaje koji su još na tržištu.
Da bi tvrtka u 72 sata znala koja je komponenta ranjiva i koji su proizvodi pogođeni, mora znati što se nalazi u njezinim proizvodima. To podrazumijeva popis softverskih komponenti (SBOM) i automatizirano praćenje ranjivosti.
“Ne može se prijaviti ono što se ne može otkriti. Ako tvrtka nema sustav za pravodobno otkrivanje ranjivosti, rok od 72 sata postaje iluzija”, upozorava Gulan.
CRA ne pogađa samo proizvođače. Uvoznici i distributeri moraju provjeriti CE oznaku i dokumentaciju, a na tržište ne smiju staviti proizvod za koji znaju ili bi trebali znati da ne udovoljava zahtjevima. Moraju i surađivati s tijelima nadzora. Za većinu proizvoda proizvođač može sam provjeriti ispunjavaju li uvjete, dok se za neke važne proizvode iz Priloga III. CRA-a traži dodatna provjera ili ovlašteno tijelo. Najprije treba utvrditi koje proizvode CRA obuhvaća, postoje li iznimke za medicinske proizvode i softver kao uslugu (SaaS) te je li tvrtka proizvođač, uvoznik ili distributer.
Česta je zabluda da je otvoreni kod izuzet i da je zato komercijalni proizvod izgrađen na njemu izvan dosega CRA-a. CRA ne izuzima otvoreni (open sorce) kod, već njegovo nekomercijalno stavljanje na tržište. Volonter ili hobist koji projekt objavi bez komercijalne namjere može biti izvan CRA-a, no kada tvrtka takvu komponentu ugradi u proizvod koji prodaje, pravila su drukčija.
“Čim tvrtka otvoreni kod ugradi u komercijalni proizvod, odgovara za taj proizvod u cjelini, uključujući open source dijelove. Iznimka štiti volontera koji je kod napisao, ali ne i tvrtku koja na tom kodu gradi i naplaćuje proizvod”, ističe Gulan. Ako proizvođač otkrije ranjivost u komponenti treće strane, mora o tome obavijestiti njezina održavatelja i navesti eventualne vlastite izmjene. Na tržištu EU-a već vrijedi Direktiva o kibernetičkoj sigurnosti (NIS2), u Hrvatskoj provedena Zakonom o kibernetičkoj sigurnosti, te Akt o umjetnoj inteligenciji (AI Act). Ti okviri imaju vlastite definicije, tijela i rokove prijave.
Tvrtka može istodobno biti obuhvaćena različitim režimima, a jedan incident može aktivirati više propisa. Primjerice, proboj osobnih podataka povezan s ranjivošću proizvoda može istodobno biti predmet Opće uredbe o zaštiti podataka (GDPR) i CRA-a, uz različita pravila i rokove.
“Puno je jeftinije unaprijed mapirati preklapanja, nego ih otkrivati usred incidenta, kada rokovi već istodobno teku”, upozorava Gulan. CRA za povredu bitnih sigurnosnih zahtjeva predviđa kazne do 15 milijuna eura ili 2,5 posto ukupnog svjetskog godišnjeg prometa tvrtke, za druge povrede do deset milijuna eura ili dva posto, a za davanje netočnih podataka do pet milijuna eura ili jedan posto. GDPR predviđa do četiri posto ili 20 milijuna eura, AI Act do sedam posto ili 35 milijuna, a NIS2 do dva posto ili deset milijuna.
“Poanta nije u visini pojedine kazne, nego u tome što jedan incident može istodobno aktivirati više regulatornih režima, s različitim obvezama i rokovima”, kaže Gulan.
Regulacija nije otpornost
Gulan problem vidi u kumulativnom teretu i neusklađenosti propisa: tvrtka može formalno ispunjavati zahtjeve, a da pritom nema ljude, postupke i sustave potrebne za njihovu provedbu. “Kad se obveze množe brže nego što ih organizacije mogu operativno provoditi, nastaje uredno dokumentirana neusklađenost. Tvrtke formalno prihvaćaju pravila, ali nemaju procese za njihovu provedbu. Hiperregulacija po sebi ne stvara otpornost, već samo obvezu”, objašnjava.
Europska unija regulativama pokušava povećati kontrolu nad svojim digitalnim prostorom, no većina ključne infrastrukture, od usluga u oblaku do umjetne inteligencije, i dalje je u vlasništvu kompanija izvan bloka.
“Regulacija propisuje pravila igre, ali ne mijenja tko posjeduje teren na kojem se igra. Suverenitet se ne postiže samo pravilima za korištenje tuđe tehnologije, nego sposobnošću da se gradi vlastita”, kaže Gulan. Posebno ističe da podaci europskih građana i tvrtki zbog toga mogu biti pod jurisdikcijom drugih država.
Prema Gulanu, proizvođači, uvoznici i distributeri proizvoda s digitalnim elementima ne bi trebali čekati prosinac 2027. Već sada moraju znati koje njihove proizvode CRA obuhvaća i u kojoj ulozi nastupaju, znati od kojih su komponenti ti proizvodi sastavljeni te uspostaviti procese za otkrivanje, procjenu i prijavu ozbiljnih incidenata u propisanim rokovima. “To nisu samo tehnička pitanja. Riječ je i o tome kako je tvrtka organizirala odgovornosti, procese i postupanje u slučaju incidenta. Upravo se tu vidi razlika između stvarne usklađenosti i one koja postoji samo na papiru”, zaključuje Marko Gulan.
