Predloženi Zakon o sajber otpornosti (CRA) donosi nekoliko ključnih mera, uključujući osnovne bezbednosne zahteve za proizvode i obaveze njihovih proizvođača u pogledu postupanja sa ranjivostima nakon što se otkriju.
CRA zahteva od kompanija da imaju mehanizme da poprave sve nedostatke otkrivene na njihovim uređajima nakon što su prodati potrošačima u periodu do pet godina, ili barem tokom očekivanog životnog veka proizvoda. Uređaji koji ne ispunjavaju ove standarde mogli bi da budu povučeni sa tržišta, a proizvođači bi se mogli suočiti sa kaznama od 15 miliona evra ili 2,5% svog globalnog godišnjeg prihoda zbog nepoštovanja pravila.
Prakse proizvodnje i dizajna znače da mnogi IoT proizvodi (Interent of Things) uvode dodatne rizike u kućne i poslovne mreže na koje su povezani. U jednom često citiranom slučaju, hakeri su navodno mogli da ukradu podatke iz inače dobro zaštićene računarske mreže jednog kazina nakon što su provalili u mrežu preko senzora temperature koji je povezan na internet a koji se nalazio u akvarijumu.
“Kada je reč o sajber bezbednosti, Evropa je jaka onoliko koliko je jaka njena najslabija karika: bilo da se radi o ranjivoj državi članici ili nebezbednom proizvodu u lancu snabdevanja”, upozorio je Tijeri Breton, evropski komesar za industriju.
“Računari, telefoni, kućni aparati, virtuelni uređaji za pomoć, automobili, igračke – svaki od ovih stotina miliona povezanih proizvoda potencijalna je ulazna tačka za sajber napad”, dodao je Breton.
Predlog zakona uključuje primoravanje proizvođača “proizvoda sa digitalnim elementima” da ih dizajniraju, razvijaju i proizvode “na takav način da obezbede odgovarajući nivo sajber bezbednosti”.
Njime će se zabraniti kompanijama da isporučuju proizvode sa “bilo kakvim poznatim ranjivostima koje se mogu iskoristiti” a kompanije će takođe biti primorane da u roku od 24 sata prijave značajne incidente agenciji EU za sajber bezbednost ENISA, a potom i preduzmu odgovarajuće mere za rešavanje problema.
Uvoznici i distributeri moraće da proveravaju da li su proizvodi u skladu sa pravilima EU, a ako ne postupe u skladu sa zakonom, moguća je zabrana proizvoda najpre na nacionalnom tržištu a zatim i na svim evropskim tržištima.
Evropska komisija kaže da su sajber napadi na hardverske i softverske proizvode samo prošle godine koštali globalnu ekonomiju 5,5 biliona evra.
Novi zakon mogao bi da smanji troškove kompanija prouzrokovane sajber incidentima sa 290 milijardi evra godišnje na oko 29 milijardi evra koliko su procenjeni troškovi usklađivanja sa zakonom.
Sličan zakon se donosi i u Velikoj Britaniji a njime će se kompanijama zabraniti da prodaju uređaje koji dele istu podrazumevanu lozinku.
Države članice EU moraće da se usaglase u vezi ovog predloga najpre u Evropskom savetu, a zatim i u Evropskom parlamentu pre nego što on stupi na snagu.
Države članice i proizvođači će imati dve godine da se usaglase sa zahtevima novog zakona, osim za obaveze izveštavanja za proizvođače, koji će imati samo godinu dana da uspostave svoje procese za otkrivanje aktivno iskorišćenih ranjivosti i prijavljivanja incidenata agenciji za sajber bezbednost ENISA.
