Pregătirea CRA începe înainte de 2027: cum se pregătește ODOT acum

Când începe cu adevărat Legea UE privind rezistența cibernetică?

Pentru mulți producători, decembrie 2027 este încă văzută ca data cheie. Dar pregătirea CRA nu poate fi pur și simplu amânată până atunci.

Actul Cyber ​​Resilience a intrat în vigoare la 10 decembrie 2024 . Obligațiile sale principale se vor aplica începând cu 11 decembrie 2027 , în timp ce obligațiile de raportare în temeiul CRA vor începe să se aplice din 11 septembrie 2026 .

Pentru producătorii de produse cu elemente digitale, aceasta înseamnă un lucru:

Pregătirea CRA trebuie să înceapă înainte de 2027.

CRA este mai mult decât o verificare finală a conformității

Securitatea cibernetică nu poate fi adăugată pur și simplu unui produs după terminarea dezvoltării.

Pentru producătorii de automatizări industriale, pregătirea CRA implică mult mai mult decât finalizarea unui test sau pregătirea unui document tehnic. Este necesar ca considerațiile de securitate cibernetică să devină parte din ciclul de viață al produsului – de la cerințe și dezvoltare până la verificare, gestionarea vulnerabilităților, actualizări și documentație.

La ODOT, aceasta este abordarea pe care o adoptăm astăzi.

Munca noastră de pregătire conectează progresiv:

· Revizuirea cerințelor produsului

· Interfața de rețea și analiza suprafeței de atac

· Evaluarea riscului de securitate cibernetică

· Software și controlul versiunilor

· Verificarea și testarea produsului

· Trasabilitatea produsului și a firmware-ului

· Gestionarea vulnerabilităților

· Actualizări de software

· Documentatie tehnica

Obiectivul este de a transforma cerințele de reglementare în acțiuni de inginerie practice și urmăribile.

De la cerințele de produs la evaluarea riscurilor de securitate cibernetică

Securitatea cibernetică începe mult mai devreme decât testarea produsului final.

În timpul etapei de solicitare a produsului, considerentele de securitate trebuie identificate și încorporate în procesul de dezvoltare. Interfețele externe – inclusiv porturile de rețea, protocoalele de comunicație și alte interfețe accesibile – trebuie, de asemenea, înțelese ca parte a suprafeței potențiale de atac a produsului.
Odată ce aceste interfețe sunt înțelese, potențialele riscuri de securitate cibernetică pot fi identificate, evaluate și abordate.

Punctul important nu este doar să luăm decizii de inginerie, ci și să ne asigurăm că raționamentul și acțiunile rezultate rămân documentate și urmăribile pe tot parcursul ciclului de viață al produsului.

Securitatea cibernetică continuă după ce produsul părăsește fabrica

Pregătirea CRA nu se încheie atunci când un produs este lansat.

Produsele industriale continuă să evolueze prin modificări de firmware, actualizări de software și versiuni noi. Când este raportată o problemă de securitate sau o vulnerabilitate, producătorii au nevoie de procese pentru a primi, evalua, remedia, verifica și documenta problema.

Acest lucru face ca gestionarea vulnerabilităților să fie o activitate continuă, mai degrabă decât o sarcină de dezvoltare unică.

Actualizările de software trebuie, de asemenea, controlate și verificate. Identitatea produsului - inclusiv numărul de serie, versiunea hardware și versiunea firmware - ajută la conectarea modificărilor, rezultatelor testelor și acțiunilor ulterioare la configurația corectă a produsului.

Documentația face parte din ciclul de viață

Evaluările riscurilor, înregistrările versiunilor, rapoartele de testare, înregistrările de vulnerabilitate și înregistrările de actualizare formează împreună un corp de dovezi urmăribile.

Prin urmare, documentația tehnică nu trebuie tratată ca etapa administrativă finală după terminarea lucrărilor de inginerie. Face parte din ciclul de viață al produsului în sine.

În același timp, standardele armonizate relevante sunt încă în curs de dezvoltare. ODOT continuă să urmeze procesul de standardizare și își va revizui și alinia activitățile de pregătire pe măsură ce standardele relevante devin disponibile.

ODOT se pregătește acum

CRA nu este un singur test.

Nu este un singur document.

Și nu este responsabilitatea unui singur departament.

Este un ciclu de viață care conectează cerințe, evaluarea riscurilor, dezvoltare, verificare, control al versiunilor, gestionarea vulnerabilităților, actualizări și documentație .

De aceea, ODOT lucrează deja pentru a traduce cerințele de securitate cibernetică în inginerie practică și procese ciclului de viață al produsului.

Pregătirea CRA începe înainte de 2027.

ODOT se pregătește acum.

Urmărește videoclipul pentru a vedea cum se apropie ODOT de pregătirea CRA pe parcursul ciclului de viață al produsului industrial.