Το CRA έφτασε και μπαίνουμε σε μια νέα εποχή. Άλλο ένα regulation θα πεις. Άλλο ένα compliance να βάλω στο GRC tool μου και όλα καλά. Αλλά για να δούμε, τι διαφορά έχει αυτό από τα άλλα; Φέρνει κάτι νέο;
Γιάννης Παυλίδης
Cybersecurity Practice Lead
Uni Systems, www.unisystems.com
Ας πιάσουμε την αρχή, ποιους αφορά. Αφορά κυρίως τους κατασκευαστές hardware και software που διανέμεται/παρέχεται εντός ΕΕ, αλλά και τους εισαγωγείς ή διανομείς τους. Όταν τεθεί σε πλήρη ισχύ, ένας κατασκευαστής μιας έξυπνης συσκευής ή ό,τι διαθέτει “digital elements” – π.χ. έξυπνη σκούπα – θα πρέπει να συμμορφώνεται με τις προδιαγραφές του CRA για μπορεί άξια να τοποθετεί το απαραίτητο CE mark και να κυκλοφορεί το προϊόν του νόμιμα εντός Ευρωπαϊκής Ένωσης.
Το χρονοδιάγραμμα: Από τις 11 Σεπτεμβρίου 2026 ισχύει ήδη η υποχρέωση ειδοποίησης για actively exploited vulnerabilities και severe incidents. Από τις 11 Δεκεμβρίου 2027 θα τεθεί σε πλήρη ισχύ και το υπόλοιπο πλαίσιο με βασικές απαιτήσεις κυβερνοασφάλειας: Secure by Design and by Default, vulnerability management σε όλο τον κύκλο ζωής του προϊόντος, Software Bill of Materials (SBOM), παροχή δωρεάν security updates για όλη την περίοδο υποστήριξης και άλλα. Και κάτι που πολλοί προσπερνούν: η υποχρέωση ειδοποίησης αφορά και προϊόντα που είναι ήδη διαθέσιμα στην αγορά, όχι μόνο όσα θα βγουν μετά το 2027.
Το νέο πλαίσιο δίνει νέο ρόλο στον ENISA. Με το CRA, έρχονται οι εξής αλλαγές: ο ENISA αναπτύσσει και διαχειρίζεται το Single Reporting Platform (SRP), το ενιαίο σημείο υποβολής αναφορών για ολόκληρη την ΕΕ. Το SRP είναι ήδη live, με δυνατότητα αναφοράς severe incidents ή actively exploited vulnerabilities σε προϊόντα, καλύπτοντας μια πανευρωπαϊκή εικόνα. Ήδη συνδέει τον ENISA με τον CSIRT coordinator του κάθε κράτους-μέλους που στη συνέχεια επεκτείνεται και στην αντίστοιχη αρχή εποπτείας αγοράς. Όταν πάρει την πλήρη του μορφή, θα μπορεί να είναι ένα ενιαίο σημείο αναφοράς για vulnerabilities, incidents για όλη την ΕΕ.
Γιατί μας αφορά όλους; Αρχικά, καταλαβαίνουμε ότι μας αφορά ως καταναλωτές, όπως και το GDPR. Η σκέψη πως οι έξυπνες συσκευές που θα προμηθευόμαστε μετά το τέλος του 2027 θα είναι υποχρεωτικά συμμορφωμένες με cybersecurity measures, θα μας κάνει σταδιακά να κοιμόμαστε όλοι πιο ήσυχοι τη νύχτα.
Στον επαγγελματικό μας βίο όμως, μας αφορά σε επίπεδο Third-Party Risk Management (TPRM). Έχουμε έξυπνες συσκευές στο εταιρικό μας κτήριο; Πιθανόν. Μισθώνουμε developers για να μας φτιάξουν κάποια software λύση; Επίσης πιθανόν (αν και στο συγκεκριμένο ζήτημα, τα πράγματα δεν είναι ακόμη απόλυτα ξεκάθαρα). Θα μπορούσε κάποιος από όλους αυτούς να μην φροντίζει το cybersecurity posture του; Εξαιρετικά πιθανό.
Το CRA θα μας δώσει περαιτέρω εργαλεία για το τμήμα προμηθειών με νέα θέματα που θα χρειαστεί να μπουν στα vendor questionnaires μας: EU Declaration of Conformity, δηλωμένο support period, security contact point.
Γιατί μπορεί να αφορά την εταιρία μου; Φτιάχνει software, hardware, firmware, κλπ η εταιρία μου; Τότε πολύ πιθανόν ναι, αν το προϊόν διατίθεται στην αγορά της Ε.Ε. στο πλαίσιο εμπορικής δραστηριότητας. Και προσοχή: ακόμα κι αν δεν φτιάχνουμε τίποτα, αλλά εισάγουμε ή μεταπωλούμε, έχουμε κι εμείς υποχρεώσεις υπό συνθήκες. Αν πάρουμε ένα προϊόν και το τροποποιήσουμε ουσιαστικά, τότε γινόμαστε εμείς ο «κατασκευαστής» κάνοντας αυτή τη «μεταποίηση». Εξαιρούνται κάποιες περιπτώσεις όπως λογισμικό αποκλειστικά για εσωτερική χρήση, open source χωρίς εμπορική δραστηριότητα και προϊόντα που καλύπτονται από κάποια τομεακή νομοθεσία, π.χ. ιατρικές συσκευές, αεροσκάφη.
Τι υποχρεώσεις έχουμε προς το παρόν εφόσον είμαστε κατασκευαστές; Αρχικά να γραφτούμε το συντομότερο στη CRA platform του ENISA, ώστε αν χρειαστεί να δηλώσουμε κάτι να είμαστε έτοιμοι. Και να προσθέσουμε αυτά τα βήματα και timers στα Playbooks μας. Αν δεν έχουμε playbook, καμπανάκι, ώρα να φτιάξουμε.
- 24 ώρες: για early warning
- 72 ώρες: πλήρες notification
- 14 ημέρες από τη διάθεση διορθωτικού μέτρου/patch: τελική αναφορά για την ευπάθεια
- 1 μήνας μετά το αρχικό 72ωρο: τελική αναφορά για το incident
- Ενημέρωση των επηρεαζόμενων χρηστών για το πρόβλημα και τα μέτρα που μπορούν να πάρουν
Οπότε ναι, ένα ακόμη regulation. Ως γνωστόν, στην ΕΕ δεν λείπουν regulations, αλλά το CRA έρχεται με ένα όραμα ένωσης, ενοποιημένης εικόνας, με γνώμονα τον καταναλωτή και με σύστημα που φέρνει τον κατασκευαστή μπροστά στις υποχρεώσεις του.
