Cybersecurity: cum răspunde Uniunea Europeană?

Amenințările la adresa cybersecurity sunt în creștere la nivel mondial: în 2021, daunele cauzate de atacurile cibernetice asupra software-ului și hardware-ului au fost estimate la aproximativ 6 trilioane de dolari. Este o tendință care va crește în viitor, având în vedere că – așa cum susține Gartner – până în 2024 vor exista 22,3 miliarde de dispozitive în întreaga lume care se vor conecta la Internet of Things (IoT).

În Uniunea Europeană, situația nu este mult diferită. ENISA – Autoritatea Europeană pentru Securitate Cibernetică – subliniază modul în care atacurile au crescut atât în ceea ce privește complexitatea, cât și impactul.

Majorarea se datorează în principal creșterii prezenței online a companiilor și a administrației publice, încurajată de mai mulți factori: pandemia de Coronavirus, alegerea companiilor pentru a trece la soluții interconectate și bazate pe cloud (cum ar fi IoT) și, în cele din urmă, utilizarea de noi tehnologii – cum ar fi IA.

Răspunsul Uniunii Europene

De mult timp, liderii europeni au solicitat UE să elaboreze o strategie care să îi poată ajuta în ceea ce privește:

• protecția împotriva amenințărilor cibernetice;
• oferirea unui mediu de comunicare sigur, datorită și criptografiei cuantice;
• garantarea accesul la date în scopuri judiciare și de aplicare a legii.

După o succesiune de directive, Comisia Europeană a propus, pe 15 septembrie, noile norme ale Cyber Resilience Act, care vizează îmbunătățirea securității dispozitivelor și a utilizatorilor acestora în fața creșterii numărului de atacuri în întreaga lume. Noua lege va include toate dispozitivele și tehnologiile conectate care nu au fost încă incluse în directivele anterioare Nis1 și Nis2, astfel încât să acopere întregul ciclu de viață al produselor – începând cu faza de dezvoltare.

Motivele care stau la baza acestei măsuri sunt explicate direct de Bruxelles: “într-un mediu conectat, un incident de securitate cibernetică prezent într-un produs poate afecta o întreagă organizație sau un lanț de aprovizionare, adesea răspândindu-se în afara granițelor companiei, în câteva minute. Acest lucru poate duce la perturbări grave ale activităților economice și sociale sau poate chiar deveni un pericol pentru viață“.

Cyber Resilience Act

Legea propusă vizează stabilirea unor norme comune în materie de securitate cibernetică pentru produsele digitale și serviciile conexe introduse pe piața Uniunii Europe.

În special, Cyber Resilience Act are patru obiective:

1. să asigure un cadru de securitate cibernetică coerent care să faciliteze conformitatea pentru producătorii de hardware și software;
2. să îmbunătățească transparența informațiilor privind siguranța produselor cu ajutorul elementelor digitale;
3. să se asigure că producătorii îmbunătățesc siguranța produselor echipate cu elemente digitale din etapa de proiectare și dezvoltare și de-a lungul întregului lor ciclu de viață – sau, cel puțin, timp de cinci ani de la introducerea lor pe piață;
4. să permită companiilor și consumatorilor să utilizeze în siguranță produsele create cu componente digitale.

Lista de produse software și hardware este foarte mare, motiv pentru care acestea au fost împărțite în produse aparținând clasei I (firewall, IPS, router, switch, manager de parole etc.) și clasa II (sisteme de operare, firewall-uri și IPS corporative, sisteme de control, cipuri de securitate, componente robotice, sisteme IoT etc.).

Ceea ce se schimbă de la o clasă la alta este sistemul de conformitate:

• produse din clasa I: producătorul poate alege dacă să se autocertifice sau să solicite certificarea de la o terță parte certificată;
• produse din clasa II: furnizorul poate recurge doar la certificarea de către o terță parte certificată.

Fiecare stat membru al Uniunii Europene va trebui să încredințeze controlul respectării normelor unei autorități naționale. În ceea ce privește producătorii – care reprezintă punctul central al acestui proiect de lege – aceștia vor avea obligația de a raporta direct ENISA orice neconformități sau vulnerabilități.

Pentru furnizorii care aleg să nu respecte normele impuse, vor fi prevăzute amenzi sau chiar retragerea produsului de pe piață. Sancțiunile pentru nerespectarea cerințelor esențiale – în cazurile cele mai grave – sunt estimate la 15 milioane de euro sau 2,5% din cifra de afaceri anuală, în baza celei mai mari valori.

Urmatorii pași: cum va evolua situația?

După cum s-a definit deja, Cyber Resilience Act este încă un proiect propus de Comisia Europeană. Acum trebuie analizat de Consiliu și de Parlamentul European pentru posibile modificări. La finalul acestei operațiuni, legea propusă poate intra în vigoare definitiv: din acel moment, companiile vor avea la dispoziție doi ani pentru a se adapta.

Pentru informații detaliate cu privire la legea propusă, vă rugăm să consultați textul integral.