I december 2024 trädde cyberresiliensförordningen, Cyber Resilience Act, CRA, i kraft i EU och de viktigaste bestämmelserna blir obligatoriska från december 2027.
CRA innebär mycket högt ställda krav på cybersäkerhet i alla typer av produkter, både hårdvara och mjukvara, som har någon form av digital komponent i sig, menar Orange Cyberdefense
Under hela livscykeln
– CRA innebär inte bara höga säkerhetskrav på en produkt vid tillverkning eller försäljning. Den kräver också att tillverkaren ansvarar för att produkten går att uppdatera säkerhetsmässigt och att sårbarheter kan identifieras under hela livscykeln, säger Mats Lindblad.
Tillverkaren måste också kunna informera användare eller kunder om en sårbarhet upptäcks, vilket kräver en användar- och kundkontakt som många tillverkningsföretag inte har i dag, betonar han.
Hög tid
– För att tillverkningsföretag ska kunna uppfylla CRA i sin helhet krävs att verksamheten ser över både sina utvecklingsprocesser, styrning, testkapacitet, informationssäkerhet och kundrelationer. Det är hög tid att prioritera detta arbete då alla krav måste vara uppfyllda i december 2027, för att över huvud taget få sälja produkter i EU.
GAP-analys
Mats Lindblad rekommenderar att börja med en GAP-analys för att identifiera vad som måste på plats för att uppfylla kraven i sin helhet.
– Förutom en plan och strategi för att stänga gapen är det viktigt att få ett systematiskt riskhanteringsarbete på plats, att ta fram processer och ramverk, samt att införa ett effektivt arbete med sårbarhetsidentifiering, övervakning, incidenthantering, kundinformation samt revision och uppdatering av kraven.
.jpg?w=480&action=fill&sh=19c04 "Anu-Leena Arola, försäljningsdirektör på det finska kortläsarföretaget Idesco, menar att passerkontroll inte specifikt omfattas av NIS2, men i praktiken ändå kan beröras av kraven som ställs.")
Global
