UE bierze się za producentów inteligentnych urządzeń. Bezpieczeństwo, brak luk i długie wsparcie

Komisja Europejska ujawniła ustawę o cyberbezpieczeństwie, która będzie wymagać od producentów urządzeń odpowiedniego zabezpieczenia ich przed wysyłką, niezwłocznego ujawnienia i naprawy usterek, a także gwarancji, że aktualizacje będą dostarczane przez pięć lat.

„Komputery, telefony, sprzęt AGD, wirtualne urządzenia wspomagające, samochody, zabawki… każdy z tych setek milionów połączonych produktów stanowi potencjalny punkt wejścia do cyberataku” – wyjaśnił Thierry Breton, europejski komisarz ds. rynku wewnętrznego. „A jednak dzisiaj większość produktów sprzętowych i programowych nie podlega żadnym obowiązkom w zakresie bezpieczeństwa cybernetycznego”. Obawy Komisji wykraczają jednak poza zhakowanie samego produktu i wpływ, jaki jeden incydent może mieć na cały łańcuch dostaw. Organizacja cytuje potencjalne skutki uboczne jako „poważne zakłócenia działalności gospodarczej i społecznej na rynku wewnętrznym, zagrażające bezpieczeństwu, a nawet zagrażające życiu”.

Projekt ustawy KE nakłada na producentów obowiązek odpowiedniego zabezpieczenia urządzenia przed dostawą do klienta. Wszystkie nowe usterki mają być ujawniane w ciągu 24 godzin i niezwłocznie naprawiane. Okres wydawania aktualizacji ma wynosić 5 lat.

Projekt ustawy „wprowadza obowiązkowe wymagania w zakresie cyberbezpieczeństwa dla produktów z elementami cyfrowymi, przez cały ich cykl życia”, a także określa wymagania,, które muszą być spełnione, zanim produkty trafią na rynki europejskie, niektóre obejmują ich projektowanie, rozwój i produkcję. Ustawa zobowiąże producentów do ujawniania incydentów w ciągu 24 godzin od ich uzyskania, a także do usuwania luk w zabezpieczeniach poprzez wsparcie bezpieczeństwa i aktualizacje oprogramowania. Producenci są zobowiązani do rozwiązywania problemów związanych z cyberbezpieczeństwem przez okres pięciu lat lub przewidywanej żywotności produktu.

Po uchwaleniu ustawy producenci będą mieli dwuletni okres karencji na dostosowanie się do nowych wymagań. W przypadku zgłaszania luk w zabezpieczeniach i incydentów okres karencji wynosi tylko jeden rok. Proponowane rozporządzenie przewiduje pewne wyjątki dla produktów takich jak urządzenia medyczne, samoloty i samochody, ponieważ podlegają one już innym przepisom.

Zobacz także:

• GeForce RTX 4000 - nowe przecieki zdradzają, kiedy poszczególne modele trafią na rynek
• Mobilne Radeony przerabiane i sprzedawane jako stacjonarne karty graficzne
• ZOTAC GeForce RTX 4090 - wyciekła niereferencyjna wersja flagowego modelu NVIDII. Jest grubo