CRA smjernice: EU uvodi stroga pravila kibernetičke sigurnosti

Europska komisija objavila je službene provedbene smjernice za Zakon o kibernetičkoj otpornosti (Cyber Resilience Act - CRA), ključni europski okvir koji prvi put u povijesti uvodi obvezne sigurnosne standarde za sve proizvode s digitalnim elementima na tržištu Europske unije.

Objava smjernica dolazi uoči 11. rujna, kada na snagu stupaju prve i najstrože obveze – obvezno prijavljivanje aktivno iskorištenih sigurnosnih ranjivosti u roku od samo 24 sata. Novi dokument precizno razrađuje kako će se pravila primjenjivati u praksi, čime se konačno rješava niz nedoumica s kojima su se mjesecima suočavali razvijatelji softvera i proizvođači hardvera.

Komisija je potvrdila iznimno širok obuhvat zakona koji se odnosi na sve uređaje i softvere izravno ili neizravno povezane s mrežom, od pametnih kućanskih aparata i satova do operativnih sustava, CAD softvera i industrijskih upravljačkih sustava.

Kod softvera je napravljena jasna distinkcija: aplikacije koje se preuzimaju i lokalno izvršavaju na uređajima korisnika podliježu obvezama CRA-a, dok su klasične web stranice i SaaS uslužni modeli izuzeti, osim ako ne služe kao neophodna udaljena obrada podataka bez koje lokalni uređaj ne može funkcionirati. Samostalni softver smatra se stavljenim na tržište čim je prvi put ponuđen za distribuciju, a svaka naredna preuzimanja iste verzije ne aktiviraju nove obveze sve dok se ne izda nova verzija koja predstavlja bitnu izmjenu.

Strogi rokovi za ranjivosti i posebna pravila za otvoreni kod

Posebno rigorozan dio okvira odnosi se na izvanredno izvještavanje. Čim proizvođač posumnja ili otkrije aktivno iskorištavanje ranjivosti, mora poslati rano upozorenje europskim i nacionalnim tijelima unutar 24 sata, detaljnije izvješće u roku od 72 sata, a završni plan zakrpe unutar mjesec dana. Odgovornost više ne prestaje prodajom jer tvrtke moraju jamčiti besplatna sigurnosna ažuriranja tijekom očekivanog vijeka trajanja proizvoda, a najmanje pet godina.

Redovita sigurnosna ažuriranja kojima je cilj otklanjanje ranjivosti pritom se ne smatraju bitnim izmjenama i ne zahtijevaju nove postupke certifikacije. Za nepoštivanje ovih obveza predviđene su kazne do 15 milijuna eura ili 2,5 posto ukupnog godišnjeg prometa.

Nove smjernice donose i olakšanje za zajednicu otvorenog koda. Besplatni softver otvorenog koda (FOSS) te testne alfa i beta verzije ostaju izvan opsega zakona sve dok se ne monetiziraju, dok donacije i naplata podrške radi pokrivanja troškova ne pretvaraju razvoj u komercijalnu aktivnost.

Međutim, onog trenutka kada se takav kod ugradi u komercijalni proizvod, cjelokupna pravna odgovornost prelazi na tvrtku koja ga plasira na tržište. Za postojeće proizvode dizajnirane prije početka pune primjene zakona u prosincu 2027. neće biti potrebno ponovno projektiranje ako aktualna procjena rizika pokaže da postojeći dizajn učinkovito adreseira opasnosti.

Izravan udar na hrvatski IT sektor 

Za hrvatsko gospodarstvo objava smjernica predstavlja ozbiljan operativni i financijski izazov. Domaće softverske kuće te proizvođači elektroničke i industrijske opreme morat će u potpunosti prilagoditi procese razvoja novim standardima, jer bez CE oznake usklađenosti nijedan proizvod više neće moći na tržište EU-a.

Obveza stalnog nadzora koda stvorit će dodatan pritisak na domaći IT sektor u kojem već godinama kronično nedostaje kibernetičkih stručnjaka, zbog čega će mnoge tvrtke vjerojatno morati angažirati vanjske specijalizirane agencije i prihvatiti nove ulazne troškove poslovanja.