Cyberodporność stanie się obowiązkiem dostawców technologii

Cyber Resilience Act, czyli Akt o cyberodporności (CRA), ma ujednolicić wymagania dotyczące bezpieczeństwa produktów z elementami cyfrowymi na rynku Unii Europejskiej. Regulacja obejmuje szeroką kategorię tzw. Products with Digital Elements (PDE), czyli produktów, których działanie opiera się na połączeniu z urządzeniem lub siecią. Chodzi zarówno o sprzęt, jak i oprogramowanie, sprzedawane samodzielnie lub stanowiące część większego rozwiązania.

Zdaniem Artura Kurcweila, dyrektora Departamentu Bezpieczeństwa Banku Millennium, akt ten jest kolejnym elementem budowy europejskiego systemu cyberbezpieczeństwa.

– „Cyber Resilience Act” dotyczy m.in. aplikacji internetowych i mobilnych udostępnianych klientom, portali samoobsługowych oraz innych softwarowych rozwiązań udostępnianych klientom. CRA ma na celu wyeliminowanie z rynku UE urządzeń i programów „dziurawych” fabrycznie, uniezależnienie użytkowników od porzucanego przez producentów wsparcia technicznego oraz przeniesienie odpowiedzialności za cyberbezpieczeństwo z konsumenta na producenta technologii – wyjaśnia ekspert.

W praktyce regulacja obejmie wiele rozwiązań powszechnie wykorzystywanych przez banki. Są to m.in. terminale płatnicze POS, bankomaty i wpłatomaty, sprzęt do uwierzytelniania klientów, czytniki kart i urządzenia biometryczne, a także komercyjne systemy informatyczne, bazy danych, systemy CRM czy biblioteki programistyczne dostarczane przez zewnętrznych producentów.

Uwzględnianie wymogów bezpieczeństwa

Istotną kategorię stanowią również aplikacje mobilne i bankowość internetowa. W przypadku oprogramowania tworzonego samodzielnie i udostępnianego klientom bank może zostać uznany za producenta w rozumieniu przepisów Aktu o cyberodporności.

– W praktyce regulacja może mieć zastosowanie również do wybranych usług sektora finansowego, choć w tym miejscu warto podkreślić, że taka interpretacja zakresu CRA pozostaje przedmiotem dyskusji na poziomie branżowym i regulacyjnym – zaznacza Artur Kurcweil.

Nowe przepisy wprowadzają zasadę Security by Design, zgodnie z którą kwestie bezpieczeństwa powinny być uwzględniane już na etapie projektowania produktów.

– Rozporządzenie wprowadza zasadę zobowiązującą producentów oprogramowania do ...