Szeptember 11-től egy új uniós szabály lép működésbe, amiről a legtöbb vásárló nem fog hallani – pedig pont az ő okosizzójáról, bébiőréről és okosórájáról szól. A Cyber Resilience Act első kötelezettségei érvénybe lépnek, és a gyártóknak ettől kezdve 24 órán belül jelenteniük kell, ha kiderül, hogy egy hibát aktívan kihasználnak a termékükben.
Ez az első alkalom, hogy az EU nem a felhasználótól várja el a védekezést, hanem attól, aki a terméket készítette.
Mi az a Cyber Resilience Act?
Egy 2024 decemberében hatályba lépett uniós rendelet, amely kötelező kiberbiztonsági követelményeket ír elő minden „digitális elemeket tartalmazó termékre”. Ez a kissé hivatalos megfogalmazás a gyakorlatban mindent jelent, ami hálózatra köthető: bébiőrt, okosórát, routert, kamerát, de szoftvereket és mobilalkalmazásokat is.
A rendelet két régi problémát céloz: sok eszköz eleve gyenge védelemmel kerül a boltba, és sok gyártó egyszerűen abbahagyja a frissítések kiadását, amikor a modell kifut. A teljes szabályrendszer az Európai Bizottság hivatalos összefoglalójában olvasható.
Mi változik szeptember 11-én?
Ekkortól indul a bejelentési kötelezettség. Ha egy gyártó tudomást szerez arról, hogy a termékében lévő sebezhetőséget aktívan kihasználják, vagy hogy súlyos biztonsági incidens történt, akkor:
- 24 órán belül korai figyelmeztetést kell küldenie,
- 72 órán belül részletes bejelentést kell tennie,
- 14 napon belül – a javítás elérhetővé válása után – végleges jelentést kell benyújtania.
A bejelentés egyetlen közös felületen keresztül megy a nemzeti kiberbiztonsági incidenskezelő központhoz, onnan pedig az uniós ügynökséghez. Vagyis a hibák nem maradhatnak csendben egy belső hibajegyben addig, amíg valaki a sajtóban meg nem írja.
És 2027 decemberében jön a java
A Cyber Resilience Act fő kötelezettségei 2027. december 11-től alkalmazandók. Innentől a gyártónak igazolnia kell, hogy a termék biztonságosnak tervezett, ismert kihasználható sebezhetőség nélkül kerül forgalomba – és erről CE-jelöléssel kell nyilatkoznia.
A vásárló szempontjából a leglátványosabb újdonság a támogatási időszak: a gyártónak meg kell adnia, meddig ad ingyenes biztonsági frissítést a termékhez. Ez az időszak főszabály szerint legalább öt év, kivéve, ha a termék várható élettartama ennél rövidebb.
Vagyis nagyjából ugyanaz a logika érkezik meg az okoseszközökhöz, mint amit a telefonoknál már láthattunk – erről az energiacímkéről szóló cikkünkben írtunk részletesen.
Mit jelent a Cyber Resilience Act vásárlóként?
Rövid távon annyit, hogy a most vásárolt eszközökre még nem vonatkozik a teljes szabályrendszer. Néhány dolog viszont már most is használható döntési szempont:
- Kérdezz rá a támogatási időre. Ha a gyártó nem tudja megmondani, meddig ad frissítést, az önmagában válasz.
- A névtelen, olcsó okoseszköz a legkockázatosabb. Ha nincs mögötte azonosítható forgalmazó, nem lesz kinek jelentenie a hibát sem.
- A régi, támogatás nélküli eszközöket zárd külön hálózatra. A legtöbb otthoni router tud vendéghálózatot – a kamera és az okoskonnektor ott a helyén van. Az alapokról az egyszerű okoseszközökről szóló írásunk ad áttekintést.
- A gyári jelszót cseréld le. A leggyakoribb támadás nem is sebezhetőséget használ ki, hanem az alapértelmezett belépési adatokat – erről szól a jelszókezelés és kétlépcsős azonosítás cikkünk.
Mit jelent a Cyber Resilience Act cégként?
Sokkal többet, mint elsőre látszik. A Cyber Resilience Act nem csak a hardvergyártókra vonatkozik: aki szoftvert vagy alkalmazást hoz forgalomba az EU-ban, az is a hatálya alá esik. Egy egyedi fejlesztésű webes rendszer, egy saját mobilalkalmazás vagy egy eszközre telepített vezérlőszoftver mind ide tartozhat.
Amit érdemes most elkezdeni:
- Vedd számba, mit hozol forgalomba. Ha a terméked része bármilyen szoftver vagy hálózati funkció, nézd meg, hol tartozol a hatály alá.
- Legyen sebezhetőségkezelési folyamatod. Ki fogadja a bejelentést, ki dönt a súlyosságról, ki adja ki a javítást – ezt nem az első incidens közben kell kitalálni.
- Írd le, meddig támogatod a terméket. Ezt előbb-utóbb kötelező lesz közölni, és üzletileg is tisztább helyzetet teremt.
- Tartsd naprakészen, amit üzemeltetsz. A rendszeres frissítés és mentés nem adminisztratív teher – erről szól a karbantartási szolgáltatásunk.
Három gyakori kérdés
A nyílt forráskódú szoftverekre is vonatkozik?
A nem kereskedelmi célú, közösségi fejlesztésű nyílt forráskódú projektekre a rendelet lényegében nem terhel gyártói kötelezettséget. Amint viszont valaki üzleti termékként forgalmazza ugyanazt, már ő felel érte.
Mi történik, ha egy gyártó nem jelenti a hibát?
A rendelet bírságot helyez kilátásba, és a piacfelügyeleti hatóság a termék forgalmazását is korlátozhatja. A gyakorlati érvényesítés a tagállami hatóságokon múlik, és fokozatosan épül fel.
Kell nekem CE-jelölést szereznem a saját weboldalamra?
Nem. A hagyományos weboldalak és a felhőben nyújtott szolgáltatások nagy része kívül esik a rendelet hatályán – az elsősorban a forgalomba hozott termékekre, köztük a letölthető, telepíthető szoftverekre vonatkozik.
A lényeg
A Cyber Resilience Act nem holnap változtatja meg a boltok kínálatát. Amit viszont elindít, az fontos: a biztonság a gyártó felelőssége lesz, nem a vásárlóé, és a „megvetted, oldd meg” korszaka lassan lezárul.
Addig is a legjobb, amit tehetsz, ugyanaz, mint eddig: azt vedd meg, aminél tudni lehet, ki áll mögötte és meddig.
A hivatalos ütemterv és a bejelentési kötelezettség részletei az Európai Bizottság Cyber Resilience Act oldalán olvashatók.
A Pixela Internet Kft. 2008 óta foglalkozik webfejlesztéssel, üzemeltetéssel és rendszergazdai szolgáltatásokkal. Ha egyedi fejlesztésnél kellene végiggondolni, mi vonatkozik rátok, nézzük meg együtt.