Готовность CRA начинается до 2027 года: как ODOT готовится сейчас

Когда на самом деле вступит в силу Закон ЕС о киберустойчивости?

Для многих производителей декабрь 2027 года по-прежнему считается ключевой датой. Но готовность CRA нельзя просто откладывать до тех пор.

Закон о киберустойчивости вступил в силу 10 декабря 2024 года . Его основные обязательства начнут применяться с 11 декабря 2027 года , а обязательства по отчетности в соответствии с CRA начнут применяться с 11 сентября 2026 года .

Для производителей продукции с цифровыми элементами это означает одно:

Подготовку CRA необходимо начать до 2027 года.

CRA — это больше, чем окончательная проверка соответствия

Кибербезопасность не может быть просто добавлена ​​в продукт после завершения разработки.

Для производителей промышленной автоматизации готовность к CRA предполагает гораздо больше, чем просто проведение одного испытания или подготовку одного технического документа. Соображения кибербезопасности должны стать частью жизненного цикла продукта — от требований и разработки до проверки, обработки уязвимостей, обновлений и документации.

В ODOT мы применяем именно такой подход сегодня.

Наша подготовительная работа постепенно подключает:

· Обзор требований к продукту

· Анализ сетевого интерфейса и поверхности атаки

· Оценка рисков кибербезопасности

· Программное обеспечение и контроль версий

· Проверка и тестирование продукта

· Отслеживание продукта и прошивки

· Обработка уязвимостей

· Обновления программного обеспечения

· Техническая документация

Цель состоит в том, чтобы превратить нормативные требования в практические и отслеживаемые инженерные действия.

От требований к продукту к оценке рисков кибербезопасности

Кибербезопасность начинается гораздо раньше, чем финальное тестирование продукта.

На этапе требований к продукту необходимо определить соображения безопасности и включить их в процесс разработки. Внешние интерфейсы, включая сетевые порты, протоколы связи и другие доступные интерфейсы, также следует рассматривать как часть потенциальной поверхности атаки продукта.
Как только эти интерфейсы будут поняты, потенциальные риски кибербезопасности можно будет выявить, оценить и устранить.

Важным моментом является не только принятие инженерных решений, но и обеспечение того, чтобы обоснования и результирующие действия оставались документированными и отслеживаемыми на протяжении всего жизненного цикла продукта.

Кибербезопасность сохраняется после того, как продукт покидает завод

Готовность CRA не заканчивается с выпуском продукта.

Промышленные продукты продолжают развиваться за счет изменений прошивки, обновлений программного обеспечения и появления новых версий. Когда сообщается о проблеме безопасности или уязвимости, производителям необходимы процессы для получения, оценки, устранения, проверки и документирования проблемы.

Это превращает управление уязвимостями в непрерывную деятельность, а не в одноразовую задачу разработки.

Обновления программного обеспечения также необходимо контролировать и проверять. Идентификация продукта, включая серийный номер, версию оборудования и версию встроенного ПО, помогает связать изменения, результаты испытаний и последующие действия с правильной конфигурацией продукта.

Документация — часть жизненного цикла

Оценки рисков, записи версий, отчеты об испытаниях, записи об уязвимостях и записи обновлений вместе образуют отслеживаемый массив доказательств.

Поэтому техническую документацию не следует рассматривать как последний административный этап после завершения инженерных работ. Это часть жизненного цикла самого продукта.

В то же время соответствующие гармонизированные стандарты все еще разрабатываются. ODOT продолжает следить за процессом стандартизации и будет пересматривать и согласовывать свою деятельность по подготовке по мере появления соответствующих стандартов.

ODOT сейчас готовится

CRA – это не один тест.

Это не один документ.

И это не является обязанностью только одного отдела.

Это жизненный цикл, соединяющий требования, оценку рисков, разработку, проверку, контроль версий, обработку уязвимостей, обновления и документацию .

Вот почему ODOT уже работает над преобразованием требований кибербезопасности в практические процессы проектирования и жизненного цикла продукта.

Готовность CRA начнется до 2027 года.

ОДОТ сейчас готовится.

Посмотрите видео, чтобы узнать, как ODOT приближается к обеспечению готовности CRA на протяжении всего жизненного цикла промышленного продукта.