Акт про кіберстійкість () — нормативно-правовий акт Європейського Союзу щодо покращення кібербезпеки та в ЄС за допомогою загальних стандартів кібербезпеки для продуктів із цифровими елементами, таких як обов'язкові звіти про інциденти та автоматичні оновлення безпеки. Продукти з цифровими елементами — це в основному апаратне та програмне забезпечення, «цільове та передбачуване використання якого включає пряме або непряме підключення даних до пристрою чи мережі».

Після пропозиції Європейської комісії від 15 вересня 2022 року численні організації з відкритим кодом розкритикували CRA за створення «охолоджуючого ефекту для ». Європейська комісія досягла політичної згоди щодо CRA 1 грудня 2023 року після низки поправок. Переглянутий проєкт регламенту запровадив «розпорядника відкритого коду», нову економічну концепцію, і отримав послаблення від багатьох організацій з відкритим кодом через виняток для програмного забезпечення з відкритим кодом, тоді як Debian критикував його вплив на малий бізнес і розповсюджувачів. Угода CRA отримала офіційне схвалення Європейського парламенту в березні 2024 року. Регламент був прийнятий Радою 10 жовтня 2024 року.

Мета Передумови, цілі та мотивація запропонованої політики включають:

Споживачі все частіше стають жертвами недоліків безпеки цифрових продуктів (наприклад, уразливости), зокрема пристроїв Інтернету речей або . Забезпечення безпеки цифрових продуктів у ланцюжку постачання є важливим для бізнесу, а кібербезпека часто є «повним ризиком компанії». Потенційні наслідки гакерства включають «серйозне порушення економічної та соціальної діяльности на внутрішньому ринку, підрив безпеки або навіть загрозу життю». Принципи безпеки за замовчуванням накладають обов'язок піклуватися про життєвий цикл продуктів замість того, щоб, наприклад, покладатися на споживачів і волонтерів для встановлення базового рівня безпеки. Нові правила «перебалансують відповідальність перед виробниками». Кібератаки призвели до «орієнтовних глобальних щорічних витрат на кіберзлочинність у 5,5 трильйонів євро до 2021 року». Швидке поширення цифрових технологій означає, що держави-вигнанці або недержавні групи можуть легше порушити критичну інфраструктуру, таку як державне управління та лікарні.

Як пише The Washington Post, CRA може зробити Європейський Союзом лідером у сфері кібербезпеки та «змінити правила гри в усьому світі» (див. також Брюссельський ефект).

Реалізація та механізми

Політика вимагає, щоб програмне забезпечення, яке, як «розумно очікується», матиме автоматичні оновлення, повинно розгортати оновлення безпеки автоматично , дозволяючи користувачам відмовитися від них. Якщо це можливо, оновлення безпеки слід відокремлювати від оновлень функцій. Компанії повинні проводити оцінку кіберризиків до того, як продукт буде випущено на ринок, і зберігати його дані та документацію протягом 10 років після виведення на ринок або періоду його підтримки, залежно від того, що довше. Компанії повинні будуть повідомляти ENISA про будь-які інциденти протягом 24 годин після того, як їм стало відомо про них, і вживати заходів для їх вирішення. Продукти з маркуванням CE «відповідатимуть мінімальному рівню перевірок кібербезпеки».

Близько 90 % продуктів із цифровими елементами підпадають під категорію за замовчуванням, для якої виробники самостійно оцінюють безпеку, пишуть декларацію відповідності ЄС та надають технічну документацію. Решта або «важливі», або «критичні». Продукти, важливі для безпеки, поділяються на два класи ризиків. Продукти, оцінені як «критичні», повинні пройти зовнішній авдит.

Після ухвалення акту виробники мали два роки, щоб адаптуватися до нових вимог, і один рік, щоб запровадити звіти про вразливості та інциденти. Невиконання вимог може призвести до штрафів у розмірі до 15 мільйонів євро або 2,5 відсотка від загального світового річного обороту порушника за попередній фінансовий рік. Штрафи не застосовуються до некомерційних розробників з відкритим кодом.

повідомляли про нові проєкти або проєкти змін, які включають такі зміни, як «усунення часових зобов'язань для терміну служби продуктів і обмеження обсягу звітності до значних інцидентів».

Очікувалося, що основні політичні групи в Європейському парламенті погодять Акт про кіберстійкість на зустрічі 5 липня 2023 року. Законодавці обговорили питання відкритого коду, періоди підтримки, зобов'язання щодо звітності та графік впровадження. Голосування комітету відбулося 19 липня 2023 року.

Іспанія, яка головувала в Раді ЄС, оприлюднила відредагований проєкт, який спрощує нормативні вимоги для підключених пристроїв. Це зменшить кількість категорій продуктів, які повинні відповідати певним нормам, зобов'яже повідомляти національні CSIRT про інциденти кібербезпеки та включить положення щодо визначення терміну служби продукту та полегшення адміністративного тягаря для малих компаній. Акт також уточнює, що запчастини з цифровими елементами, які постачаються оригінальним виробником, звільняються від нових вимог.

У тексті Ради також передбачено, що перш ніж шукати обов'язкову сертифікацію, виконавчі органи Європейського Союзу повинні провести оцінку впливу, щоб оцінити як аспекти пропозиції та попиту на внутрішньому ринку, так і спроможність та готовність держав-членів до впровадження запропонованих схем.

25 червня 2024 року Чеське національне управління з питань кібер- та інформаційної безпеки (NÚKIB) оголосило про кроки з імплементації Акту про кіберстійкість (CRA), зокрема нормативно-правовий акт, який очікується восени 2024 року, а його застосування розпочнеться наприкінці 2027 року після трирічного перехідного періоду. Цей регламент вимагатиме від виробників цифрових продуктів посилення кібербезпеки протягом усього життєвого циклу продукту. NÚKIB також проведе консультації з виробниками важливих і критично важливих продуктів з 25 червня по 17 липня 2024 року для розробки технічних специфікацій та збору відгуків.

Рецепція Спочатку запропонований акт піддався різкій критиці з боку прихильників відкритого коду.

Кілька організацій із відкритим кодом, як-от Eclipse Foundation, Open Source Initiative (OSI) і The Document Foundation, підписали відкритий лист «Відкритий лист до Європейської комісії щодо Акту про кіберстійкість», у якому просять політиків змінити недостатнє представництво спільноти з відкритим кодом. Було виявлено, що політика «[вільного та відкритого програмного забезпечення] становить понад 70 % програмного забезпечення в Європі [,] буде регулюватися без поглиблених консультацій», і якщо її впровадити, як зазначено (станом на квітень), це буде мати «охолоджуючий вплив на як глобальне зусилля, з чистим ефектом підриву власних цілей ЄС щодо інновацій, цифрового суверенітету та майбутнього процвітання». Фонд програмного забезпечення Apache опублікував подібну заяву, а OSI надіслав цю інформацію на запит Європейської комісії. Хоча «вітає та підтримує головні цілі CRA», вона також розкритикувала пропозицію щодо нечітких посилань на «комерційну діяльність», яка може включати багато проєктів з відкритим кодом (точку зору Ілкка Турунен з повторив), невідповідність іншим правилам ЄС і вимоги щодо розкриття непомітних уразливостей. Стівен Дж. Воган-Ніколс з стверджував, що «основне припущення CRA полягає в тому, що ви можете просто додати безпеку програмному забезпеченню», тоді як «[м]акі не мають ні доходу, ні ресурсів, щоб захистити свої програми відповідно до державних стандартів». попереджає, що «бюрократична тяганина процесу затвердження може перешкодити розгортанню нових технологій і послуг у Європі».

Поправки були опубліковані 1 грудня 2023 року в рамках політичної домовленості між співзаконодавцями, що викликало схвалення багатьох прихильників відкритого коду. Як написав Майк Мілінкович, виконавчий директор фонду Eclipse:

OSI звернув увагу на заяву Debian про те, що багатьом малим підприємствам і самостійним розробникам буде важко орієнтуватися в процесі розповсюдження програмного забезпечення з відкритим кодом, що залишилося без уваги. Apache позитивно оцінив зміни, водночас занепокоївшись застосовністю CRA до потенційно критичних компонентів з відкритим кодом і наголосивши на важливості співпраці з міжнародними органами стандартизації для полегшення сертифікації програмного забезпечення.

Див. також

Акт про штучний інтелект Захист прав споживачів Кіберсамооборона

Список інцидентів злому безпеки № 2024 Сталий дизайн Стандартизація

Примітки

Посилання

Акт про кіберстійкість на EUR-Lex Закон кіберстійкість | Формування цифрового майбутнього Європи цільова сторінка Комісії ЄС (DG CONNECT) Процедура 2022/0272/COD на EUR-Lex Процедура 2022/0272(COD) щодо ŒIL