Cyber Resilience Act (CRA) – mida ELi uued küberturbenõuded tööstusvõrkudele tähendavad

Mis on Cyber Resilience Act?

CRA on esimene ELi õigusakt, mis kehtestab küberturvalisuse nõuded otse toodetele, samamoodi nagu madalpinge- ja EMÜ-direktiiv kehtestavad nõuded elektriohutusele ja häiretele. Määrus jõustus 10. detsembril 2024 ja kehtib kogu ELis, ilma et riigid peaksid oma seadusi kirjutama.

See hõlmab kõike, millel on „digitaalelemendid“ ja mida saab ühendada võrku või mõne teise seadmega: kommutaatorid, ruuterid, lüüsid, tööstusarvutid, operaatoripaneelid, võrku ühendatud andurid ja nendega kaasas olev tarkvara. Erandid kehtivad valdkondadele, millel on juba oma reeglid, näiteks meditsiiniseadmed, sõidukid, tsiviillennundus ja laevavarustus.

Ajatelg

Enne 11. detsembrit 2027 turule lastud tooteid võib edasi müüa ja kasutada. Tootja teavitamiskohustus kehtib aga juba praegu, ka nende puhul.

Mida CRA tootjalt nõuab?

• Turvaline algusest peale: riskihindamine, tarnimisel puuduvad teadaolevad turvanõrkused, turvalised vaikesätted ilma vaikeparoolideta ning andmete ja juurdepääsu kaitse.
• Turvanõrkuste käsitlemine kogu tugiperioodi vältel: viivitamatud turvauuendused, kanal turvanõrkustest teatamiseks ja tarkvarakomponentide loetelu (SBOM).
• Tugiperiood: tootja peab märkima, kui kaua toode turvauuendusi saab. See peab vastama eeldatavale kasutusajale ja on tavaliselt vähemalt viis aastat.
• Teavitamine: aktiivselt ärakasutatud turvanõrkustest ja rasketest intsidentidest teavitatakse ENISAt – varajane hoiatus 24 tunni jooksul, teade 72 tunni jooksul ja seejärel lõpparuanne.
• Dokumentatsioon: tehniline dokumentatsioon, ELi vastavusdeklaratsioon ja CE-märgis.

Trahvid võivad ulatuda 15 miljoni euroni või 2,5 protsendini ülemaailmsest käibest.

I klass, II klass ja kriitilised tooted

Enamik tooteid kuulub standardkategooriasse, kus tootja ise hindab, kas nõuded on täidetud. Turvalisuse seisukohast olulisemad tooted on loetletud „oluliste toodetena“.

See, millisesse kategooriasse toode kuulub, sõltub selle põhifunktsioonist. Tulemüüriga turvalist ruuterit võidakse seega hinnata teisiti kui lihtsat kommutaatorit. Küsi tootjalt, kuidas nad toote on klassifitseerinud.

Mis puutub siia IEC 62443?

IEC 62443 on tööstusautomaatikasüsteemide küberturvalisuse väljakujunenud standardisari. Komponentide ostja jaoks on eriti huvitavad kaks osa:

• IEC 62443-4-1 kirjeldab tootja turvalist arendusprotsessi: kuidas tooteid projekteeritakse, testitakse ja hooldatakse.
• IEC 62443-4-2 esitab komponendile endale tehnilised turvanõuded nelja turvatasemega (SL 1–4).

IEC 62443 ei ole sama mis CRA ja EL töötab määruse jaoks välja oma harmoneeritud standardid. Nõuded kattuvad siiski suurel määral. Tootja, kes on juba sertifitseeritud IEC 62443-4-1 järgi ja kelle tooted on sertifitseeritud 62443-4-2 järgi, on jõudnud kaugele.

Mida tarnijalt küsida?

Kui ehitad masinaid või seadmestikke

Kui paigaldad kommutaatori või tööstusarvuti masinasse, mida müüd ELis, ei muutu masin automaatselt CRA-tooteks – määrusele peavad vastama komponendid. Masina kui terviku ohutuse eest vastutad aga sina. Uus masinamäärus (EL) 2023/1230, mida kohaldatakse alates 20. jaanuarist 2027, nõuab muu hulgas kaitset manipuleerimise eest, mis võib põhjustada ohtlikke olukordi. Seepärast vali pika tugiperioodi ja dokumenteeritud turvanõrkuste käsitlusega komponendid ning planeeri, kuidas uuendusi lõppkliendi juures tehakse.

Kui müüd tarkvara või digitaalelementidega toodet oma nime all, loetakse tootjaks sind ennast.

Levinud vead

1. Ootamine 2027. aastani. Teavitamiskohustus kehtib juba ning pärast 2027. aasta detsembrit tarnitavad projektid tuleks juba nüüd planeerida CRA-märgisega komponentidega.
2. CE-märgise ja küberturvalisuse segiajamine. Praegune CE-märgis küberturvalisust ei hõlma. Seda teeb see alles CRA-ga.
3. Tugiperioodi unustamine. Kommutaator, mis peab seadmestikus töötama 15 aastat, vajab uuendusi kauem kui kontorikommutaator. Võrdle tugiperioodi, mitte ainult hinda.
4. Vaikesätete muutmata jätmine. Ka CRA-märgisega toode tuleb õigesti seadistada: vaheta paroolid, sulge kasutamata pordid ja teenused ning jaga võrk tsoonideks.

SCN-i võrgutooted

Meie kommutaatorite, ruuterite ja tööstusarvutite tootjad valmistuvad CRA-ks. Näiteks Moxa on sertifitseeritud IEC 62443-4-1 järgi ja tal on IEC 62443-4-2 järgi sertifitseeritud tooteid. Levitajana kontrollime, et toodetel oleks õige CE-märgis ja dokumentatsioon, ning edastame sulle tootjate turvateavet. Küsi meilt konkreetse toote tugiperioodi ja CRA-staatuse kohta.

Näiteid meie tootevalikust

Korduma kippuvad küsimused

Kas CRA kehtib juba paigaldatud toodete kohta?

Ei, nõuded kehtivad toodetele, mis lastakse turule alates 11. detsembrist 2027. Paigaldatud seadmeid ei pea välja vahetama. Tootjad peavad aga juba praegu teavitama aktiivselt ärakasutatud turvanõrkustest ka vanemates toodetes.

Kas pärast 2027. aasta detsembrit saab osta CRA-märgiseta kommutaatoreid?

Enne seda kuupäeva turule lastud tooteid võib edasi müüa, näiteks laost. Pärast seda kuupäeva turule lastavad tooted peavad vastama CRA-le.

Millisesse CRA klassi tööstuslik kommutaator kuulub?

I klassi. Ruuterid, modemid ja kommutaatorid loetakse olulisteks toodeteks, mis tähendab rangemaid nõudeid selle kohta, kuidas tootja tõendab toote vastavust nõuetele. Tulemüürifunktsiooniga ruuter võib kuuluda II klassi.

Kas piisab, kui toode on sertifitseeritud IEC 62443 järgi?

Mitte automaatselt. IEC 62443 hõlmab suurt osa samadest nõuetest ja on tugev märk sellest, et tootja võtab turvalisust tõsiselt, kuid formaalselt loeb CRA kohane CE-märgis.

Kas CRA kehtib Ühendkuningriigis ja Norras?

CRA on ELi määrus ja kehtib otse ELi liikmesriikides. See on märgitud EMP-s kohaldatavaks ja eeldatavasti saab sellest osa EMP lepingust, kuid 2026. aasta novembris ei olnud see veel Norra õigusesse üle võetud. Ühendkuningriigil on oma reeglid. Kes müüb ELi, peab igal juhul vastama CRA-le.

See on üldine juhend, mitte õigusnõustamine. Määruse täisteksti leiad siit: EUR-Lex: määrus (EL) 2024/2847.