I takt med att digitaliseringen blivit allt mer utbredd till diverse användningsområden och tekniska avancemang ständigt tillgängliggörs har digitala produkter blivit allt mer komplexa och mångfacetterade.
Till följd av en växande global marknad är Europeiska aktörer både bidragande till produkter som sätts på marknaden, men också beroende av komponenter och produkter som tillverkas i övriga delar av världen.
Detta gör att den Europeiska marknaden för digitala produkter blir allt mer komplex, utbredd och påverkad av globala företeelser. Detta även när det kommer till cybersäkerhet. Det finns en direkt koppling mellan digitala produkter som finns på den europeiska marknaden och Europas digitala resiliens, då digitala produkter utgör ett fundament för att möjliggöra ny teknisk funktionalitet för diverse användningsområden.
Denna företeelse är identifierad av Europeiska lagstiftare och ligger till grunden för regleringen av vilka digitala produkter som får placeras på den europeiska marknaden, Cyber Recilliance Act (CRA).
Åtstramning av krav för produkter med digitala element
De huvudsakliga kraven för en produkt med digitala element kan delas in i två kategorier.
Den första kategorin avser vilka egenskaper produkten har relaterat till cybersäkerhetsaspekter. Produkten skall utformas, utvecklas och produceras så att produkten når en lämplig cybersäkerhetsnivå baserat på risk. Ut över detta finns det 13 krav på egenskaper som skall appliceras om risker identifierade påvisar dess relevans samt om dessa egenskaper är tillämpliga.
Den andra kategorin avser krav på sårbarhetshantering. Här åläggs tillverkaren uppfylla 8 krav för hanteringen av sårbarheter för produkten. Här skall tilläggas att kraven på sårbarhetshantering rent praktiskt kan implementeras under olika faser av produktens livscykel, vilket innebär att tillverkaren behöver skapa sig en uppfattning om produktenslivccykel och implementera kontroller och krav där efter.
Utöver detta skall produkten också åtföljas av information till användaren där bland annat instruktioner för nödvändiga åtgärder under idrifttagning och under hela livslängden av produkten för säker användning, hur säkerhets relevanta uppdateringar kan installeras och hur ändringar av produkten kan påverka datasäkerheten etc.
CRA och CE-märkning
Produkter med digitala element som regleras av CRA kommer behöva CE-märkas. Detta gäller även för rena mjukvaruprodukter (exempelvis mobil appar). Detta gör att en CE-märkning inte alltid kommer ta formen av ett fysiskt märke på tilltänkt produkt utan kan även utfärdas digitalt för produkter där detta krävs.
Detta ställer också krav på att rätt dokumentation för produkten produceras och finns för tillhandahållande av tillverkaren för att påvisa efterlevnad.
Olika obligationer för olika typer av ekonomiska aktörer
Då CRA ämnar reglera produkterna som sätts på marknaden finns det olika typer av aktörer som har obligationer gentemot CRA.
Tillverkares skyldigheter och roll sett till CRA innebär att implementera och säkerställa att rätt säkerhetsfunktionalitet implementeras i produkten livscykel samt att funktionalitet och arbetssätt finns i livscykeln för att kunna hantera och rapportera sårbarheter.
Importörer är skyldiga att säkerställa att produkter och dess livscykler som importeras är godkända för den europeiska marknaden samt att tillverkaren har en godkänd sårbarhetshantering. Importörer har också obligationer att rapportera om en produkt ej uppfyller kraven samt att ta korrigerande åtgärder för att förhindra att ej godkända produkter görs tillgängliga på den europeiska marknaden och i värsta fall återkalla produkter.
Distributörer skall bekräfta att produkter som tillhandahålls på den europeiska marknaden är CE-märkta samt att både tillverkare och importörer följer de krav som åläggs dessa. Distributörer har också rapporterings- och korrigeringsskyldigheter (inkl återkallning) i de fall de misstänker att en produkt inte följer CRA.
Ut över detta skall importörer och distributörer ses som tillverkare och omfattas av tillverkarens skyldigheter om de släpper en produkt i eget namn eller eget varumärke. Detta gäller även distributörer och importörer som utför väsentliga ändringar av en produkt som täcks av CRA och redan är placerad på marknaden.
Vad behöver vi göra nu?
Eftersom rapporteringskrav för sårbarheter i produkter med digitala element trädde i kraft 11 September 2026, är det hög tid att säkerställa att denna förmågan finns och är fungerande i enlighet med kraven i CRA.
Vidare så bygger CRA på principer som redan appliceras av diverse tillverkare världen över. Detta gör att man redan nu kan inventera och utveckla de kapabiliteter som behövs för att uppfylla de krav som träder i kraft 11 december 2027.
Att inkludera säkerhetsaktiviteter så tidigt som möjligt under utvecklingsfasen är ur ett ekonomiskt och säkerhets perspektiv ett av de mest effektiva sätten att hantera säkerhetsaspekter i en produkts utvecklings-och livscykelfaser.
Hotmodellering är exempelvis en metodik för i ett tidigt skede identifiera risker och svagheter i en design, vilket väsentligt underlättar att åtgärda designbrister i ett tidigt skede. Säkerhetsåtgärder tenderar till att öka i kostnad ju längre utvecklings processen lider, vilket gör att tidig identifikation möjliggör kostnadseffektiva och kvalitativa lösningar vid identifierade designbrister.
Att tidigt under utvecklingsfasen identifiera en produkts livscykelfaser är en vidare metod för att dels förstå vart risker uppstår och på så vis ge guidning kring vart säkerhetsfunktionallitet och säkerhetsförmågor bör implementeras. För en produktlivscykel kan inte all implementation ske direkt i produkten som produceras och distribueras utan det finns även säkerhetsåtgärder som behöver implementeras i tex. design och operations faserna.
Att elicitera krav som anknyter till vilka risker de ämnar minska är vidare en metod för att möjliggöra att design, utveckling och produktion styrs mot att inkludera funktionalitet och karakteristik som förbättrar en produkts säkerhetshållning.
Dessa förhållningssätt möjliggör också att man kan utveckla produkter med en högre säkerhetshållning utan att förhindra eller försämra en produkts kärnfunktionalitet på grund av sen identifikation och åtgärd av brister när produkten är i slutskeden av utvecklingsfasen eller efterföljande faser av sin livscykel.
CRA – Steget mot ett motståndskraftigt Europa
Principerna som underbygger CRA är i sig inget nytt inom utveckling, men CRA bidrar med att höja lägstanivån för vilka produkter som faktiskt får placeras på den Europeiska marknaden. Detta gör att allt från stora organisationer till enskilda individer i en högre grad kan förlita sig på att produkterna de köper och använder har en acceptabel cybersäkerhetsnivå.
Med detta sagt bör CRA inte ses som målet utan snarare kvalgränsen. Det är måttet på att en produkt får finnas på den europeiska marknaden, inte att produkten är den bästa tillgängliga.