Το 2018, ένα περιστατικό κυβερνοεπίθεσης απέδειξε με έναν σχεδόν απρόσμενο τρόπο πόσο έχει αλλάξει η έννοια της κυβερνοασφάλειας.
Ένα καζίνο στη Βόρεια Αμερική παραβιάστηκε μέσω ενός «έξυπνου» θερμομέτρου σε ενυδρείο. Η συσκευή ήταν συνδεδεμένη στο διαδίκτυο για την παρακολούθηση και ρύθμιση των συνθηκών του ενυδρείου. Οι επιτιθέμενοι εκμεταλλεύτηκαν την αδυναμία της, απέκτησαν πρόσβαση στο δίκτυο και κατάφεραν να εξαγάγουν δεδομένα.
Μια μικρή, φαινομενικά ασήμαντη συνδεδεμένη συσκευή είχε μετατραπεί σε πύλη εισόδου σε ένα πολύ μεγαλύτερο σύστημα. Η ιστορία αυτή παραμένει επίκαιρη γιατί αναδεικνύει μια βασική πραγματικότητα της ψηφιακής εποχής: η ασφάλεια ενός ψηφιακού οικοσυστήματος εξαρτάται και από την ασφάλεια κάθε προϊόντος που συνδέεται σε αυτό.
Και ακριβώς εδώ βρίσκεται η ουσία του Cyber Resilience Act.
Η ασφάλεια ως χαρακτηριστικό του ίδιου του προϊόντος
Ο Cyber Resilience Act σηματοδοτεί μια σημαντική αλλαγή στην ευρωπαϊκή προσέγγιση.
Η κυβερνοασφάλεια δεν μπορεί πλέον να αντιμετωπίζεται ως μια πρόσθετη λειτουργία που εξετάζεται αφού ένα προϊόν σχεδιαστεί, κατασκευαστεί και φτάσει στην αγορά. Ενσωματώνεται πλέον στον ίδιο τον κύκλο ζωής του προϊόντος.
Με τον CRA, η κυβερνοασφάλεια καθίσταται ουσιαστικό χαρακτηριστικό των προϊόντων με ψηφιακά στοιχεία. Η ευθύνη εκτείνεται σε ολόκληρη την αλυσίδα εφοδιασμού, με πρωταρχικό ρόλο για τους κατασκευαστές, αλλά και συγκεκριμένες υποχρεώσεις για εξουσιοδοτημένους αντιπροσώπους, εισαγωγείς και διανομείς.
Πρόκειται ουσιαστικά για μια μετάβαση από τη λογική του «αντιμετωπίζω την ευπάθεια όταν εμφανιστεί» στη λογική του «σχεδιάζω εξαρχής ένα ασφαλέστερο προϊόν».
Από τον Κανονισμό στην πράξη
Αυτή ακριβώς η μετάβαση βρέθηκε στο επίκεντρο του συνεδρίου “Building CRA Compliance through Horizontal Cybersecurity Standards”, που πραγματοποιήθηκε στις 21 Σεπτεμβρίου στη Λευκωσία, με τη στήριξη του Γραφείου Επιτρόπου Επικοινωνιών.
Η συζήτηση γύρω από τα πρότυπα έχει ιδιαίτερη σημασία, γιατί κάθε νέο κανονιστικό πλαίσιο κρίνεται τελικά από το κατά πόσο μπορεί να εφαρμοστεί αποτελεσματικά στην πράξη.
Ο Κανονισμός θέτει τις απαιτήσεις. Τα πρότυπα βοηθούν να μετατραπούν αυτές οι απαιτήσεις σε εφαρμόσιμες τεχνικές λύσεις.
Τα οριζόντια πρότυπα που αναπτύσσονται στο πλαίσιο των CEN και CENELEC θα συμβάλουν ακριβώς σε αυτή τη διαδικασία, παρέχοντας στη βιομηχανία – και ιδιαίτερα στις μικρότερες επιχειρήσεις – μια σαφέστερη διαδρομή για την απόδειξη συμμόρφωσης.
Αυτό είναι κρίσιμο και για τις μικρομεσαίες επιχειρήσεις. Η συμμόρφωση δεν πρέπει να αποτελεί έναν λαβύρινθο τεχνικών και νομικών απαιτήσεων. Χρειάζεται σαφήνεια, προβλεψιμότητα και πρακτικά εργαλεία που επιτρέπουν στις επιχειρήσεις να γνωρίζουν τι αναμένεται από αυτές.
Παράλληλα, η δημιουργία κοινών απαιτήσεων ενισχύει και την ευρωπαϊκή Ενιαία Αγορά. Ένα ασφαλές ψηφιακό προϊόν πρέπει να μπορεί να κυκλοφορεί σε ένα περιβάλλον όπου οι κανόνες είναι κατανοητοί και εφαρμόζονται με συνέπεια.
Ο CRA έχει ήδη αρχίσει να γίνεται πραγματικότητα
Η συζήτηση δεν αφορά πλέον μόνο το τι θα συμβεί στο μέλλον.
Από τις 11 Σεπτεμβρίου 2026, έχουν αρχίσει να εφαρμόζονται οι υποχρεώσεις αναφοράς του CRA. Οι κατασκευαστές οφείλουν πλέον να αναφέρουν ενεργά εκμεταλλευόμενες ευπάθειες, καθώς και σοβαρά περιστατικά ασφάλειας, μέσω της ενιαίας πλατφόρμας αναφοράς της ENISA.
Οι κύριες υποχρεώσεις του Κανονισμού θα αρχίσουν να εφαρμόζονται τον Δεκέμβριο του 2027. Το διάστημα μέχρι τότε δεν πρέπει να αντιμετωπιστεί ως χρόνος αναμονής. Είναι χρόνος προετοιμασίας.
Οι κατασκευαστές και γενικότερα η αγορά έχουν μπροστά τους την ευκαιρία να κατανοήσουν τις νέες απαιτήσεις, να προσαρμόσουν διαδικασίες και προϊόντα και να ενσωματώσουν ακόμη περισσότερο την κυβερνοασφάλεια στον τρόπο με τον οποίο σχεδιάζουν και λειτουργούν.
Η Κύπρος έχει συγκεκριμένο ρόλο
Στην Κύπρο, το Γραφείο Επιτρόπου Επικοινωνιών, μέσω της Αρχής Ψηφιακής Ασφάλειας, έχει αναλάβει σημαντικές αρμοδιότητες στο πλαίσιο του Cyber Resilience Act.
Ως Notifying Authority, είναι αρμόδιο για τον ορισμό, την κοινοποίηση και την παρακολούθηση των οργανισμών αξιολόγησης συμμόρφωσης.
Ως Market Surveillance Authority, θα παρακολουθεί την αγορά, θα ελέγχει τη συμμόρφωση των προϊόντων και θα απαιτεί διορθωτικά μέτρα όπου εντοπίζεται μη συμμόρφωση.
Παράλληλα, μέσω του εθνικού CSIRT, λαμβάνονται οι κοινοποιήσεις που υποβάλλουν οι κατασκευαστές μέσω της ενιαίας ευρωπαϊκής πλατφόρμας αναφοράς.
Ο ρόλος, όμως, μιας δημόσιας αρχής δεν εξαντλείται στην εποπτεία και στην επιβολή.
Αποτελεσματική ρύθμιση σημαίνει επίσης σαφήνεια, ενημέρωση, ενθάρρυνση της συμμόρφωσης και συνεργασία με τη βιομηχανία, ιδιαίτερα σε μια περίοδο κατά την οποία οι επιχειρήσεις έχουν ακόμη χρόνο να προετοιμαστούν.
Από ένα θερμόμετρο σε μια νέα αντίληψη για την ασφάλεια
Το θερμόμετρο εκείνου του ενυδρείου ήταν μία μικρή συσκευή.
Το περιστατικό, όμως, ανέδειξε ένα πολύ μεγαλύτερο πρόβλημα: στον συνδεδεμένο κόσμο, ένα προϊόν που δεν είναι επαρκώς ασφαλές μπορεί να δημιουργήσει κίνδυνο πολύ μεγαλύτερο από τη λειτουργία για την οποία κατασκευάστηκε.
Ο Cyber Resilience Act επιχειρεί να αντιμετωπίσει ακριβώς αυτή την πραγματικότητα, μεταφέροντας την κυβερνοασφάλεια πιο κοντά στην αφετηρία: στον σχεδιασμό, στην ανάπτυξη και στην ευθύνη για το ίδιο το προϊόν.
Για αυτό και το πραγματικό ζητούμενο δεν είναι απλώς η συμμόρφωση με έναν ακόμη ευρωπαϊκό Κανονισμό.
Είναι να εδραιώσουμε μια διαφορετική αντίληψη για τα ψηφιακά προϊόντα που κατασκευάζουμε, διαθέτουμε και χρησιμοποιούμε.
Η κυβερνοασφάλεια δεν πρέπει να αρχίζει όταν εντοπιστεί η πρώτη ευπάθεια.
Πρέπει να αρχίζει όταν σχεδιάζεται το ίδιο το προϊόν.
