A Lei de Resiliência Cibernética da UE: Planejamento para conformidade

A Lei de Resiliência Cibernética (CRA) da UE estabelece requisitos rigorosos de segurança cibernética para todos os produtos com elementos digitais vendidos no mercado europeu, garantindo que eles permaneçam cibernéticos na fase de projeto e durante todo o seu ciclo de vida.

Aprovada em 12 de março de 2024 pelo Parlamento Europeu, essa legislação exige prontidão de conformidade dos fabricantes, distribuidores e importadores em toda a UE. Depois que a lei for formalmente adotada pelo Conselho, os fabricantes terão 36 meses para entrar em conformidade.

Este artigo descreve os principais componentes e as etapas necessárias para a conformidade com a Lei de Resiliência Cibernética, ajudando-o a preparar a sua cadeia de suprimentos e a evitar as penalidades da não conformidade.

Por que a conformidade com a Lei de Resiliência Cibernética da UE é importante

A conformidade com a CRA é fundamental para proteger seus produtos - e consumidores - de ataques cibernéticos e para evitar as penalidades decorrentes da não conformidade.

A CRA aborda duas questões críticas. Em primeiro lugar, ela aborda as vulnerabilidades de segurança cibernética predominantes em produtos digitais devido aos baixos padrões de segurança cibernética e garante que os fabricantes permaneçam responsáveis pela segurança cibernética de seus produtos durante todo o seu ciclo de vida. Em segundo lugar, visa a melhorar o acesso e a compreensão dos usuários sobre as informações de segurança cibernética, capacitando-os a fazer escolhas informadas sobre a segurança cibernética dos produtos que usam e como configurá-los com segurança.

O não cumprimento das obrigações de segurança cibernética pode resultar em repercussões legais, inclusive multas, e ter um impacto prejudicial na sua reputação e no acesso ao mercado na UE. Embora as penalidades exatas sejam decididas por cada Estado-Membro, é fundamental alinhar suas operações com as disposições da lei para evitar tais penalidades.

Escopo da lei

A CRA se aplica a fabricantes de produtos de hardware e software com elementos digitais vendidos na UE. Isso inclui, mas não se limita a, dispositivos e componentes como:

• Laptops

• Smartphones

• Discos rígidos

• Alto-falantes inteligentes

• Roteadores

• Interruptores

• Aplicativos móveis

• Firewalls

• Videogames

• Firmware

• Sistemas operacionais

• Unidades de processamento de computadores (CPUs)

De acordo com a CRA, os fabricantes e desenvolvedores desses produtos estão sujeitos a requisitos de segurança cibernética que regulam tanto a fase de projeto quanto as atualizações de segurança.

Os seguintes tipos de produtos não estão cobertos pelo escopo da CRA:

• Software que é fornecido como parte de um serviço

• Software de código aberto não comercial

• Produtos com elementos digitais desenvolvidos ou modificados exclusivamente para fins de segurança ou defesa nacional

• Produtos já cobertos por outras legislações da UE, como dispositivos médicos, aviões e veículos.

Essas exclusões ajudam a evitar a sobreposição de regulamentações e garantem que os produtos sejam regulamentados sob a estrutura mais apropriada para seus casos de uso e riscos específicos.

Requisitos da Lei de Resiliência Cibernética

O Anexo I da CRA estabelece requisitos essenciais de segurança cibernética para que os fabricantes apoiem a capacidade dos produtos de resistir a ataques cibernéticos e operar com segurança.

De acordo com a Parte I, os fabricantes devem garantir:

• Seus produtos não têm "vulnerabilidades exploráveis" conhecidas quando colocados no mercado

• As vulnerabilidades podem ser resolvidas por meio de atualizações de segurança, incluindo atualizações automáticas (que os usuários podem desativar ou adiar facilmente, se desejarem)

• Seus produtos protegem a confidencialidade das informações armazenadas

• Seus produtos são projetados, desenvolvidos e produzidos para limitar os ataques e minimizar os impactos negativos caso ocorram

De acordo com a Parte II, os fabricantes devem:

• Identificar e documentar vulnerabilidades com uma lista de materiais de software

• Resolva e corrija as vulnerabilidades rapidamente, inclusive fornecendo atualizações de segurança

• Testar e revisar regularmente a segurança de seus produtos

• Compartilhe e divulgue publicamente informações sobre vulnerabilidades que foram corrigidas após uma atualização de segurança e crie uma política sobre a divulgação coordenada de vulnerabilidades

O Anexo II da CRA estabelece requisitos para as informações e instruções que devem ser fornecidas aos usuários de produtos com elementos digitais, incluindo, entre outros:

• O nome, a marca comercial, o endereço postal e as informações de contato do fabricante

• Onde pode ser encontrada a política do fabricante sobre a divulgação coordenada de vulnerabilidades

• Como as atualizações de segurança relevantes podem ser instaladas

• Como os dados do usuário podem ser removidos com segurança.

• Como as atualizações automáticas de segurança podem ser desativadas

Os requisitos descritos acima são um resumo dos requisitos mais importantes estabelecidos na CRA, mas não são uma lista completa. Para obter a lista completa de requisitos, consulte o texto completo adotado da CRA.

Etapas para a conformidade

Os fabricantes devem seguir as seguintes etapas para garantir a conformidade.

1. Avaliação de riscos: Identifique e avalie os riscos de segurança cibernética dos seus produtos digitais.

2. Integração do projeto: Incorporar medidas essenciais de segurança cibernética durante o projeto e o desenvolvimento do produto.

3. Avaliação da conformidade: Escolha entre autoavaliação e avaliação de terceiros com base no perfil de risco de seu produto. A lei divide os produtos cobertos em três categorias. Produtos "padrão" são aqueles sem vulnerabilidades de segurança cibernética. Os fabricantes de produtos padrão podem realizar uma autoavaliação de suas vulnerabilidades de segurança cibernética.

Os demais produtos, listados nos Anexos III e IVsão identificados como "Importantes" ou "Críticos", pois apresentam níveis mais altos de risco. Esses produtos são divididos em duas classes de risco, Classe I e Classe II. Os produtos de Classe I, como gerenciadores de senhas ou leitores biométricos, podem aderir a um padrão da UE para garantir a conformidade ou passar por uma avaliação de terceiros para demonstrar a conformidade com a Lei. Os produtos de Classe II, como sistemas operacionais ou firewalls e roteadores para uso industrial, devem passar por avaliações de terceiros para demonstrar conformidade devido ao seu maior risco de segurança.

As organizações europeias de padronização criarão padrões técnicos para muitas das categorias de produtos abrangidas

4. Declaração de conformidade: Elabore uma declaração da UE confirmando que seu produto atende aos requisitos da CRA, contendo as informações estabelecidas no Anexo V.

5. Marcação CE: Coloque a marcação CE em seu produto como um símbolo de conformidade.

6. Atualizações de segurança: Defina um período de suporte (o período de tempo designado durante o qual os fabricantes são obrigados a fornecer atualizações de segurança e gerenciar vulnerabilidades para seus produtos digitais, correlacionado com a duração esperada do uso do produto) e forneça consistentemente as atualizações de segurança necessárias.

7. Gerenciamento de vulnerabilidades: Estabelecer um sistema para gerenciar e abordar as vulnerabilidades.

8. Informações ao usuário: Informe claramente os usuários sobre os recursos de segurança cibernética e o período de suporte do seu produto.

Planejamento para conformidade com CRA com QIMA/CCLab

Enquanto você trabalha para alcançar a conformidade com a Lei de Resiliência Cibernética da UE, a parceria com a QIMA/CCLab pode simplificar significativamente sua jornada. A QIMA/CCLab oferece serviços especializados de serviços de segurança cibernética especializados em segurança cibernética, feitos sob medida para garantir que seus produtos atendam aos rigorosos padrões estabelecidos pela CRA.

Com orientação especializada sobre avaliações de risco, avaliações de conformidade, gerenciamento de vulnerabilidades e testes de produtos eletrônicosa QIMA/CCLab pode ajudar em todas as etapas, desde a integração do projeto até a colocação do seu produto no mercado.

Para obter mais informações sobre as regulamentações de segurança cibernética na UE, leia nosso whitepaper: Cybersecurity for IoT and Beyond (Segurança cibernética para IoT e além: Conformidade com as regulamentações da UE