A Lei PSTI do Reino Unido: Guia de conformidade do fabricante

De acordo com um relatório de 2020 da Internet of Things Security Foundation, apenas 1 em cada 5 fabricantes inclui requisitos de segurança em seus produtos conectáveis ao consumidor, deixando os consumidores expostos a riscos. Com isso em mente, o governo do Reino Unido introduziu a Lei de Segurança de Produtos e Infraestrutura de Telecomunicações (PSTI), uma futura regulamentação de segurança cibernética. Essa legislação busca reforçar a segurança dos produtos conectáveis ao consumidor impondo requisitos mínimos de segurança aos quais os fabricantes devem aderir.

Neste artigo, vamos nos aprofundar nos detalhes da Lei PSTI, discutir as implicações de conformidade para os fabricantes e explorar os novos poderes que ela concede às autoridades de fiscalização.

Principais conclusões

• A Lei PSTI entrará em vigor em 29 de abril de 2024. Após essa data, os fabricantes de produtos conectáveis ao consumidor (também chamados de dispositivos da Internet das Coisas ou IoT) deverão cumprir os requisitos de segurança estabelecidos na lei.

• O objetivo da Lei PSTI é garantir que os produtos conectáveis do consumidor sejam mais seguros contra ataques cibernéticos.

• A Lei PSTI também trabalha para criar um regime de fiscalização a fim de evitar que produtos com segurança cibernética sejam vendidos no Reino Unido.

Visão geral da Lei PSTI

A Lei PSTI foi oficialmente sancionada em 2022, e os Regulamentos PSTI completos entrarão em vigor em 29 de abril de 2024. A nova regulamentação marca uma nova era para a segurança cibernética no Reino Unido, pois determina a criação de novos requisitos mínimos de segurança que os fabricantes, importadores e distribuidores de produtos conectáveis ao consumidor devem cumprir.

Os produtos conectáveis do consumidor incluem produtos que podem ser conectados à Internet ou a outras redes de comunicação, como smartphones, laptops, dispositivos domésticos inteligentes e wearables. Esses produtos se tornaram onipresentes na vida cotidiana dos consumidores, mas muitos não têm recursos de segurança cibernética, o que os torna um alvo principal para os criminosos cibernéticos. A Lei PSTI visa a mitigar esses riscos de segurança cibernética e proteger os consumidores, garantindo que os fabricantes incorporem medidas de segurança em seus produtos.

A Parte 1 da lei se concentra na segurança do produto, enquanto a Parte 2 da lei se concentra em melhorias na infraestrutura de telecomunicações. Este artigo se concentra apenas na Parte 1.

Novos requisitos para a segurança do produto

Os novos requisitos de segurança aos quais os fabricantes devem aderir estão estabelecidos no Cronograma 1 dos Regulamentos PSTI 2023.

Por exemplo, o regulamento estabelece requisitos para senhas criadas pelo fabricante, como a exigência de que as senhas sejam criadas pelo usuário ou sejam exclusivas para cada produto individual.

Em resumo, os requisitos de segurança da Lei PSTI são os seguintes:

• As senhas padrão, ou senhas fáceis de adivinhar, são proibidas.

• Os produtos devem ter uma "política de divulgação de vulnerabilidades". A lei exige que os fabricantes implementem medidas que permitam que pessoas de fora da empresa relatem vulnerabilidades em um produto e publiquem informações sobre esse processo de relatório.

• Os produtos devem fornecer informações aos consumidores sobre por quanto tempo seus produtos são compatíveis com atualizações de segurança. O Anexo 2 da Lei PSTI exige que essas informações sejam expressas em uma linguagem que os consumidores que não têm conhecimento técnico possam entender.

Quem deve cumprir a Lei PSTI?

Os fabricantes, importadores e distribuidores de produtos conectáveis ao consumidor precisam seguir os requisitos de segurança estabelecidos por essa lei. A lei também exige que esses indivíduos garantam que seus produtos sejam fornecidos com uma declaração de conformidade e que tomem medidas caso haja algum problema com o cumprimento desses requisitos de segurança.

Quais produtos são cobertos pela Lei PSTI?

Os produtos que podem ser conectados a uma rede ou à Internet estão sob o escopo deste regulamento. Esses são os dispositivos da Internet das Coisas, que incluem, mas não se limitam a:

• Smartphones

• Câmeras, TVs e alto-falantes conectados

• Brinquedos infantis conectados e monitores para bebês

• Produtos conectados relevantes para a segurança, como detectores de fumaça e fechaduras de portas

• Estações base e hubs da Internet das Coisas aos quais vários dispositivos se conectam

• Rastreadores de condicionamento físico conectados e vestíveis

• Produtos de lazer ao ar livre, como dispositivos GPS portáteis conectados que não são vestíveis

• Sistemas de alarme e automação residencial conectados

• Aparelhos domésticos conectados, como geladeiras inteligentes

• Assistentes domésticos inteligentes

Também é importante saber que os seguintes dispositivos estão excluídos das normas PSTI do Reino Unido:

• Pontos de recarga para veículos elétricos

• Dispositivos médicos (se estiverem incluídos no MDR)

• Produtos de medidores inteligentes

• Produtos de computador, como desktops, laptops e tablets, que não têm a capacidade de se conectar a redes celulares.

Garantia de conformidade com a Lei PSTI

A Lei PSTI introduz um sistema de autodeclaração supervisionado pelas autoridades de fiscalização do mercado. Os fabricantes devem declarar sua adesão à lei por meio de uma declaração de conformidade, que deve incluir as informações descritas no Anexo 4 dos Regulamentos PSTI. Isso implica a necessidade de realizar uma avaliação de conformidade dos produtos conectáveis de forma competente, antes de assinar a declaração de conformidade.

O Secretário de Estado tem poderes para examinar produtos e investigar casos de não conformidade. Os fabricantes que alegarem falsamente a conformidade poderão sofrer penalidades como resultado das investigações. As penalidades monetárias que os fabricantes que não estiverem em conformidade poderão enfrentar estão descritas na Parte 1, Capítulo 3, Seção 36 da Lei PSTI. A penalidade máxima é de £10 milhões ou "4% da receita mundial qualificada da pessoa para o período contábil completo mais recente da pessoa" - o que for maior. A lei também permite que o Secretário de Estado publique publicamente informações sobre falhas de conformidade e o poder de fazer recall de produtos que não estejam em conformidade.

QIMA, por meio do laboratório de segurança cibernética credenciado da CCLaboferece avaliações, testes, certificação e consultoria para ajudar os fabricantes, importadores e distribuidores a demonstrar efetivamente a conformidade com a Parte 1, os requisitos de segurança do produto, da Lei PSTI. Nós o orientamos em todas as etapas do processo de conformidade, permitindo que você venda seus produtos no mercado do Reino Unido com tranquilidade. Trabalhe com o CCLab para garantir a conformidade, evitar recalls e proteger a reputação de sua marca.

Saiba mais sobre nossos serviços de segurança cibernética ou entre em contato conosco hoje mesmo.