Nye EU-krav skærper ansvar for IoT-sikkerhed

Nye rapporteringskrav i EU’s Cyber Resilience Act trådte ifølge Wireless Logic Nordic i kraft 11. september. Kravene betyder blandt andet, at producenter af produkter med digitale elementer skal rapportere aktivt udnyttede sårbarheder og alvorlige sikkerhedshændelser, som påvirker produkternes sikkerhed. 

For virksomheder, der anvender IoT i produktion, transport, lager eller andre dele af forsyningskæden, er producentansvaret imidlertid kun én del af sikkerhedsopgaven. IoT-løsninger består typisk af enheder, netværksforbindelser, cloudplatforme, applikationer og driftsprocesser. Dermed kan cyberrisikoen opstå i samspillet mellem flere komponenter og leverandører. 

Cyber Resilience Act placerer med rette et tydeligt ansvar hos producenterne. Men fokus på det enkelte produkt afspejler ikke fuldt ud, hvordan cyberrisici opstår i virkelige IoT-løsninger, siger Steen Lenzing, direktør i Wireless Logic Nordic.

Ifølge Wireless Logic Nordic kan den virksomhed eller leverandør, der designer og driver den samlede IoT-løsning, derfor have større indsigt i den samlede cyberrisiko end producenten af den enkelte enhed. Sikkerhedsarbejdet bør derfor omfatte hele IoT-arkitekturen og ikke alene de enkelte produkter. 

Cyber Resilience Act skal blandt andet bidrage til, at internetforbundne produkter er sikre fra designfasen og understøttes gennem hele levetiden. Wireless Logic Nordic peger samtidig på, at større IoT-installationer bør ses i sammenhæng med andre sikkerhedskrav og standarder som NIS2 og IEC 62443. 

I praksis kræver det ifølge virksomheden blandt andet overblik over forbundne enheder, sikker styring af adgangsoplysninger, segmentering af netværk og klare beredskabsplaner på tværs af leverandører. 

Det afgørende er, om virksomheden reelt kan opdage et sikkerhedsbrud på tværs af hele sin IoT-løsning og reagere hurtigt. Langsigtet cyberrobusthed kræver mere end compliance på produktniveau, siger Steen Lenzing. 

Kilde: Wireless Logic