„Tai labai svarbi ES iniciatyva ir be galo stipri priemonė kovoje su kibernetinėmis grėsmėmis. Naujasis reglamentas – tai dar vienas ES lyderystės pavyzdys kibernetinio saugumo politikos formavime ir pagrindas, kaip užtikrinti kibernetinį atsparumą skaitmeniniams sprendimams vis labiau įsigalint mūsų kasdienybėje“, – teigia krašto apsaugos viceministrė Monika Koroliovienė.
Naujasis reglamentas nustato skaitmeninių produktų projektavimo, kūrimo ir gamybos kibernetinio saugumo reikalavimus, skaitmeninių produktų tiekimo rinkai taisykles, kitų ekonominės veiklos vykdytojų (importuotojų, platintojų) pareigas. Taip pat – pažeidžiamumo valdymo procesų reikalavimus ir rinkos priežiūros taisykles.
„Reglamentas taikomas gamintojams, tačiau naudą pajaus ir organizacijos, ir pavieniai piliečiai. Visi naudotojai bus garantuoti, kad jų naudojami produktai yra patikimi ir saugūs viso jų gyvavimo ciklo metu, o esant tam tikriems pažeidimams, jie bus apie tai informuoti“, – sako viceministrė M. Koroliovienė.
Europos Parlamentas ir Europos Taryba aiškina, kad naujasis reglamentas buvo reikalingas todėl, nes ES piliečiai ir įvairios organizacijos savo kasdienėje veikloje vis dažniau naudoja skaitmeninus produktus. Tai apima išmaniuosius telefonus, laikrodžius, kameras, skaitiklius, optimizuojančius elektros energijos vartojimą ir panašiai.
Dauguma tokių produktų vis dar turi žemą kibernetinio saugumo lygį, pvz. silpni numatytieji slaptažodžiai, nenaudojamas duomenų šifravimas ir panašiai. Todėl jie gali tapti idealiais kibernetinių atakų taikiniais. Kartais visai nežymiais trūkumais gali būti pasinaudota kibernetinei grėsmei sukelti, o/ tai gali turėti reikšmingų pasekmių ne tik vienam asmeniui, bet ir valstybei ar net visos ES saugumui.
Vartotojai įprastai negauna informacijos apie galimus produktų pažeidžiamumus, nežino su tuo susijusių rizikų, taip pat neturi pakankamai žinių didesnei apsaugai garantuoti, todėl nauju reglamentu siekiama, kad gamintojai bei kiti ekonominės veiklos vykdytojai (pvz. platintojai) būtų atsakingi už produkto saugumą nuo jo projektavimo, kūrimo, gamybos ir visą jo gyvavimo ciklą.
Produktai, kuriems taikomas šis reglamentas, yra labai įvairūs – nuo nebrangių plataus vartojimo produktų iki aukštos klasės sudėtingų pramoninių sistemų.
Kibernetinio saugumo reikalavimai taikomi:
- išmaniesiems buitiniams prietaisams, išmaniosioms durų spynoms, signalizacijos sistemoms, namų kameroms, kūdikių stebėjimo sistemoms, išmaniems žaislams, vaizdo žaidimams;
- aparatinės įrangos produktams su prijungimo funkcijomis, tokiems kaip išmanieji telefonai, nešiojamieji kompiuteriai, išmanieji laikrodžiai;
- modemams, ugniasienėms, išmaniesiems skaitikliams;
- programinei įrangai, kuri nėra įdiegta į produktą ir yra parduodama atskirai, pavyzdžiui, finansinės apskaitos programinė įranga ir mobiliųjų žaidimų programos.
Kibernetinio saugumo reikalavimai netaikomi:
- nekomercinės paskirties atvirojo kodo programinei įrangai;
- atsarginėms dalims, kuriomis siekiama pakeisti identiškus prijungtų gaminių komponentus (jei jos pagamintos pagal tas pačias specifikacijas);
- prototipams, pristatomiems prekybos mugėse (su tam tikromis sąlygomis);
- nebaigtai programinei įrangai, kuri ribotą laikotarpį naudojama bandymo tikslams, tačiau ne ilgesniam laikui nei tai būtina ją išbandyti;
- debesijos paslaugoms ir programinei įrangai, tokiai kaip paslauga SaaS, kurios pagal Tinklų ir informacinių sistemų direktyvą (ES) 2022/2555 reglamentuojamos atskirai;
- produktams, kurie buvo sukurti ar modifikuoti išimtinai tik nacionalinio saugumo ar gynybos tikslais arba specialiai sukurti įslaptintai informacijai apdoroti;
- produktams, kuriems taikomi specialūs ES reglamentai, pavyzdžiui, medicinos prietaisams, motorinėms transporto priemonėms, civilinėje aviacijoje naudojamiems produktams.
Kadangi tai yra ES reglamentas, o ne direktyva, jis tiesiogiai taikomas visose ES šalyse ir jo nereikia perkelti į nacionalinę teisę, tačiau numatytas pereinamasis laikotarpis, kad ūkio subjektai turėtų pakankamai laiko prisitaikyti prie naujų reikalavimų, taip pat nacionalinės institucijos tinkamai pasiruoštų jo įgyvendinimui. Reglamentas bus įgyvendinamas etapais nuo 2024 m. pabaigos iki 2027 m.
Visą reglamentą galima rasti čia.
