CRA: produkty z elementami cyfrowymi, a nie usługi

Akt w sprawie cyberodporności (CRA) koncentruje się na produktach sprzętowych i oprogramowaniu zawierających komponenty cyfrowe, takich jak urządzenia inteligentne, systemy operacyjne czy urządzenia internetu rzeczy (IoT). Nie reguluje usług takich jak przetwarzanie w chmurze ani platform internetowych. Kluczowa różnica dotyczy dyrektywy NIS2, która skupia się na cyberbezpieczeństwie podmiotów i świadczonych przez nie usług, a nie samych produktów. Jeśli pytanie dotyczy inteligentnego termostatu lub zabawki podłączonej do internetu, należy pomyśleć o CRA; jeśli dotyczy szpitala lub banku — o NIS2.

Aby ich nie pomylić, należy pamiętać, że CRA obejmuje rzeczy, które można kupić i zainstalować, natomiast NIS2 obejmuje podmioty świadczące usługi krytyczne. Kolejna wskazówka: CRA ma zastosowanie do produktów wprowadzanych na rynek UE, niezależnie od miejsca siedziby producenta. Jeśli scenariusz opisuje wymóg aktualizacji oprogramowania routera, wchodzi to w zakres CRA. Aby szybko wyeliminować błędną odpowiedź, należy zadać sobie pytanie: czy chodzi o materialny produkt, czy o działalność operacyjną podmiotu? Odpowiedź wskaże właściwy akt prawny.

Oto zwięzły sposób na sprawdzenie swojej wiedzy: jeśli w pytaniu wymieniono inteligentny głośnik, samochód podłączony do sieci i usługę chmurową, które z nich wchodzą w zakres CRA? Pierwsze dwa, ponieważ są produktami z elementami cyfrowymi; usługa chmurowa jest usługą, więc podlega NIS2. Warto pamiętać o tym rozróżnieniu między produktem a usługą, aby nie mylić tych dwóch aktów prawnych.