Nye cybersikkerhedsregler - og nu bliver det presserende [klumme af Ulf Seijmer]

Ulf Seijmer: Det kræver ikke meget scrolle gennem nyhedsfeedet at indse, at sikkerhedsspørgsmål er blevet stadig vigtigere. Men jeg hentyder ikke til at bolte ankre fast for stævnen af halvrådne både, der flyder rundt i Østersøen med uklare ejerforhold – eller at sætte "ankring forbudt"-skilte op på flere sprog. Nej, det, jeg taler om, er det, der ligger os meget tættere på i hverdagen: elektronik, forbundne gadgets og hardware, der nu gennemsyrer vores liv.

Nu bliver sikkerheden styrket. En ny standard skal indføres for at stramme kravene til Cybersikkerhed. Fra august 2025 (skulle have været 2024, men er nu 2025) står teknologivirksomheder over for en ny virkelighed. EU's opdaterede radioudstyrsdirektiv (RED) bringer strengere regler for cybersikkerhed - regler, der påvirker alt fra smartwatches til netværksudstyr og IoT-sensorer. Det vanskelige er, at uden denne mærkning opfylder dit produkt ikke CE-mærkningen. Og er du ikke klar? Så kan konsekvenserne være, at du er nødt til at stoppe med at sælge produktet, indtil du kan bevise, at det gør! Som altid med nye regler gemmer slimkryberne sig i de små detaljer.

Smukke løfter og hårde krav

Cybersikkerhedskravene er klare. Fra august 2025 skal radioudstyr, der håndterer personoplysninger eller er forbundet til netværk, sikre beskyttelse for brugerens personlige data og integritet. Du ønsker at forhindre udstyret i at blive en trussel mod netværk eller brugere ved blot at have robuste mekanismer på plads til at imødegå cybersikkerhedstrusler.

For dem, der ikke har foretaget deres produktrejse med cybersikkerhed i tankerne, handler det måske om producenter, der arbejder på at lukke sikkerhedshuller og eksisterende sårbarheder, men på lang sigt handler det om at bygge løsninger med "Security by Design", hvor sikkerhed er inkluderet fra tegnebrættet til lanceringen.

Der har været stor usikkerhed om, hvilken standard man skulle certificere sig i forhold til for at opfylde kravene. EU-Kommissionen har trukket dette ud i det absurde. Usikkerheden om, hvad der gælder, kan sammenlignes med at bygge et hus, men ikke vide præcis, hvilke byggestandarder der gælder. Skal man vente og risikere forsinkelser, eller tage en chance og risikere at genopbygge alt? Indtil for nylig var de fleste oplysninger tilgængelige på internettet og det pegede mod en anden standard end den, der blev hamret ud. Så det er ligesom at bygge et hus baseret på Youtube-videoer, hvor man formåede at sidde fast i den forkerte filterboble og få anbefalinger, der er fuldstændig forkerte. Det er den position, som mange udviklere har befundet sig i indtil nu.

For at gøre livet lettere for alle, der arbejder med hardware, er der givet lang tid til at tilpasse produkterne, men det har ikke været klart, hvad de skulle tilpasse sig. En rimelig tidsramme? Mindre end seks måneder. Inden for denne skal alle produkter, der falder inden for kategorien, testes og verificeres i forhold til EN 18031–1:2024-standarden, ifølge en erklæring fra PTS. Målet er knivskarpt, men tidsrammen føles lige så realistisk, som at vi bygger rækkehuse på månen inden for fem år (baseret på guider fra YouTube). Så her introducerer jeg en rigtig hovedpine. Tid. Hvis du skal gøre det her for alvor, og hvis du ikke selv ved det, bør du hente et akkrediteret laboratorium ind.

Hvad står på spil?

Konsekvenserne af ikke at være klar kan være dyre. Uden den korrekte CE-mærkning har du ikke lov til at sælge dine produkter i EU. Manglende overholdelse kan føre til bøder og juridiske risici, og et usikkert produkt er ikke et godt produkt – kunderne glemmer desværre ikke et brud. Hvis du arbejder med kritiske oplysninger, er du sandsynligvis allerede klar over dette. Mange af virksomhederne i CCS har et forspring. Vi har allerede haft cybersikkerhed på dagsordenen i et stykke tid.

Sådan tager du kontrol – lige nu

Vent ikke. Start med at analysere dine produkter og identificere, hvilke der er dækket af RED, og hvor sikre de er i dag. Tal med producenten, eller lav dine egne planer. At hyre testvirksomheder og certificeringsorganer kan hjælpe dig med at verificere dine produkter og forstå kravene, hvis nogen overhovedet har tid til dit produkt. Derudover bør du planlægge for det uventede gennem risikoanalyse og forebyggende arbejde.

Men jeg vil også gerne fremhæve, at cybersikkerhedskrav ikke kun handler om overholdelse. De handler ikke om vise op et certifikat i august, uden en kontinuerlig og besværlig rejse for at holde svindlerne væk fra den dåse, du sælger til din kunde. Og desværre handler det ikke om at svejse et par ankre fast på udenlandske skibes stævn, det er minebaseret vand med masser af bund, interferens på GPS'en og uden et tilstrækkeligt søkort.