Uudet kyberturvallisuussäännöt – ja nyt niistä on tulossa kiireellisiä [Ulf Seijmerin kolumni]

Ulf Seijmer: Uutisvirran selaaminen ei vaadi paljoakaan tajutakseen, että turvallisuuskysymyksistä on tullut yhä tärkeämpiä. Mutta en tarkoita ankkureiden kiinnittämistä Itämerellä kelluvien puoliksi lahonneiden, omistajuudeltaan epäselvien veneiden keuloihin – tai "ankkurointi kielletty" -kylttien pystyttämistä useilla kielillä. Ei, vaan puhun siitä, mikä on paljon lähempänä meitä arkielämässä: elektroniikasta, verkotetuista laitteista ja laitteistoista, jotka nyt läpäisevät elämämme.

Nyt turvallisuutta tehostetaan. Käyttöön otetaan uusi standardi, jolla tiukennetaan vaatimuksia Kyberturvallisuus. Elokuusta 2025 alkaen (sen olisi pitänyt olla vuosi 2024, mutta nyt on vuosi 2025) teknologiayritykset kohtaavat uuden todellisuuden. EU:n päivitetty radiolaitedirektiivi (RED) tuo tiukempia kyberturvallisuussääntöjä – sääntöjä, jotka vaikuttavat kaikkeen älykelloista verkkolaitteisiin ja IoT-antureihin. Hankalaa on, että ilman tätä merkintää tuotteesi ei täytä CE-merkintää. Ja etkö ole valmis? Seurauksena voi olla, että joudut lopettamaan tuotteen myymisen, kunnes voit todistaa sen täyttävän vaatimukset! Kuten aina uusien säännösten kanssa, limankerääjät piileskelevät pienissä yksityiskohdissa.

Kauniita lupauksia ja kovia vaatimuksia

Kyberturvallisuusvaatimukset ovat selkeät. Elokuusta 2025 alkaen henkilötietoja käsittelevien tai verkkoihin kytkettyjen radiolaitteiden on varmistettava suojaus käyttäjän henkilötietojen ja yksityisyyden suojaamiseksi. Haluat estää laitteita uhkaamasta verkkoa tai yksinkertaisesti käyttäjiä. Lisäksi sinulla on oltava käytössä vankat mekanismit kyberturvallisuusuhkia vastaan.

Niille, jotka eivät ole tehneet tuotekehitystään kyberturvallisuus mielessä, kyse voi olla valmistajien työstä tietoturva-aukkojen ja olemassa olevien haavoittuvuuksien korjaamiseksi, mutta pitkällä aikavälillä kyse on ratkaisujen rakentamisesta "tietoturva sisäänrakennetulla suunnittelulla", jossa tietoturva on mukana suunnittelupöydältä lanseeraukseen asti.

On ollut paljon epävarmuutta siitä, minkä standardin mukaan sertifiointi tulisi tehdä vaatimusten täyttämiseksi. EU:n komissio on vetänyt tämän absurdiin pisteeseen. Epävarmuutta siitä, mitä sovelletaan, voidaan verrata talon rakentamiseen, mutta ei tiedä tarkalleen, mitä rakennusstandardeja sovelletaan. Jos odotat ja otat riskin viivästyksistä, tai ota riski ja ota riski rakentaa kaikesta? Vielä äskettäin suurin osa tiedoista oli saatavilla Internet ja se viittasi eri standardiin kuin se, jota parhaillaan valmistellaan. Joten se on kuin rakentaisi taloa YouTube-videoiden perusteella, jossa onnistuu juutumaan väärään suodatinkuplaan ja saa täysin vääriä suosituksia. Tässä tilanteessa monet kehittäjät ovat tähän asti olleet.

Jotta kaikkien rautatuotteiden parissa työskentelevien elämä olisi helpompaa, tuotteiden mukauttamiseen on annettu paljon aikaa, mutta ei ole ollut selvää, mihin niiden tulisi mukautua. Kohtuullinen aikaraja? Alle kuusi kuukautta. Tämän ajan sisällä kaikki tähän luokkaan kuuluvat tuotteet on testattava ja varmennettava standardin EN 18031–1:2024 mukaisesti, PTS:n lausunnon mukaan. Tavoite on veitsenterävä, mutta aikaraja tuntuu yhtä realistiselta kuin että rakentaisimme rivitaloja kuuhun viiden vuoden kuluessa (YouTuben oppaiden perusteella). Joten tässä esittelen todellisen päänsäryn. Ajan. Jos aiot tehdä tätä oikeasti, jos et itse tiedä, sinun kannattaa tuoda akkreditoitu laboratorio paikalle.

Mikä on vaakalaudalla?

Valmistautumattomuuden seuraukset voivat olla kalliita. Ilman oikeanlaista CE-merkintää et saa myydä tuotteitasi EU:n alueella. Vaatimusten noudattamatta jättäminen voi johtaa sakkoihin ja oikeudellisiin riskeihin, eikä vaarallinen tuote ole hyvä tuote – valitettavasti asiakkaat eivät unohda rikkomusta. Jos sinä kriittisten tietojen kanssa työskentely on Todennäköisesti tiedät tämän jo. Monilla CCS:n yrityksillä on etumatkaa. Kyberturvallisuus on ollut asialistallamme jo jonkin aikaa.

Näin otat ohjat käsiisi – juuri nyt

Älä odota. Aloita analysoimalla tuotteesi ja tunnistamalla, mitkä niistä kuuluvat RED-direktiivin piiriin ja kuinka turvallisia ne ovat tällä hetkellä. Keskustele valmistajan kanssa tai tee omat suunnitelmasi. Testauslaitosten ja sertifiointilaitosten palkkaaminen voi auttaa sinua varmentamaan tuotteesi ja ymmärtämään vaatimukset, jos kenelläkään on edes aikaa tutustua tuotteeseesi. Lisäksi sinun tulee varautua odottamattomiin tilanteisiin riskianalyysin ja ennaltaehkäisevän työn avulla.

Mutta haluan myös korostaa, että kyberturvallisuusvaatimukset eivät koske pelkästään vaatimustenmukaisuutta. Ne eivät koske show hankit todistuksen elokuussa ilman jatkuvaa ja vaivalloista matkaa pitääksesi roistot poissa asiakkaallesi myymästäsi tölkistä. Ja valitettavasti tässä ei ole kyse muutaman ankkurin hitsaamisesta ulkomaisten alusten keulaan, vaan kaivosvedestä, jossa on paljon pohjaa, häiriöitä GPS:ssä ja ilman riittävää merikarttaa.