Nye regler for nettsikkerhet – og nå haster det [spalte av Ulf Seijmer]

Ulf Seijmer: Det skal ikke mye bla gjennom nyhetsstrømmen for å innse at sikkerhetsspørsmål har blitt stadig viktigere. Men jeg snakker ikke om å bolte ankere til baugen på halvråtne båter som driver rundt i Østersjøen med uklart eierskap – eller å sette opp “ankring forbudt”-skilt på flere språk. Nei, det jeg snakker om er det som er mye nærmere oss i hverdagen: elektronikk, tilkoblede dingser og maskinvare som nå gjennomsyrer livene våre.

Nå skjerpes sikkerheten. En ny standard skal innføres for å skjerpe kravene til Nettsikkerhet. Fra august 2025 (skulle ha vært 2024, men er nå 2025) står teknologiselskaper overfor en ny virkelighet. EUs oppdaterte radioutstyrsdirektiv (RED) bringer strengere regler for cybersikkerhet – regler som påvirker alt fra smartklokker til nettverksutstyr og IoT-sensorer. Det vanskelige er at uten denne merkingen oppfyller ikke produktet ditt CE-merkingen. Og er du ikke klar? Da kan konsekvensene bli at du må slutte å selge produktet inntil du kan bevise at det gjør det! Som alltid med nye forskrifter, gjemmer slimkryperne seg i de små detaljene.

Vakre løfter og tøffe krav

Kravene til cybersikkerhet er klare. Fra august 2025 må radioutstyr som håndterer personopplysninger eller er koblet til nettverk sørge for beskyttelse for brukerens personopplysninger og personvern. Du ønsker å forhindre at utstyret blir en trussel mot nettverket eller brukerne. I tillegg må du ha robuste mekanismer på plass mot cybersikkerhetstrusler.

For de som ikke har gjort sin produktreise med tanke på cybersikkerhet, kan det handle om at produsenter jobber med å tette sikkerhetshull og eksisterende sårbarheter, men på lang sikt handler det om å bygge løsninger med ”Security by Design”, der sikkerhet er inkludert fra tegnebrettet til lansering.

Det har vært stor usikkerhet rundt hvilken standard man skal sertifisere mot for å oppfylle kravene. EU-kommisjonen har dratt dette ut i det absurde. Usikkerheten om hva som gjelder kan sammenlignes med å bygge et hus, men ikke vite nøyaktig hvilke byggestandarder som vil gjelde. Skal du vente og risikere forsinkelser, eller ta en sjanse og risikere å bygge om alt? Inntil nylig var mesteparten av informasjonen tilgjengelig på internett og det pekte mot en annen standard enn den som ble utarbeidet. Så det er som å bygge et hus basert på Youtube-videoer, hvor du klarte å bli sittende fast i feil filterboble og få anbefalinger som er helt feil. Det er den posisjonen mange utviklere har havnet i frem til nå.

For å gjøre livet enklere for alle som jobber med maskinvare, har det blitt gitt lang tid til å tilpasse produktene, men det har ikke vært klart hva de skal tilpasse seg. En rimelig tidsramme? Mindre enn seks måneder. Innenfor denne må alle produkter som faller inn under kategorien testes og verifiseres mot EN 18031–1:2024-standarden, ifølge en uttalelse fra PTS. Målet er sylskarpt, men tidsrammen føles like realistisk som at vi bygger rekkehus på månen innen fem år (basert på guider fra YouTube). Så her introduserer jeg en skikkelig hodepine. Tid. Hvis du skal gjøre dette på ordentlig, hvis du ikke vet det selv, bør du hente inn et akkreditert laboratorium.

Hva står på spill?

Konsekvensene av å ikke være forberedt kan bli kostbare. Uten riktig CE-merking vil du ikke få lov til å selge produktene dine innenfor EU. Brudd på regelverket kan føre til bøter og juridisk risiko, og et usikkert produkt er ikke et godt produkt – dessverre glemmer ikke kundene et brudd. Hvis du å jobbe med kritisk informasjon har Du vet sikkert dette allerede. Mange av selskapene innen CCS har et forsprang. Vi har allerede hatt cybersikkerhet på agendaen en stund.

Slik tar du kontroll – akkurat nå

Ikke vent. Start med å analysere produktene dine og identifiser hvilke som dekkes av RED og hvor trygge de er i dag. Snakk med produsenten eller lag dine egne planer. Å leie inn testhus og sertifiseringsorganer kan hjelpe deg med å verifisere produktene dine og forstå kravene, hvis noen i det hele tatt har tid til produktet ditt. I tillegg bør du planlegge for det uventede gjennom risikoanalyse og forebyggende arbeid.

Men jeg vil også understreke at krav til cybersikkerhet ikke bare handler om samsvar. De handler ikke om vise opp et sertifikat i august, uten en kontinuerlig og strabasiøs reise for å holde kjeltringene unna boksen du selger til kunden din. Og dessverre handler ikke dette om å sveise noen ankere til baugen på utenlandske skip, dette er utvunnet vann med mye bunn, forstyrrelser på GPS-en og uten et tilstrekkelig sjøkart.