其他
欧盟网络韧性法案即将实施，科技行业面临重大变革
MA
Mark Johnson
1个月前
布鲁塞尔——随着具有里程碑意义的《网络韧性法案》（CRA）正式进入实施倒计时，欧盟数字产品监管的新时代正在到来。该法案现已正式通过，数以千计的制造商——从全球科技巨头到小型设备制造商——正面临一场历时多年的冲刺，以对其设计、开发和维护流程进行全面改革，从而符合全球最严格的联网设备网络安全标准。该法案是欧盟数字战略的基石，旨在解决无数包含数字元素的产品的普遍存在的安全漏洞，这一类别涵盖了从智能冰箱和儿童玩具到工业传感器和软件套件的所有内容。多年来，欧洲监管机构一直警告说，不安全的“物联网”（IoT）设备的泛滥为恶意行为者创造了一个巨大的攻击面，对个人隐私、关键基础设施以及欧盟整体经济安全构成了威胁。《网络韧性法案》是布鲁塞尔的全面回应，将产品安全责任完全转移到将产品投放市场的制造商身上。该法案的核心是几项具有变革意义的义务。制造商将被法律要求将安全考虑纳入产品生命周期的每个阶段，这一概念被称为“设计即安全”。这包括进行严格的风险评估，确保产品交付时不存在已知可利用的漏洞，并提供清晰的安全使用说明。此外，公司必须保证产品在其预期寿命内，或至少五年内提供安全更新，这实际上结束了对旧设备放弃软件支持的常见做法，使其永久暴露于新威胁之下。除医疗设备和航空等已由单独立法涵盖的少数高度专业化领域外，这些规则将适用于在欧盟销售的几乎所有硬件和软件。也许最严苛且时间要求最紧迫的规定是新的强制性报告框架。根据《网络韧性法案》，制造商将被迫在意识到任何被积极利用的漏洞或严重的网络安全事件后的24小时内，通知欧盟网络安全机构ENISA和相关国家主管机关。这一快速响应要求旨在促成欧洲对新兴威胁的协调一致的应对，并确保信息能够迅速共享，以保护更广泛的生态系统。对于许多公司而言，这将需要对其内部事件响应协议和法律合规团队进行彻底重组，这是一项重大的运营和财务举措。《网络韧性法案》的通过并非一帆风顺。尽管许多网络安全专家称赞了欧盟的雄心，但行业团体和开源软件基金会提出了严重担忧。中小型企业（SMEs）警告说，高昂的合规成本可能会扼杀创新，并造成无法逾越的准入障碍。特别是开源社区担心，免费的非商业软件开发者可能要为漏洞负责，从而可能抑制协作。作为回应，欧盟立法者在最终文本中引入了几项修正案，以提供更多的清晰度和灵活性，包括对非商业开源项目的特定豁免以及支持小型企业的措施。随着最终文本的到位，该法案将生效，其规定将分阶段适用。包括设计和支持义务在内的大部分规则将在生效后36个月适用，为公司提供大约到2027年底的时间来实现合规。然而，制造商关键的24小时报告义务的截止日期为21个月。这种分阶段的时间表突显了监管机构对透明度和事件响应的紧迫性。《网络韧性法案》的影响预计将远远超出欧盟边界，体现了所谓的“布鲁塞尔效应”。任何希望向欧盟4.5亿消费者销售其联网产品的全球公司都必须满足这些新标准，这实际上使《网络韧性法案》成为数字产品安全的一个事实上的全球标杆。
评论
这里很安静...留下第一条评论开始对话吧。