La Llei de ciberresiliència (CRA) és un reglament de la UE per millorar la ciberseguretat i la ciberresiliència a la UE mitjançant estàndards comuns de ciberseguretat per a productes amb elements digitals a la UE, com ara informes d'incidents obligatoris i actualitzacions de seguretat automàtiques. Els productes amb elements digitals són principalment maquinari i programari l'ús previst i previsible dels quals inclou la connexió de dades directa o indirecta a un dispositiu o xarxa.
Després de la seva proposta del 15 de setembre de 2022 per part de la Comissió Europea, diverses organitzacions de codi obert van criticar l'ARC per crear un "efecte dissuasiu sobre el desenvolupament de programari de codi obert ". La Comissió Europea va arribar a un acord polític sobre la CRA l'1 de desembre de 2023, després d'una sèrie d'esmenes. El projecte de llei revisat va introduir el "gestor de codi obert", un nou concepte econòmic, i va rebre alleujament de moltes organitzacions de codi obert a causa de la seva excepció per al programari de codi obert, mentre que Debian va criticar el seu efecte sobre les petites empreses i els redistribuïdors. L'acord amb la CRA va rebre l'aprovació formal del Parlament Europeu el març de 2024. Va ser adoptat pel Consell el 10 d'octubre de 2024.
Propòsits i motivacions Els antecedents, els propòsits i les motivacions de la política proposada inclouen:
Els consumidors es converteixen cada cop més en víctimes de les fallades de seguretat dels productes digitals (per exemple, vulnerabilitats), inclosos els dispositius de la Internet de les coses o els dispositius intel·ligents. Garantir que els productes digitals de la cadena de subministrament siguin segurs és important per a les empreses, i la ciberseguretat sovint és un "problema de risc de l'empresa en general". Els possibles impactes de la pirateria informàtica inclouen "una greu interrupció de les activitats econòmiques i socials a tot el mercat interior, que pot minar la seguretat o fins i tot posar en perill la vida". Els principis de seguretat per defecte imposarien un deure de cura durant el cicle de vida dels productes, en lloc de, per exemple, confiar en els consumidors i els voluntaris per establir un nivell bàsic de seguretat. Les noves normes "reequilibrarien la responsabilitat envers els fabricants". Els ciberatacs han provocat "un cost anual global estimat de la ciberdelinqüència de 5,5 bilions d'euros el 2021". La ràpida propagació de les tecnologies digitals significa que els estats rebels o els grups no estatals podrien interrompre més fàcilment infraestructures crítiques com l'administració pública i els hospitals.
Segons The Washington Post, l'ARC podria convertir la UE en líder en ciberseguretat i "canviar les regles del joc a nivell mundial".
Implementació i mecanismes La política exigeix que el programari que "es preveu raonablement" que tingui actualitzacions automàtiques implementi les actualitzacions de seguretat automàticament per defecte, alhora que permet als usuaris optar per no participar-hi. Sempre que sigui possible, les actualitzacions de seguretat s'haurien de separar de les actualitzacions de funcions. Les empreses han de dur a terme avaluacions de riscos cibernètics abans que un producte es comercialitzi i conservar el seu inventari de dades i documentació durant els 10 anys posteriors a la seva comercialització o al seu període de suport, el que sigui més llarg. Les empreses haurien de notificar a l'agència de ciberseguretat de la UE, ENISA, qualsevol incident en un termini de 24 hores després de tenir-ne coneixement i prendre mesures per resoldre'l. Els productes que portin el marcatge CE "complirien un nivell mínim de controls de ciberseguretat".
Aproximadament el 90% dels productes amb elements digitals pertanyen a una categoria per defecte, per a la qual els fabricants autoavaluen la seguretat, redacten una declaració de conformitat UE i proporcionen documentació tècnica. La resta són o bé "importants" o bé "crítiques". Els productes importants per a la seguretat es classifiquen en dues classes de riscos. Els productes avaluats com a "crítics" hauran de sotmetre's a auditories externes.
Un cop aprovada la llei, els fabricants tindran dos anys per adaptar-se als nous requisits i un any per implementar els informes de vulnerabilitats i incidents. L'incompliment podria comportar multes de fins a 15 milions d'euros o el 2,5 per cent de la facturació anual mundial total de l'infractor durant l'exercici fiscal anterior. Les multes no s'apliquen als desenvolupadors de codi obert no comercials.
Euractiv ha informat sobre nous esborranys o canvis d'esborranys que inclouen canvis com ara "l'eliminació de les obligacions de temps durant la vida útil dels productes i la limitació de l'abast dels informes a incidents significatius". La primera esmena de compromís es debatrà el 22 de maig de 2023, fins a la qual cosa els grups podrien presentar comentaris per escrit. Euractiv ha proporcionat un resum dels canvis proposats.
Es preveu que els principals grups polítics del Parlament Europeu arribin a un acord sobre la Llei de ciberresiliència en una reunió el 5 de juliol de 2023. Els legisladors debatran les consideracions sobre el codi obert, els períodes de suport, les obligacions d'informes i el calendari d'implementació. La votació del comitè està prevista per al 19 de juliol de 2023.
La presidència espanyola del Consell de la UE ha publicat un esborrany revisat que simplifica els requisits reglamentaris per als dispositius connectats. Reduiria el nombre de categories de productes que han de complir amb regulacions específiques, obligaria a notificar incidents de ciberseguretat als CSIRT nacionals i inclouria disposicions per determinar la vida útil del producte i alleujar les càrregues administratives per a les petites empreses. La llei també aclareix que les peces de recanvi amb elements digitals subministrades pel fabricant original estan exemptes dels nous requisits.
El text del Consell estipula a més que, abans de sol·licitar la certificació obligatòria, els executius de la Unió Europea han de dur a terme una avaluació d'impacte per avaluar tant els aspectes de l'oferta com de la demanda del mercat interior, així com la capacitat i la preparació dels estats membres per implementar els règims proposats.
El 25 de juny de 2024, l'Oficina Nacional Txeca de Ciberseguretat i Seguretat de la Informació (NÚKIB) va anunciar mesures per implementar la Llei de Ciberresiliència (CRA), inclòs un reglament previst per a la tardor de 2024, l'aplicació del qual començarà a finals de 2027 després d'una transició de tres anys. Aquesta regulació exigirà als fabricants de productes digitals que millorin la ciberseguretat al llarg del cicle de vida del producte. NÚKIB també durà a terme consultes amb fabricants de productes importants i crítics del 25 de juny al 17 de juliol de 2024 per desenvolupar especificacions tècniques i recopilar comentaris.
Recepció Inicialment, la llei proposada va ser durament criticada pels defensors del codi obert.
Diverses organitzacions de codi obert com l'Eclipse Foundation, l'Open Source Initiative (OSI) i The Document Foundation han signat la carta oberta "Carta oberta a la Comissió Europea sobre la Llei de ciberresiliència", demanant als responsables polítics que canviïn la infrarepresentació de la comunitat de codi obert. Conclou que amb la política " [programari lliure i de codi obert,] més del 70% del programari a Europa [,] està a punt de ser regulat sense una consulta exhaustiva" i, si s'implementa tal com està escrit (a partir d'abril), tindria un "efecte dissuasiu sobre el desenvolupament de programari de codi obert com a esforç global, amb l'efecte net de soscavar els objectius expressats per la UE en matèria d'innovació, sobirania digital i prosperitat futura". L'Apache Software Foundation va publicar una declaració similar, i l'OSI va presentar aquesta informació a la sol·licitud d'aportacions de la Comissió Europea. Tot i que Mozilla "acull amb satisfacció i dona suport als objectius generals de la CRA", també va criticar la proposta per les referències poc clares a "l'activitat comercial" que podria incloure molts projectes de codi obert (un punt de vista que va repetir Ilkka Turunen de Computer Weekly), la desalineació amb altres normes de la UE i els requisits per a la divulgació de vulnerabilitats no mitigades. Steven J. Vaughan-Nichols, de The Register, va argumentar que la "suposició subjacent de la CRA és que simplement es pot afegir seguretat al programari" mentre que "[m]olts desenvolupadors de codi obert no tenen ni els ingressos ni els recursos per assegurar els seus programes segons un estàndard governamental". CCIA Europe va advertir que "la burocràcia resultant del procés d'aprovació podria dificultar el desplegament de noves tecnologies i serveis a Europa".
miniatura|150x150px|El consultor de polítiques de l'FSFE, Alexander Sander, resumeix les principals preocupacions al març de 2023. Les esmenes es van publicar l'1 de desembre de 2023, com a part de l'acord polític entre els colegisladors, amb l'aclamació de molts defensors del codi obert. Com va escriure Mike Milinkovich, director executiu de la fundació Eclipse,
La legislació revisada ha millorat enormement l'exclusió de projectes, comunitats, fundacions i les seves plataformes de desenvolupament i distribució de paquets de codi obert. També crea una nova forma d'actor econòmic, l'"administrador de codi obert", que reconeix el paper que juguen les fundacions i les plataformes en l'ecosistema de codi obert. Aquesta és la primera vegada que això apareix en una regulació, i serà interessant veure com evoluciona.
— Mike Milinkovich, "Bones notícies sobre la Llei de ciberresiliència"
L'OSI va assenyalar que la declaració de Debian que moltes petites empreses i desenvolupadors individuals tindrien problemes per navegar per l'acte a l'hora de redistribuir programari de codi obert continuava sense resposta. Apache va revisar els canvis positivament, tot i que es va preocupar per l'aplicabilitat de la CRA en components de codi obert potencialment crítics i va destacar la importància de la col·laboració amb organismes internacionals d'estandardització per facilitar la certificació de programari.
Referències
Categoria:Seguretat informàtica Categoria:Lleis