För team inom maskintillverkning och produktsäkerhet utgår ansvaret från slutprodukten och organisationens faktiska roll i leveranskedjan. Underlag från leverantörer kan stödja arbetet, men överför inte ansvaret för den kompletta produkten.
Börja med slutprodukten och den faktiska rollen
Ett företag som köper en styrenhet, ett bussystem eller inbyggd programvara övertar inte automatiskt komponenttillverkarens ansvar. Enligt Cyber Resilience Act, förordning (EU) 2024/2847 är de centrala frågorna vilken produkt som släpps ut på marknaden, under vems namn eller varumärke den släpps ut och hur komponenten integreras i slutprodukten.
När en tillverkare släpper ut en maskin med digitala element på marknaden ansvarar den för att produkten uppfyller de tillämpliga väsentliga cybersäkerhetskraven. Det omfattar att genomföra, dokumentera och använda en cybersäkerhetsriskbedömning för produkten under relevanta skeden av produktens livscykel.
En leverantör kan ansvara för sin egen styrenhet eller programvarukomponent när den produkten släpps ut separat på marknaden. Men när en maskintillverkare integrerar den i en slutprodukt förblir maskintillverkaren ansvarig för cybersäkerheten hos den kompletta produkten. Det innebär inte att tillverkaren personligen måste skriva varje korrigering för varje komponent. Det innebär däremot att den måste säkerställa att sårbarheter i produkten, inklusive dess komponenter, hanteras effektivt under supportperioden.
Förordningen behandlar också en importör eller distributör som en tillverkare när denne släpper ut en produkt på marknaden under eget namn eller varumärke, eller gör en väsentlig ändring. Omständigheterna kring varumärkning, utsläppande på marknaden och ändring är viktiga i varje enskilt fall.
Roller i leveranskedjan i korthet
Cyber Resilience Act tilldelar ekonomiska aktörer olika skyldigheter. Tabellen är en praktisk översikt, inte en fullständig redogörelse för varje skyldighet.
| Aktivitet | Tillverkare | Importör | Distributör |
|---|---|---|---|
| Upprätta produktens SBOM-förteckning | Ja | Nej | Nej |
| Hantera sårbarheter och tillhandahålla säkerhetsuppdateringar för produkten | Ja | Nej, men har närliggande kontroll- och informationsskyldigheter | Nej, men har närliggande kontroll- och informationsskyldigheter |
| Ta fram underlag om produktens överensstämmelse | Ja | Kontrollerar angiven information om överensstämmelse innan produkten släpps ut på marknaden | Kontrollerar angivna krav innan produkten tillhandahålls |
| När aktören får kännedom om en sårbarhet | Hanterar den enligt tillverkarens skyldigheter | Informerar tillverkaren | Informerar tillverkaren |
Importörer och distributörer har också skyldigheter avseende angiven information om överensstämmelse, samarbete med myndigheter och vissa betydande cybersäkerhetsrisker. Deras skyldigheter skiljer sig från tillverkarens skyldigheter på produktnivå och bör inte reduceras till enbart tabellen.
Vad en SBOM-förteckning är enligt Cyber Resilience Act
En programvaruförteckning, eller SBOM, är en inventering av programvarukomponenter i en produkt. Bilaga I kräver att tillverkare identifierar och dokumenterar sårbarheter och komponenter, inklusive en SBOM-förteckning i ett allmänt använt maskinläsbart format. Den måste åtminstone omfatta beroenden på högsta nivån.
En SBOM-förteckning ingår i ett bredare underlag av teknisk dokumentation och register över sårbarhetshantering. Den är inte ett allmänt krav på offentliggörande. En marknadskontrollmyndighet kan begära information och dokumentation om överensstämmelse. Informationen till användare måste endast ange var SBOM-förteckningen finns tillgänglig om tillverkaren väljer att göra den tillgänglig för dem.
För en tillverkare av slutprodukter är den praktiska utmaningen ofta att förstå innehållet i inköpta styrenheter, inbyggd programvara, bibliotek och andra integrerade komponenter. Det är där underlag från leverantörer blir användbart.
Skilj riskbedömningen från komponenternas aktsamhetskontroll
Cybersäkerhetsriskbedömningen för produkten och aktsamhetskontrollen av integrerade tredjepartskomponenter hänger samman, men de är inte samma aktivitet.
Tillverkaren måste bedöma cybersäkerhetsriskerna för sin kompletta produkt. När den integrerar tredjepartskomponenter, inklusive kvalificerande fri programvara och programvara med öppen källkod, måste den iaktta tillbörlig aktsamhet så att dessa komponenter inte äventyrar produktens cybersäkerhet.
Europeiska kommissionens icke-bindande vägledning förklarar denna skillnad. Den rekommenderar att tillverkare definierar de säkerhetsbehov som en komponent måste uppfylla och, på grundval av risk, kontrollerar om den uppfyller dem. Relevant underlag kan omfatta:
- Tekniska specifikationer och gränssnittsdokumentation.
- Säkerhetsdokumentation och information om sårbarhetshantering.
- Dokumentation om överensstämmelse eller assurans från komponenttillverkaren.
- Tester utförda av tillverkaren av slutprodukten, när det är lämpligt.
Detta är exempel på genomförandepraxis, inte en fast lagstadgad inköpschecklista. Lämpligt kontrolldjup beror på komponenten, slutprodukten, den avsedda användningen och de identifierade riskerna.
Bör tillverkare begära en SBOM-förteckning från leverantörer
Förordningen kräver att en tillverkare upprättar en SBOM-förteckning för sin egen produkt. Den kräver inte uttryckligen att varje köpare ska inhämta en SBOM-förteckning från varje leverantör.
En SBOM-förteckning från en leverantör kan ändå vara värdefullt underlag. Den kan hjälpa en tillverkare att förstå programvaruinnehållet i en inköpt komponent, identifiera kända sårbarheter och bygga SBOM-förteckningen för den kompletta produkten. Den kan komplettera leverantörsförklaringar, teknisk dokumentation, säkerhetskrav, åtaganden om uppdateringar och testunderlag.
En SBOM-förteckning från en leverantör överför dock inte ansvaret för den kompletta produkten. Inte heller visar leverantörens underlag om överensstämmelse automatiskt att slutprodukten överensstämmer med kraven. Tillverkaren av slutprodukten måste fortfarande bedöma produktens cybersäkerhetsrisker och iaktta lämplig aktsamhet för integrerade komponenter.
Hantering av en sårbarhet i en integrerad komponent
Artikel 13.6 skapar en viktig överlämning uppströms. Om en tillverkare identifierar en sårbarhet i en integrerad komponent måste den rapportera sårbarheten till den person eller enhet som tillverkar eller underhåller komponenten. Den måste också hantera och åtgärda sårbarheten enligt tillämpliga krav.
Om tillverkaren av slutprodukten utvecklar en relevant ändring måste den, när det är lämpligt, dela koden eller dokumentationen med komponentens tillverkare eller underhållare, även i maskinläsbart format när det är lämpligt.
Denna uppströmskommunikation skiljer sig från den regulatoriska rapporteringen enligt artikel 14. Artikel 14 har separata utlösande omständigheter för aktivt utnyttjade sårbarheter och allvarliga incidenter. Inte varje sårbarhet medför en anmälningsskyldighet enligt artikel 14, och produktteam bör därför hålla processen för eskalering till komponentunderhållare åtskild från sin bedömning av regulatorisk rapportering.
Ett exempel från maskintillverkning
En maskintillverkare integrerar en inköpt styrenhet i ett produktionssystem och släpper ut den kompletta maskinen på marknaden under eget namn. Leverantören av styrenheten kan tillhandahålla teknisk dokumentation, information om uppdateringar, säkerhetsunderlag och, när sådan finns tillgänglig, en SBOM-förteckning för styrenheten.
Maskintillverkaren bör använda detta material som stöd för sitt eget arbete. Den måste bedöma hur styrenheten påverkar säkerheten hos den kompletta maskinen, dokumentera relevant underlag, testa integrationen när det är lämpligt och säkerställa att lämplig åtgärd når operatören under supportperioden.
Om en sårbarhet upptäcks i styrenheten kan leverantören utveckla korrigeringen på komponentnivå. Maskintillverkaren behöver fortfarande en process på produktnivå för att utvärdera, integrera, validera och säkert leverera korrigeringen för den kompletta maskinen.
Praktiskt underlag att upprätthålla
Ett fungerande genomförandesätt är att upprätthålla tydliga överlämningar mellan teknik, inköp, produktsäkerhet och leverantörer. Detta kan omfatta:
- Ett register över den faktiska rollen som ekonomisk aktör för varje produkt.
- Produktens cybersäkerhetsriskbedömning och beslut som följer av den.
- Komponentinventeringar och SBOM-förteckningen för den kompletta produkten.
- Underlag om säkerhet, uppdateringar och sårbarhetshantering som inhämtats från leverantörer.
- Motiveringen för komponentkontroller och utförda tester.
- En process för att ta emot, bedöma och åtgärda sårbarheter.
- Kontaktvägar för att rapportera sårbarheter i integrerade komponenter till underhållare.
- En separat process för att bedöma utlösande omständigheter för rapportering enligt artikel 14.
- Register som visar hur säkerhetsuppdateringar och sårbarhetsinformation hanteras under hela supportperioden.
Kommissionens översikt för tillverkare är en användbar och lättillgänglig kontrollkälla, men förordningen är fortfarande den styrande rättstexten. I praktiken är den viktiga operativa frågan inte om en leverantör har lämnat ett enskilt dokument. Det avgörande är om teknik, inköp, produktsäkerhet och leverantören kan tillhandahålla det underlag, de beslut, uppdateringar och eskaleringsvägar som behövs för att hantera cybersäkerheten hos den kompletta produkten.