ЕС ужесточает требования к кибербезопасности: что изменится для производителей разумных замков

Европейский Союз ужесточает требования к кибербезопасности устройств с цифровыми компонентами. Новые правила относятся, в частности, к электронным дверным замкам, которыми можно управлять через приложение, Wi-Fi, Bluetooth или отпечаток пальца.

Требования предусмотрены регламентом Cyber Resilience Act (CRA), принятым Европейским парламентом и Советом Е С в октябре 2024 года. Он распространяется на цифровые продукты, которые продаются на рынке Евросоюза и могут подключаться к другим устройствам или сетям.

Цель регламента — повысить защищенность цифровых продуктов от кибератак. Для этого изготовители должны учитывать безопасность еще на этапе разработки устройств, а также обеспечивать безопасные настройки по умолчанию. В частности, новые требования направлены на использование слабых стандартных паролей.

Производители должны сообщать об уязвимости

С 11 сентября 2025 года производители подключенных устройств обязаны сообщать об уязвимости, активно используемых для атак, а также о серьезных инцидентах безопасности.

Информацию следует передавать через централизованную платформу CRA Single Reporting Platform, поддерживаемую Агентством Е С по кибербезопасности (ENISA).

Этот механизм должен помочь органам власти и производителям быстрее реагировать на угрозы, а пользователям оперативнее получать обновления безопасности или предупреждения об обнаруженных проблемах.

Под действие регламента попадают не только умные замки, но и другие цифровые устройства: умные лампочки, роботы-пылесосы, смартчасы, подключенные игрушки и шлюзы умных счетчиков.

Какие правила будут действовать с декабря 2027 года

С 11 декабря 2027 г. требования Cyber Resilience Act начнут действовать в полном объеме. С тех пор новые электронные дверные замки смогут продавать на рынке ЕС только при условии соответствия установленным требованиям кибербезопасности.

Соответствующие требования будут распространяться на цифровые продукты, охваченные регламентом. Знак CE, подтверждающий соответствие продукции требованиям ЕС, также будет учитывать сферу кибербезопасности.

Кроме того, изготовители должны предоставлять обновления безопасности в течение всего периода поддержки устройства. Обычно он составляет около пяти лет, но зависит от срока службы продукта.

Регламент предусматривает требования не только для производителей, но и других участников цепи поставки цифровых продуктов, в частности импортеров и дистрибьюторов. В то же время, отдельные категории продукции, в частности медицинские устройства, транспортные системы и изделия для национальной безопасности, исключены из сферы его действия.