Nye cyberkrav til smartwatches og babyalarmer: sådan rammer CRA Danmark

Danmark har sendt et lovforslag om supplerende regler til EU's Cyber Resilience Act i offentlig høring. Formålet er at gøre digitale produkter mere robuste mod cyberangreb og give en dansk myndighed ansvar for markedsovervågning og håndhævelse.

Reglerne er relevante langt uden for it-branchen. Ministeriet for Samfundssikkerhed og Beredskab nævner selv almindelige produkter som babyalarmer og smartwatches. I praksis omfatter CRA et bredt felt af produkter med digitale elementer: hardware og software, der er direkte eller indirekte forbundet til et netværk eller en anden enhed.

Hvad er Cyber Resilience Act?

Cyber Resilience Act, normalt forkortet CRA, er EU-regulering, der stiller fælles cybersikkerhedskrav til produkter med digitale elementer. Tanken er, at sikkerhed ikke kun skal være noget, brugeren selv skal tilføje efter købet.

Producenter skal i højere grad tænke cybersikkerhed ind i design, udvikling, opdateringer og håndtering af sårbarheder. Det kan påvirke alt fra routere og kameraer til apps, smarte ure, sensorer og andet internetforbundet udstyr.

Hvorfor sender Danmark et nyt lovforslag i høring?

EU-forordningen gælder på tværs af medlemslandene, men Danmark skal stadig fastlægge nationale myndighedsroller og supplerende bestemmelser. Lovforslaget lægger op til, at Styrelsen for Samfundssikkerhed får centrale opgaver som bemyndigende myndighed og markedsovervågningsmyndighed.

Det betyder, at der skal være en konkret dansk instans, som kan føre tilsyn med, om produkter lever op til kravene, og reagere når sikkerheden ikke er tilstrækkelig.

Hvorfor nævnes babyalarmer og smartwatches?

Fordi de viser, hvor bredt problemet er. En babyalarm med kamera og internetforbindelse kan indeholde mikrofon, video, cloudkonto og fjernadgang. Et smartwatch kan lagre sundhedsdata, beskeder, placering og loginoplysninger.

Hvis sådanne produkter har svage standardadgangskoder, usikker fjernadgang eller stopper med at få opdateringer, kan de blive et indgangspunkt for angreb. Risikoen handler derfor ikke kun om, at enheden holder op med at virke, men også om privatliv og adgang til andre dele af hjemmets netværk.

Hvad skal producenter gøre anderledes?

CRA lægger op til, at producenter skal håndtere sårbarheder gennem produktets relevante levetid og have processer for sikkerhedsopdateringer. Kravene varierer efter produkttype og risikoniveau, men grundprincippet er, at cybersikkerhed bliver en del af produktansvaret.

Det betyder også bedre dokumentation. En producent skal kunne forklare, hvilke risici der er vurderet, hvordan produktet beskyttes og hvordan kendte sårbarheder håndteres.

Hvad sker der, når en sårbarhed bliver aktivt udnyttet?

EU har fastlagt rapporteringsmekanismer for alvorlige hændelser og aktivt udnyttede sårbarheder. Tidlige varsler skal kunne sendes hurtigt, så myndigheder og andre relevante aktører får et bedre billede af trusler, der allerede bruges i virkelige angreb.

For virksomheder betyder det, at sikkerhedsteam ikke kan nøjes med at rette en fejl i stilhed. De skal også have procedurer for vurdering, rapportering og kommunikation.

Hvad betyder reglerne for forbrugeren?

På kort sigt ændrer høringen ikke funktionerne i den smartwatch eller babyalarm, du allerede har hjemme. Den langsigtede effekt er, at nye produkter på EU-markedet skal leve op til mere ensartede krav.

Forbrugeren bør stadig kontrollere, hvor længe produktet får opdateringer. Et billigt kamera eller en sensor kan være en dårlig investering, hvis producenten stopper sikkerhedsrettelser kort efter købet.

Sådan vurderer du et smart produkt før køb

Undersøg hvor længe producenten lover sikkerhedsopdateringer.
Tjek om standardadgangskoden skal ændres ved opsætning.
Se om totrinsbekræftelse er tilgængelig.
Læs hvilke data produktet sender til cloudtjenester.
Kontrollér om produktet kan fungere lokalt uden abonnement.
Undersøg hvordan kontoen og data slettes ved videresalg.
Vælg kendte producenter med tydelig sikkerheds- og supportpolitik.

Hvad med produkter, der allerede står i hjemmet?

Gamle enheder forsvinder ikke, fordi nye regler kommer. Routere, kameraer, babyalarmer og smart-home-enheder bør derfor gennemgås med jævne mellemrum. Installer opdateringer, fjern enheder du ikke længere bruger, og undgå at genbruge samme adgangskode på tværs af tjenester.

Hvis en producent ikke længere leverer sikkerhedsopdateringer til en internetforbundet enhed, bør man overveje om den fortsat skal have adgang til nettet.

Hvorfor er markedsovervågning vigtig?

Regler virker kun, hvis nogen kan kontrollere dem. Markedsovervågning gør det muligt at undersøge produkter, kræve dokumentation og reagere på mangler. Det er særligt vigtigt på et marked, hvor mange billige digitale produkter sælges på tværs af grænser via onlineplatforme.

Hvis europæiske krav håndhæves konsekvent, reduceres fordelen ved at spare på sikkerhed for at få et produkt hurtigt og billigt på markedet.

Vil CRA gøre produkter dyrere?

Cybersikkerhed koster udviklingstid, test og løbende support, så nogle producenter vil få højere omkostninger. Men usikre produkter har også en pris: datalæk, kompromitterede konti, supportproblemer og i værste fald tilbagekaldelser.

For markedet kan fælles EU-regler samtidig gøre det lettere at udvikle ét sikkerhedssetup til mange lande i stedet for forskellige nationale krav.

Hvad skal virksomheder gøre nu?

Virksomheder, der fremstiller eller importerer digitale produkter, bør kortlægge hvilke produkter der falder ind under CRA, hvem der ejer ansvaret for sårbarhedshåndtering, og hvordan opdateringer leveres gennem produktets levetid.

Det er også vigtigt at få styr på leverandørkæden. Et produkt kan være bygget af biblioteker, chips, firmware og cloudtjenester fra mange forskellige leverandører. En sårbar komponent ét sted kan skabe risiko i det færdige produkt.

Hvorfor bliver supportperioden vigtigere?

For mange digitale produkter er levetiden længere end den periode, hvor køberen følger med i producentens supportside. En babyalarm, et ur eller en sensor kan fungere fysisk i årevis, men værdien falder, hvis producenten ikke længere vedligeholder softwaren. Derfor bliver en tydelig supportperiode en vigtig del af produktets samlede kvalitet.

Forbrugere kan med fordel sammenligne support på samme måde som batteritid, garanti og pris. Hvis to produkter koster næsten det samme, men det ene har en klart beskrevet periode for opdateringer og kundeservice, kan det være det bedre langsigtede køb.

Hvad bør virksomheder tænke på ved større indkøb?

Virksomheder, skoler og institutioner køber ofte mange enheder på én gang. Her bør man ikke kun vurdere indkøbsprisen, men også hvor længe produktet kan bruges, hvordan opdateringer administreres, og om leverandøren tilbyder dokumentation og support gennem hele den forventede levetid.

Det gør det lettere at budgettere og reducerer risikoen for, at en stor installation skal udskiftes tidligere end planlagt. CRA skubber dermed markedet i retning af, at softwarevedligeholdelse bliver en mere synlig del af selve produktkvaliteten.