Безопасность или слежка? Новый закон ЕС угрожает открытому ПО

Совет ЕС принял Cyber Resilience Act (CRA) c требованиями к кибербезопасности для продуктов с цифровыми элементами. Цель закона — гарантировать, что подключённые камеры, холодильники, телевизоры и игрушки поступают на рынок с надлежащим уровнем безопасности.

Новый акт призван устранить существующие пробелы и сделать законодательство в области кибербезопасности более согласованным, обеспечивая защиту продуктов с цифровыми компонентами на протяжении всего их жизненного цикла.

Закон вводит общеевропейские требования к кибербезопасности на всех этапах разработки, производства и вывода на рынок как аппаратных, так и программных продуктов. Это поможет избежать противоречий между различными законодательными актами, действующими в странах ЕС. В частности, программное и аппаратное обеспечение будет иметь маркировку CE, которая свидетельствует о соответствии высоким стандартам безопасности, охраны здоровья и защиты окружающей среды.

Новые правила будут распространяться на все продукты, подключённые к другому устройству или сети, за исключением тех, для которых требования к кибербезопасности уже установлены, например, медицинских приборов, автомобилей и оборудования аэронавтики. Принятый закон также упростит потребителям выбор продуктов с цифровыми элементами, позволяя учитывать уровень их кибербезопасности.

Закон вступит в силу через 20 дней после публикации в официальном журнале ЕС, а его положения начнут действовать через 36 месяцев после. Некоторые требования будут применяться раньше.

Несмотря на попытки улучшить безопасность, ACR также может нанести ущерб разработчикам открытого ПО и увеличить риск раскрытия уязвимостей. Многие организации и частные лица уже выражали обеспокоенность касательно CRA. Кроме того, ведущие эксперты в области кибербезопасности предупредили о потенциальном злоупотреблении CRA в целях разведки или слежки.