FAQ: Czy mogę sam ocenić bezpieczeństwo swojego produktu podłączonego do sieci?

Krótka odpowiedź

W przypadku większości produktów tak, prawnie możesz. Akt o cyberodporności (CRA) dopuszcza samoocenę dla produktów z kategorii domyślnej i produktów klasy I (jeśli stosujesz normy zharmonizowane). To, czy warto przeprowadzić ją całkowicie we własnym zakresie, zależy jednak od Twojego zespołu, Twojego produktu i Twoich klientów.

Długa odpowiedź

CRA nie wymaga laboratorium dla produktów z kategorii domyślnej. Samodzielnie oceniasz produkt, dokumentujesz wyniki, podpisujesz deklarację zgodności UE i umieszczasz oznakowanie CE. W przypadku produktów klasy I samoocena również wystarcza, jeśli stosujesz normę zharmonizowaną, taką jak EN 303 645. Jeśli jej nie stosujesz, potrzebujesz zewnętrznej jednostki notyfikowanej. Produkty klasy II zawsze ocenia strona trzecia. Produkty krytyczne (moduły HSM, karty inteligentne, bramki inteligentnych liczników) wymagają certyfikacji EUCC przez formalną jednostkę certyfikującą i nie ma tu żadnej alternatywy.

Kiedy możesz testować samodzielnie?

masz w zespole kogoś, kto potrafi przeprowadzić skanowanie sieci, przeanalizować konfigurację TLS, przejrzeć firmware i sprawdzić bezpieczeństwo BLE/Wi-Fi
Twój produkt jest stosunkowo prosty: czujnik, monitor, urządzenie podłączone do sieci o jednym przeznaczeniu
Twój produkt należy do kategorii domyślnej, więc samoocena i tak jest Twoją jedyną ścieżką

Kiedy lepiej pójść do laboratorium badawczego?

nie masz w firmie kompetencji w zakresie testów bezpieczeństwa
Twój produkt jest złożony: wiele interfejsów, backend w chmurze, aplikacja mobilna, BLE + Wi-Fi + łączność komórkowa
chcesz niezależnej weryfikacji, która ma większą wagę w oczach klientów
Twoi klienci lub Twoja branża oczekują dowodów od strony trzeciej (częste w B2B, w przemyśle i w obszarach bliskich ochronie zdrowia)

Złoty środek

Zatrudnij konsultanta ds. bezpieczeństwa, który przeprowadzi testy razem z Twoim zespołem i udokumentuje wyniki, ale pomiń formalną jednostkę certyfikującą. Dostajesz uporządkowane testy i niezależne spojrzenie z zewnątrz bez kosztów i harmonogramu pełnej współpracy z laboratorium. Specyfikacja testów (ETSI TS 103 701) powstała z myślą o laboratoriach, ale nic nie stoi na przeszkodzie, żeby samodzielnie przeprowadzić te same kontrole. Jest publicznie dostępna i dokładnie opisuje, co testować i co uznaje się za wynik pozytywny.

Szacunkowe koszty

Samodzielne testy: czas Twojego zespołu + narzędzia (nmap, Wireshark i testssl.sh są darmowe)
Konsultant ds. bezpieczeństwa: 5-15 tys. EUR w zależności od złożoności produktu
Pełne testy w laboratorium (TS 103 701): 15-50 tys. EUR i więcej, w zależności od laboratorium i produktu
Ocena przez jednostkę notyfikowaną (klasa II): 20-60 tys. EUR i więcej, plus koszty stałego nadzoru

Kolejne kroki

Ustal kategorię swojego produktu (domyślna, klasa I/II lub krytyczna), żeby wiedzieć, która ścieżka oceny zgodności Cię dotyczy. Następnie zdecyduj, czy testujesz samodzielnie, zatrudniasz konsultanta, czy idziesz do laboratorium, biorąc pod uwagę kompetencje swojego zespołu i oczekiwania swoich klientów.