Pametne kamere, satovi, televizori i kućanski uređaji koji se na tržište Europske unije prvi put stave od 11. prosinca 2027. morat će ispunjavati jedinstvene sigurnosne zahtjeve iz Akta o kibernetičkoj otpornosti (CRA). Proizvođači će zaštitu morati ugraditi u uređaj od početka i otklanjati propuste tijekom cijelog razdoblja podrške, a kupac će prije kupnje moći doznati kada ta podrška završava.
Michael Jesse, osnivač NexTech.Lawa i stručnjak za europsku digitalnu regulativu i kibernetičku sigurnost, upozorava da roditelji koji kamerom nadziru dječju sobu ne mogu sami pregledati softver u njoj. Slaba lozinka, ukradeni podaci za prijavu ili greška u softveru dovoljni su da netko nepoznat dobije pristup uređaju. Podsjeća na siječanj 2023., kada su nizozemski mediji izvijestili da je policija na jednoj internetskoj stranici pronašla snimke uživo iz dječje spavaće sobe, snimljene baby monitorom.
Rok se ne računa od dana kupnje
CRA u pravilu traži najmanje pet godina sigurnosne podrške. Za uređaje s duljim očekivanim vijekom, poput pametnih kućanskih aparata, obveza može trajati i dulje. Kraće razdoblje dopušteno je samo ako proizvođač opravda da će se proizvod koristiti manje od pet godina. Tko kupi uređaj dvije godine nakon što se pojavio na tržištu, ne dobiva novih pet godina podrške.
Uređaji koje ljudi već imaju kod kuće neće automatski dobiti dodatne godine ažuriranja. Na proizvode stavljene na tržište prije 11. prosinca 2027. novi se zahtjevi u pravilu primjenjuju samo ako se nakon tog datuma bitno izmijene, a potrošači zadržavaju postojeća prava, uključujući pravo na sigurnosna ažuriranja. Usklađenost novih uređaja moći će se provjeriti u EU izjavi o sukladnosti, koja mora upućivati na Uredbu (EU) 2024/2847 i dio je zahtjeva povezanih s oznakom CE.
Upozorenje u roku od 24 sata
Od rujna proizvođači moraju prijavljivati ranjivosti koje napadači aktivno iskorištavaju i ozbiljne sigurnosne incidente. Prijava ide preko jedinstvene platforme ENISA-e, Agencije Europske unije za kibernetičku sigurnost. Rano upozorenje ENISA-i i nadležnom nacionalnom timu za odgovor na kibernetičke incidente proizvođač mora poslati u roku od 24 sata otkako je saznao za problem, zatim u roku od 72 sata detaljniju prijavu, a na kraju završno izvješće.
Pogođene korisnike proizvođač mora obavijestiti i, kada je potrebno, objasniti im kako se zaštititi. Zakon ne propisuje jedan kanal, pa to može biti obavijest u aplikaciji ili e-poruka koja navodi hakirani model kamere i upućuje kako isključiti udaljeni pristup ili instalirati sigurnosno ažuriranje. Ako proizvođač zakasni, korisnike može upozoriti nacionalni tim za odgovor na incidente.
Tuđi softver nije izgovor
Proizvođač gotovog uređaja odgovara i za softver drugih tvrtki koji je ugradio. Ako kamera koristi softversku biblioteku s ranjivošću, njezin proizvođač mora procijeniti posljedice i osigurati rješenje, a kupac ne bi trebao tražiti krivca među dobavljačima, ističe Jesse.
Pravila vrijede za sve proizvođače koji prodaju u EU-u, bez obzira na to je li im sjedište u Europi, Kini ili SAD-u, a obveze imaju i uvoznici i distributeri. Ni kupnja preko internetskih platformi ne izuzima proizvod od europskih zahtjeva. Nadležna tijela neusklađenim proizvodima mogu ograničiti prodaju, naložiti povlačenje s tržišta ili čak opoziv prodanih uređaja.
Naknada štete i kome se obratiti
Tko zbog propusta izgubi novac ili mu netko neovlašteno pristupi snimkama, može tražiti naknadu štete na temelju ugovornih obveza, nacionalnih propisa o odgovornosti za štetu ili GDPR-a, ovisno o okolnostima. Jesse savjetuje da se sačuvaju račun, podaci o uređaju i verziji softvera, sigurnosne obavijesti, snimke zaslona i dokazi o šteti te da se zatim pošalje pisani zahtjev prodavatelju, proizvođaču ili pružatelju digitalne usluge.
Nova pravila o odgovornosti za neispravne proizvode, koja vrijede za proizvode stavljene na tržište od 9. prosinca 2026., obuhvaćaju i softver. Sud može naložiti proizvođaču da dostavi tehničke dokaze, a ako to ne učini, može se pretpostaviti da je proizvod neispravan, iako proizvođač može dokazivati suprotno. Sama povreda privatnosti ili isključivo financijski gubitak nisu obuhvaćeni tim pravilima.
Ako proizvođač ne odgovara ili više ne posluje, kupac se najprije pisano obraća prodavatelju. U Hrvatskoj se neriješeni potrošački prigovor može uputiti Državnom inspektoratu, kibernetički incident prijaviti CERT.hr-u, a povreda osobnih podataka Agenciji za zaštitu osobnih podataka (AZOP).
Što provjeriti prije kupnje
Jesse, koji 16. listopada gostuje na konferenciji „CRA i sigurnost lanca opskrbe: od regulative do stvarne kibernetičke otpornosti” na Sveučilištu Algebra Bernays, preporučuje da se najprije provjeri gdje su proizvođač i prodavatelj te je li riječ o poznatoj marki. Kod tvrtke koja posluje u EU-u lakše je ostvariti prava, ali zemlja podrijetla nije dokaz sigurnosti. Vrijedi doznati:
- koliko dugo proizvođač jamči sigurnosna ažuriranja i instaliraju li se ona automatski,
- podržava li udaljeni pristup dvofaktorsku autentifikaciju,
- spremaju li se snimke na uređaj ili u oblak i tko im može pristupiti.
Objavljena pravila o zaštiti privatnosti ne znače da je uređaj zaštićen od napada. Prilagodba će stajati i proizvođače: Europska komisija procijenila je 2022. da bi ukupni troškovi usklađivanja mogli doseći oko 29 milijardi eura, a dio bi se mogao odraziti na cijene, no zasad se ne može pouzdano procijeniti koliko će pojedini uređaji poskupjeti.
Više o temi piše tportal.hr.
