ENISA objavila orodje za samooceno kibernetske odpornosti za mikro, mala in srednje velika podjetja

Akt o kibernetski odpornosti (Cyber Resilience Act – CRA) uvaja enotne zahteve glede kibernetske varnosti za izdelke z digitalnimi elementi, ki se dajejo na trg Evropske unije. Določbe Akta o kibernetski odpornosti se bodo začele uporabljati decembra 2027, zato je pravočasna priprava pomembna za vse organizacije, na katere se uredba nanaša.

ENISA je zato pripravila praktično Excelovo orodje za samooceno, ki organizacijam pomaga oceniti trenutno raven zrelosti na področju kibernetske varnosti izdelkov, prepoznati področja za izboljšave ter načrtovati nadaljnje aktivnosti.

Orodje je namenjeno predvsem:

• mikro, malim in srednje velikim podjetjem, ki kot proizvajalci, uvozniki ali distributerji dajejo na trg izdelke z digitalnimi elementi in bodo zavezanci po CRA,
• organizacijam, ki sodelujejo v življenjskem ciklu takšnih izdelkov, na primer sistemskim integratorjem ali ponudnikom storitev,
• uporabljajo pa ga lahko tudi druge organizacije, ki želijo sistematično izboljšati varnost svojih digitalnih izdelkov.

Samoocena temelji na 25 vprašanjih, razdeljenih na pet ključnih področij:

• upravljanje in dokumentacija,
• upravljanje tveganj ter varnost že pri načrtovanju in privzeta varnost,
• upravljanje ranljivosti in varnostnih popravkov,
• upravljanje življenjskega cikla izdelka,
• ozaveščenost, kompetence in znanja.

Po izpolnitvi vprašalnika orodje samodejno pripravi rezultate in organizacijo razvrsti na osnovno, vmesno ali napredno raven zrelosti. Poleg skupne ocene prikaže tudi rezultate po posameznih področjih ter pripravi seznam priporočil in prednostnih ukrepov za nadaljnje izboljšave.

Takšen pristop podjetjem omogoča, da:

• prepoznajo vrzeli v varnosti svojih izdelkov,
• določijo prednostne izboljšave glede na tveganja,
• načrtujejo razvoj varnostnih praks,
• spremljajo napredek pri krepitvi kibernetske odpornosti,
• se sistematično pripravljajo na izvajanje zahtev CRA.

Pomembno je poudariti, da orodje ne predstavlja dokazila o skladnosti z Aktom o kibernetski odpornosti. Namenjeno je podpori pri samooceni in postopnem izboljševanju kibernetske varnosti izdelkov, ne nadomešča pa pravne presoje, formalne ocene skladnosti ali ocene tveganj.

Povezave

• Več informacij o modelu in prenos dokumentacije: ENISA – SME Cyber Resilience Maturity Assessment Model (v angleškem jeziku)
• Neposredni dostop do Excelovega orodja za samooceno (v angleškem jeziku)