Виробники підключених пристроїв і програм у Європейському Союзі з 11 вересня зобов’язані повідомляти про вразливості, які активно експлуатуються. Новий етап Акта про кіберстійкість ЄС (Cyber Resilience Act, CRA) стосується продуктів із цифровими елементами, серед яких розумні годинники, радіоняні, побутова техніка та застосунки.
Європейська комісія зазначає, що регламент набув чинності 10 грудня 2024 року. Обов’язки щодо повідомлення застосовуються з 11 вересня 2026 року, а основні вимоги до виробників почнуть діяти 11 грудня 2027 року.
CRA запроваджує обов’язкові вимоги до кібербезпеки на етапах планування, проєктування, розробки та обслуговування цифрового продукту. Виробник також має працювати з вразливостями протягом усього життєвого циклу пристрою або програми.
Для покупців важлива не лише безпека нового пристрою, а й підтримка після продажу. Єврокомісія пов’язує появу правил із недостатнім захистом багатьох продуктів, несвоєчасними оновленнями та складністю вибору техніки з надійними функціями безпеки.
У Нідерландах ці проблеми раніше вивчили Інспекція цифрової інфраструктури (Rijksinspectie Digitale Infrastructuur,
RDI) та Управління з питань споживачів і ринків (Autoriteit Consument & Markt, ACM). Їхнє спільне дослідження охопило 15 популярних побутових пристроїв.
До вибірки увійшли розумні термостати, радіоняні, дверні дзвінки та телевізори. Технічна безпека в більшості випадків виявилася прийнятною, однак оновлення надавали не завжди, а інформація для покупців часто була неповною.
Під час онлайн-покупки в половині випадків продавець не повідомляв про політику оновлень. Іноді відомості виробника відрізнялися від даних продавця, а в звичайних магазинах споживачі отримували менше інформації, ніж в інтернеті.
Проблема стосується і сумісності застосунків. Лише для двох пристроїв із вибірки було вказано мінімальний номер версії операційної системи, тож покупець не завжди міг заздалегідь зрозуміти, чи працюватиме техніка з його телефоном або планшетом.
В окремому попередженні RDI описує типові слабкі місця: з’єднання, які легко перехопити, небезпечні стандартні налаштування та складне встановлення оновлень. У разі успішної атаки стороння особа може отримати доступ до домашньої камери або розумного замка,
а персональні дані можуть стати доступними третім особам.
Розумні пристрої підключені до інтернету, приймають команди на відстані, передають відомості та можуть виконувати дії самостійно. Ця можливість робить мережевий захист важливою частиною роботи техніки, а не окремою додатковою функцією.
Нідерландський регулятор радить користувачам регулярно встановлювати оновлення та задавати для кожного пристрою окремий пароль завдовжки щонайменше 12 символів. Там, де це можливо, слід увімкнути двоетапну перевірку входу.
RDI також рекомендує не підключати техніку до домашньої мережі без потреби, вимикати пристрої, якими довго не користуються, і перевірити стан функції універсального автоматичного підключення UPnP на маршрутизаторі. Регулятор вважає її зручною, але недостатньо безпечною.
Для виробників перехідний період триває. 27 липня 2026 року Єврокомісія оприлюднила практичний посібник із виконання CRA для виробників, розробників і компаній різного розміру.
Після 11 грудня 2027 року продукти мають відповідати основним вимогам CRA, а знак CE вказуватиме на дотримання правил. Національні органи нагляду за ринком отримають завдання контролювати їхнє виконання.
