CRA i praksis: at bevise overensstemmelse med IEC 62443

Cyber Resilience Act (CRA) gælder for stort set alle produkter med digitale elementer, der sælges i EU – fra industrielle komponenter og indlejrede enheder til ren software. Og for de flestes vedkommende er det producenten selv, der skal erklære at kravene er opfyldt.

Spørgsmålet er så: hvordan beviser man det i praksis? Oplægget handler om vejen fra forordningstekst til noget, man rent faktisk kan dokumentere – og om hvorfor IEC 62443 er ved at blive det stillads, mange kommer til at bygge på.

Oplægget er i to dele á 45 minutter.

Del 1: Hvad kræver CRA egentlig – og af hvem?

Vi starter med at få afgrænsningen på plads: hvad er et »produkt med digitale elementer«, hvornår er man producent, og hvad sker der, hvis man blot integrerer andres komponenter.

Derefter ser vi på de krav, der faktisk skal opfyldes:

– Annex I del I: egenskaber ved selve produktet – sikker som standard, angrebsflade, adgangskontrol, fortrolighed og integritet af data.

– Annex I del II: håndtering af sårbarheder – SBOM, opdateringer, disclosure-politik, supportperiode.

– Klassificeringen: standardprodukter, vigtige produkter klasse I og II, kritiske produkter – og hvorfor netop den afgør, om du kan nøjes med at erklære dig selv i overensstemmelse, eller skal have en tredjepart ind over.

– Rapporteringspligterne, og hvad de betyder for en organisation der ikke har prøvet det før.

Vi ser også på, hvad »formodning om overensstemmelse« via en harmoniseret standard er værd – og hvad man gør i mellemtiden, mens standarderne stadig er under udarbejdelse.

Del 2: IEC 62443 som vejen til at dokumentere det

Anden del handler om, hvorfor 62443 er et nærliggende valg: 62443-4-1 beskriver en sikker udviklingslivscyklus, og 62443-4-2 beskriver tekniske krav til komponenter. Det er stort set den samme opdeling, som Annex I har – proces på den ene side, produktegenskaber på den anden.
Foredragsholderen er medlem af udvalgs gruppen omkring 62443 arbejdet, og tager udgangs i de kommende opdateringer som satser efter at opfylde CRA.

Vi kigger på:

– Hvordan kravene i 62443-4-1 og 4-2 står i forhold til Annex I del I og II – hvor de mødes, og hvor der er huller man selv skal lukke.

– Status på standardiseringsarbejdet, herunder de nye dele der er under udarbejdelse i ISO/IEC og skrives med CRA-conformity for øje.

– Hvad et 62443-baseret arbejde konkret producerer af artefakter, og hvordan de artefakter genbruges i den tekniske dokumentation.

Vi slutter med det praktiske: hvad man med fordel kan gå i gang med nu, uden at vente på at standarderne bliver færdige.

Der bliver lejlighed til at spørge og diskutere undervejs. Det er ikke et kursus i compliance, og vi når ikke hvert eneste krav – formålet er at give overblikket og et fælles sprog mellem udvikling, kvalitet og ledelse.

Målgruppe: Producenter af tilsluttede produkter, indlejrede systemer og OT – samt softwarearkitekter, udviklere, produktansvarlige, QA/RA-folk, produktsikkerhedsansvarlige og rådgivere, der skal forholde sig til CRA. Ingen forudgående kendskab til 62443 nødvendigt.

Udbytte: Du går hjem med en klar idé om, hvorvidt CRA rammer dine produkter, hvilken vurderingsvej du i så fald er på, hvad der skal kunne dokumenteres – og hvordan IEC 62443 kan bruges som stillads for det arbejde allerede nu.

Foredragsholder: Jens Schønberg (js@kendetegn.dk)

Arrangør: Finn Gustafsson  IDA-IT( figu@dtu.dk )