Acord sobre la Llei de ciberresiliència

Poc abans de la mitjanit del 30 de novembre a l’1 de desembre del 2023, negociadors del Parlament Europeu i del Consell de la Unió Europea van assolir un acord polític sobre la Llei de ciberresiliència (Cyber Resilience Act), una proposta que la Comissió va presentar el setembre del 2022. El pacte tanca la fase de negociació, però el text encara ha de ser aprovat formalment per totes dues institucions i publicat al Diari Oficial abans d’entrar en vigor.

Serà una de les primeres normes europees que exigeixin de manera general requisits de ciberseguretat als productes amb elements digitals que es comercialitzen al mercat: des de dispositius domèstics connectats, com càmeres, altaveus o televisors intel·ligents, fins a programes informàtics i components de maquinari. Avui, bona part d’aquests productes surt al mercat amb poques garanties de seguretat i amb actualitzacions irregulars, i el cost dels ciberatacs l’assumeixen empreses i famílies. La Unió ja havia endurit les regles per als operadors de serveis essencials amb la directiva NIS 2; aquesta norma mira l’altra pota, la del producte, de manera que totes dues es complementen.

A qui s’adreça

S’aplicarà als productes connectats, directament o indirectament, a un altre dispositiu o a una xarxa, tret dels que ja estiguin coberts per normes europees específiques de ciberseguretat, com els productes sanitaris, els d’aviació o els vehicles de motor. Les obligacions recauen sobre fabricants, importadors i distribuïdors, que hauran de garantir que el producte compleix els requisits abans de posar-lo al mercat i mentre duri el seu cicle de vida.

El compliment s’acreditarà mitjançant el marcatge CE, que ja coneixen els fabricants d’altres sectors. Per als productes considerats més crítics hi haurà exigències reforçades d’avaluació. Els detalls sobre el programari lliure i de codi obert, que preocupava la comunitat tecnològica, s’han anat matisant en la negociació, i caldrà llegir el text final per conèixer-ne l’abast exacte.

Calendari i notificacions

Segons els primers resums del pacte, hi haurà un període transitori de 36 mesos des de l’entrada en vigor perquè la indústria s’hi adapti, tot i que les obligacions de notificar vulnerabilitats explotades i incidents greus s’aplicaran abans, als 21 mesos. Les notificacions s’adreçaran als equips nacionals de resposta a incidents de ciberseguretat, en lloc de l’agència europea, com proposava inicialment la Comissió.

L’incompliment podrà comportar sancions econòmiques proporcionals a la gravetat, com es preveu en altres normes europees de producte. Tot i que queda camí fins a l’aplicació efectiva, la negociació deixa clar el sentit de la norma: la seguretat deixa de ser opcional i s’integra en el disseny del producte des del principi.

Què convé revisar

Les empreses que fabriquen, importen o distribueixen productes amb components digitals —des de dispositius de consum fins a equips industrials i programes— haurien de començar per fer un inventari dels seus productes i dels components de programari, identificar quins podrien entrar en l’àmbit de la norma i revisar com gestionen avui les vulnerabilitats i les actualitzacions de seguretat.

Els contractes amb proveïdors de components i de programari mereixen una revisió: qui respon de les vulnerabilitats, com es comparteix la informació sobre aquestes i què passa quan acaba el suport d’un producte. Les empreses que usen aquests productes poden demanar més informació sobre seguretat en les compres. Per a les pimes que depenen de proveïdors externs de programari, és un bon moment per preguntar com gestionen les actualitzacions de seguretat. Aquesta nota és informació general; consulteu amb el vostre assessor per al vostre cas.

La ciberseguretat comença a mesurar-se en el producte i no només en la xarxa que l’envolta.

Aquest article és informació general. No és assessorament jurídic, fiscal ni d’inversió, i no té en compte les circumstàncies particulars de ningú.