يكشف الاتحاد الأوروبي عن خطته لأمن الأجهزة الذكية

اقترح المشرعون في الاتحاد الأوروبي مجموعة جديدة من قواعد المنتجات لتطبيقها على الأجهزة الذكية التي تهدف إلى إجبار صانعي الأجهزة المتصلة بالإنترنت – مثل الغسالات “الذكية” أو الألعاب المتصلة – على إيلاء اهتمام كبير لأمن الجهاز.

الاتحاد الأوروبي المقترح قانون المرونة السيبرانية سوف متطلبات الأمن السيبراني الإلزامية للمنتجات التي تحتوي على “عناصر رقمية” تباع في جميع أنحاء الكتلة ، مع تقديم متطلبات طوال دورة حياتها – مما يعني أن صانعي الأدوات سوف يحتاجون إلى توفير دعم أمني مستمر وتحديثات لتصحيح نقاط الضعف الناشئة – اللجنة قال اليوم.

تركز مسودة اللائحة أيضًا على صانعي الأجهزة الذكية الذين يتواصلون مع المستهلكين “بمعلومات كافية ودقيقة” – لضمان قدرة المشترين على استيعاب الاعتبارات الأمنية عند نقطة الشراء وإعداد الأجهزة بشكل آمن بعد الشراء.

تصل العقوبات التي اقترحتها المفوضية لعدم الامتثال لمتطلبات الأمن السيبراني “الأساسية” إلى أعلى من 15 مليون يورو أو 2.5٪ من إجمالي المبيعات السنوية في جميع أنحاء العالم ، مع وجود مخالفات لوائح أخرى لها حد أقصى للعقوبات يبلغ 10 مليون يورو أو 2٪ من حجم المبيعات.

قال المسؤول التنفيذي في الاتحاد الأوروبي إن اللائحة المقترحة ستنطبق على جميع المنتجات المتصلة “إما بشكل مباشر أو غير مباشر بجهاز أو شبكة أخرى” – مع بعض الاستثناءات للمنتجات التي تم تحديد متطلبات الأمن السيبراني لها بالفعل في قواعد الاتحاد الأوروبي الحالية ، مثل الأجهزة الطبية ، الطيران والسيارات.

قواعد عموم الاتحاد الأوروبي لأمن الأجهزة الذكية

في ملخص الإجراءات المقترحة ، والتي تستند إلى أ الإطار التشريعي بالنسبة لتشريعات منتجات الاتحاد الأوروبي التي تم تحديثها في عام 2008 ، قالت المفوضية إنها ستضع:

(أ) قواعد طرح المنتجات ذات العناصر الرقمية في السوق لضمان أمنها السيبراني ؛

(ب) المتطلبات الأساسية لتصميم وتطوير وإنتاج المنتجات ذات العناصر الرقمية ، والتزامات للمشغلين الاقتصاديين فيما يتعلق بهذه المنتجات ؛

(ج) المتطلبات الأساسية لعمليات معالجة الثغرات الأمنية التي وضعتها الشركات المصنعة لضمان الأمن السيبراني للمنتجات ذات العناصر الرقمية خلال دورة الحياة بأكملها ، والتزامات المشغلين الاقتصاديين فيما يتعلق بهذه العمليات. سيتعين على الشركات المصنعة أيضًا الإبلاغ عن نقاط الضعف والحوادث المستغلة بشكل نشط ؛

(د) قواعد مراقبة السوق والإنفاذ.

“القواعد الجديدة ستعيد توازن المسؤولية تجاه الشركات المصنعة ، الذين يجب أن يضمنوا التوافق مع متطلبات الأمان للمنتجات ذات العناصر الرقمية التي يتم توفيرها في سوق الاتحاد الأوروبي ،” كتب في خبر صحفى. ونتيجة لذلك ، ستفيد المستهلكين والمواطنين ، وكذلك الشركات التي تستخدم المنتجات الرقمية ، من خلال تعزيز شفافية خصائص الأمان وتعزيز الثقة في المنتجات ذات العناصر الرقمية ، وكذلك من خلال ضمان حماية أفضل لحقوقهم الأساسية ، مثل كحماية للخصوصية والبيانات “.

لجنة سؤال وجواب في المبادرة تنص كذلك على أن المصنعين سيخضعون “لعملية تقييم المطابقة لإثبات ما إذا كانت المتطلبات المحددة المتعلقة بالمنتج قد تم الوفاء بها”. ويشير إلى أنه يمكن القيام بذلك عن طريق التقييم الذاتي أو من خلال تقييم المطابقة من طرف ثالث “اعتمادًا على مدى أهمية المنتج المعني”.

عند إثبات الامتثال للمتطلبات المعمول بها ، سيكون بإمكان صانعي الأجهزة وضع علامة CE الخاصة بالاتحاد الأوروبي – مما يشير إلى توافق العناصر الرقمية مع لائحة أمان المنتج.

يتم التعامل مع عدم الامتثال من قبل سلطات مراقبة السوق المعينة من قبل الدول الأعضاء والتي ستكون مسؤولة عن الإنفاذ – مع الصلاحيات المقترحة ليس فقط لإيقاف عدم الامتثال ولكن “القضاء على المخاطر” عن طريق حظر بيع المنتج أو تقييده بطريقة أخرى توافرها في السوق. يمكن للسلطات المختصة أيضًا أن تأمر بسحب المنتجات المخالفة أو سحبها. في حين أن تقديم معلومات غير صحيحة أو غير كاملة أو مضللة للجهات التنظيمية وسلطات المراقبة ، من شأنه أن يخاطر بغرامة تصل إلى 5 ملايين يورو أو 1٪ من حجم الأعمال.

وتعليقًا على بيان ، أضافت Margrethe Vestager ، نائب الرئيس التنفيذي للجنة للاستراتيجية الرقمية: “نحن نستحق أن نشعر بالأمان مع المنتجات التي نشتريها في السوق الموحدة. تمامًا كما يمكننا الوثوق بلعبة أو ثلاجة تحمل علامة CE ، سيضمن قانون المرونة الإلكترونية أن الكائنات والبرامج المتصلة التي نشتريها تتوافق مع ضمانات الأمن السيبراني القوية. ستضع المسؤولية في مكانها ، مع أولئك الذين يعرضون المنتجات في السوق “.

لطالما كانت الأجهزة الذكية مرتعًا لقصص الرعب الأمني ​​لسنوات. على الرغم من وجود خطوات سابقة لسد الثغرات الأمنية الصارخة – مثل قانون كاليفورنيا لعام 2018 الذي يمنع صانعي القرار من تعيين كلمات مرور افتراضية يسهل تخمينها في الأجهزة.

تعمل المملكة المتحدة أيضًا على قانون “الأمان حسب التصميم” للأجهزة المتصلة لعدد من السنوات – تم بث مسودة مرة أخرى في عام 2019 (على الرغم من ذلك فاتورة أمان المنتجالتي تحزم أحكام أمن البنية التحتية للاتصالات ، لا تزال تشق طريقها عبر البرلمان البريطاني).

على الرغم من عدم كونه أول من يتصدى لأمن الأجهزة الذكية ، يأمل الاتحاد الأوروبي أن يصبح منهجه الناشئ نقطة مرجعية دولية ، حيث يقترح البيان الصحفي للمفوضية أن: “معايير الاتحاد الأوروبي القائمة على قانون المرونة الإلكترونية ستسهل تنفيذها و سيكون أحد الأصول لصناعة الأمن السيبراني في الاتحاد الأوروبي في الأسواق العالمية “.

ومع ذلك ، لا يزال هناك طريق طويل إلى حد ما لسفر الاقتراح قبل أن يصبح قانونًا للاتحاد الأوروبي ، حيث سيحتاج البرلمان والمجلس الأوروبيان إلى فحص المسودة – وقد يسعيان إلى تعديلها.

اقترحت المفوضية أيضًا إطارًا زمنيًا لمدة عامين بمجرد اعتماد اللائحة لصانعي الأجهزة والدول الأعضاء في الاتحاد الأوروبي للتكيف مع المسح الكامل للقواعد الجديدة. لذلك من المحتمل ألا تكون اللائحة شديدة قبل عام 2025.

ومع ذلك ، هناك إطار زمني أقصر لالتزامات الإبلاغ على الشركات المصنعة عن “نقاط الضعف والحوادث المستغلة بشكل نشط” – والتي ستطبق بعد عام واحد من تاريخ دخول اللائحة حيز التنفيذ ، حيث تتوقع اللجنة أن يكون هذا الجزء أسهل في التنفيذ .