Rune Hillebo Wiinberg & Johan Callmyr

Cyber Resilience Act: Hvor skal produktvirksomheder starte?

Cyber Resilience Act (CRA) ændrer rammerne for cybersikkerhed for virksomheder, der udvikler produkter med digitale elementer til det europæiske marked. For mange producenter er udfordringen ikke at indse, at cybersikkerhed er vigtig. Det budskab er allerede nået frem. Det svære spørgsmål er langt mere praktisk: Hvor starter vi?

At blive klar til CRA starter med at forstå dit udgangspunkt

Især hvis du allerede har produkter på markedet, etablerede udviklingsprocesser og teknologier, der aldrig blev designet med nutidens forventninger til cybersikkerhed for øje.

Tidsplanen gør det vigtigt at forberede sig. CRA's rapporteringsforpligtelser har været gældende siden den 11. september 2026, mens de primære krav til produkters cybersikkerhed gælder fra den 11. december 2027. Det giver produktvirksomheder en klar grund til at vurdere deres nuværende situation allerede nu – inden de primære krav træder i kraft.

Svaret er ikke nødvendigvis at begynde at implementere nye sikkerhedsfunktioner. Først skal du forstå, hvor du står.

Start med at identificere manglerne

En GAP-analyse giver en struktureret tilgang til at sammenligne dine nuværende produkter og arbejdsmetoder med de krav, du skal opfylde. Det betyder, at du både skal se på selve enheden og på alt det, der ligger omkring den.

Hvordan udvikles produktet? Hvilke software- og hardwarekomponenter indeholder det? Hvordan håndteres sårbarheder? Kan produktet opdateres sikkert? Hvem har ansvaret for cybersikkerheden efter lanceringen? Hvilken dokumentation findes der?

Svarene på disse spørgsmål skaber et fælles udgangspunkt. Nogle organisationer vil opdage, at de allerede har mange af de nødvendige processer og teknologier på plads. Andre vil finde væsentlige mangler. Begge resultater er nyttige. Du kan først lægge en meningsfuld plan, når du kender dit udgangspunkt.

Sikker udvikling fra starten

Et vigtigt område er selve udviklingsprocessen. Sikkerhed skal være en del af den måde, produkter designes og udvikles på, frem for noget, der kontrolleres kort før lanceringen. Sikker kodning, trusselsmodellering og risikovurderinger af cybersikkerheden kan hjælpe teams med at identificere potentielle problemer tidligere.

Princippet er enkelt: Det er generelt lettere at træffe gode sikkerhedsbeslutninger, når arkitekturen designes, end at kompensere for svagheder, når arkitekturen først er fastlagt.

Det er grundlaget for security by design.

Vid, hvad dit produkt indeholder

Moderne forbundne produkter indeholder ofte et helt økosystem af komponenter. Nogle udvikles internt. Andre kommer fra leverandører, open source-projekter eller etablerede softwareframeworks. Derfor er komponenternes sikkerhed også en vigtig del af helheden.

Teams skal forstå, hvilke komponenter deres produkter er afhængige af, og hvordan disse komponenter vedligeholdes. Hvis der opdages en sårbarhed i en komponent, skal du vide, om dit produkt er berørt, og hvad du kan gøre ved det.

Det er særligt vigtigt for produkter med lange livscyklusser. Den software, der blev betragtet som sikker ved produktets lancering, vil ikke nødvendigvis være det for altid.

Vær forberedt på sårbarheder

Nye sårbarheder er uundgåelige. Spørgsmålet er, hvor godt du er forberedt, når en af dem rammer dit produkt.

En struktureret proces til håndtering af sårbarheder kan hjælpe teams med at identificere, vurdere og afhjælpe sikkerhedsproblemer gennem hele produktets livscyklus. CVE-overvågning (Common Vulnerabilities and Exposures) er en del af dette. Den giver information om kendte sårbarheder, der kan være relevante for den software, som anvendes i produktet.

Men overvågning er kun nyttig, når den følges op af handling.

Hvem vurderer advarslen? Hvordan vurderes dens relevans? Hvad sker der, hvis en opdatering er nødvendig? Hvor hurtigt kan organisationen reagere?

Cybersikkerhed bliver langt lettere at håndtere, når der er svar på disse spørgsmål, inden en hændelse opstår.

Opdateringer kræver også en strategi

Når du identificerer en sårbarhed, der kræver handling, kan det være nødvendigt at opdatere produkter, som allerede er i drift hos kunderne. Det rejser en række nye spørgsmål.

Kan produktet opdateres eksternt? Hvordan verificerer du opdateringens ægthed? Hvad sker der, hvis en opdatering mislykkes? Hvordan testes den nye software, inden den tages i brug? Kan du styre og forhindre nedgradering til ældre softwareversioner, så du sikrer, at sikkerhedsrettelserne faktisk er installeret?

Sikre softwareopdateringer, signering af firmware og korrekt nøglehåndtering kan alle spille en rolle.

Test er lige så vigtigt. Et dedikeret testmiljø gør det muligt at validere sikkerhedsopdateringer og gennemføre integrations- og performancetest, inden softwaren installeres på produkter i drift.

Muligheden for at opdatere sikkert bør derfor tænkes ind i produktet fra starten.

Dokumentation er vigtig

Cybersikkerhed handler ikke kun om at gøre de rigtige ting. Organisationer skal også kunne dokumentere, hvad de har gjort. Det stiller større krav til dokumentation og sporbarhed.

Sikkerhedskrav, risikovurderinger, udviklingsaktiviteter og beslutninger skal måske indgå i en struktureret proces. For nogle organisationer er det en betydelig kulturændring.

Uformelle udviklingsmetoder, som tidligere fungerede godt, skal måske erstattes af dokumenterede processer med tydeligere ejerskab og ansvarsfordeling. Det understreger en vigtig pointe om at blive klar til CRA.

Det er ikke kun et teknisk udviklingsprojekt

Teknologi er måske kernen i cybersikkerhed, men ændringerne kan række langt ud over udviklingsafdelingen. Forskning og udvikling, produktledelse, kvalitet, produktion og ledelse kan alle blive berørt.

I et kundeprojekt gennemførte vi GAP-analyser for forskellige produkter på tværs af markeder og brancher. Arbejdet viste, at bedre cybersikkerhed ikke kun handlede om selve produkterne, men også om udviklingsprocesser, vedligeholdelse og arbejdsmetoder.

Prevas fungerede derfor både som teknisk rådgiver og projektleder og hjalp med at sætte cybersikkerhedskravene ind i en bredere forretningsmæssig sammenhæng.

Den kombination er vigtig. En teknisk korrekt løsning er kun nyttig, hvis organisationen kan implementere, vedligeholde og arbejde med den.

Cyber Resilience Act – Omsæt kravene til en handlingsplan

Cyber Resilience Act (CRA) kan i første omgang virke som en stor og kompleks udfordring. Ved at dele den op i mindre dele bliver den lettere at håndtere.
Kortlæg dine produkter. Forstå dine risici. Gennemgå dine udviklings- og vedligeholdelsesprocesser. Identificér manglerne. Prioritér det vigtigste. Udarbejd derefter en handlingsplan, der kobler cybersikkerhedskravene til de tekniske og forretningsmæssige prioriteter.
Målet bør ikke blot være at overholde kravene. Gribes arbejdet rigtigt an, kan det også skabe mere robuste produkter, tydeligere udviklingsprocesser og bedre kontrol over hele produktets livscyklus.
Og det er et godt sted at starte.

udforsk

Indsigter om cybersikkerhed

Se alle vores indsigter

Om forfatterne

Rune Hillebo Wiinberg er Head of Cybersecurity hos Prevas og har siden 2007 arbejdet professionelt med embedded-systemer og sikre, forbundne produkter. Med erfaring fra energi, medicoteknik og forsvar rådgiver han kunder på alle niveauer i organisationen og hjælper med at skabe sammenhæng mellem forretningsmæssige prioriteter, regulatoriske krav og teknisk produktudvikling.

Johan Callmyr er softwarearkitekt med mere end 20 års erfaring med C++ og software til embedded-enheder. Han kombinerer teknisk ekspertise med erfaring inden for softwarearkitektur, teknisk ledelse, cybersikkerhed og udvikling i regulerede miljøer som medicoteknik. Som softwarearkitekt og Software Lead hjælper han kunder med at udvikle robuste softwareløsninger til komplekse produkter med fokus på både cybersikkerhed og sikker funktion.