Stiller Cyber Resilience Act krav til dit overvågningskamera?

Annonce – sponsoreret indhold.

Ja, et netværksforbundet overvågningskamera er som udgangspunkt omfattet af kravene i EU’s cyberrobusthedsforordning, og derfor er overvågningskamera cyber resilience act et spørgsmål, som både producenter, importører, forhandlere og installatører bør tage alvorligt. Reglerne gælder produkter med digitale elementer, og et kamera med firmware, netværksinterface og ofte app eller cloudtjeneste passer direkte ind i den definition. Der findes nuancer, især om roller og produktkategori, men udgangspunktet er, at overvågningsudstyr ikke er undtaget.

Overvågningskamera og Cyber Resilience Act: Hvad reglerne dækker

Forordningen hedder officielt (EU) 2024/2847 og trådte i kraft i december 2024. Den gælder for produkter med digitale elementer, altså hardware og software, der direkte eller indirekte kan forbindes til en enhed eller et netværk. Den store del af kravene finder anvendelse fra december 2027, mens forpligtelsen til at rapportere aktivt udnyttede sårbarheder starter allerede i september 2026.

Et IP-kamera har firmware, en webgrænseflade, ofte et styresystem i bunden og forbindelse til en optager (NVR/VMS), en mobilapp eller en skytjeneste. Det samme gælder dørkontrollere, bevægelsessensorer med netværksforbindelse, alarmcentraler og adgangskontrol. Hvis udstyret kan tilsluttes et netværk, er det som hovedregel omfattet. En gennemgang af Cyber Resilience Act og dens krav til produkt, udviklingsproces og dokumentation er et godt udgangspunkt, hvis man vil forstå, hvordan loven rammer netop ens produktportefølje.

Dertil kommer, at kameraer historisk har været et yndet mål. Standardadgangskoder, uopdateret firmware og åbne porte har gjort dem til indgang til hele netværk. Det er præcis den type svagheder, forordningen skal fjerne.

Hvilke krav stiller CRA til kameraer og sensorer?

Kravene kan samles i tre områder: selve produktets sikkerhed, håndtering af sårbarheder gennem hele levetiden og dokumentation, der kan fremvises over for myndighederne.

Sikker udvikling og produktdesign

Produktet skal designes, udvikles og produceres ud fra en risikovurdering. I praksis betyder det blandt andet:

• Sikker standardkonfiguration: ingen fælles standardadgangskode, og unødvendige tjenester og porte er slået fra fra start.
• Beskyttelse mod uautoriseret adgang: stærk autentificering og adgangskontrol til konfiguration og videostreams.
• Beskyttelse af data: kryptering af følsomme data under overførsel og opbevaring, hvor det er relevant.
• Begrænset angrebsflade: kun de grænseflader, produktet har brug for.
• Ingen kendte udnyttelige sårbarheder på det tidspunkt, hvor produktet bringes i omsætning.

Sårbarhedshåndtering og opdateringer

Producenten skal kunne tage imod sårbarhedsmeldinger og rette fejl hurtigt. Det indebærer en politik for koordineret offentliggørelse af sårbarheder, et kontaktpunkt, sikkerhedsopdateringer i hele supportperioden og en SBOM (software bill of materials), der kortlægger softwarekomponenterne. Det er ikke et krav, at man selv har skrevet al koden, men man hæfter for sikkerheden i de open source- og tredjepartskomponenter, man bygger ind. Supportperioden skal som udgangspunkt være mindst fem år, med mindre produktet forventes brugt kortere tid.

Aktivt udnyttede sårbarheder skal indberettes til det relevante CSIRT og ENISA. Reglerne opererer med en tidlig varsling inden for 24 timer og en egentlig anmeldelse inden for 72 timer, så processen skal være aftalt på forhånd.

Dokumentation og CE-mærkning

Producenten skal kunne vise sin vurdering. Det omfatter teknisk dokumentation, risikovurdering, brugerinformation, EU-overensstemmelseserklæring og CE-mærkning. Dokumentationen skal opbevares i en længere periode efter markedsføring, så den kan fremlægges for en markedsovervågningsmyndighed.

Hvem i værdikæden har ansvaret?

CRA retter sig mod flere led, og det er her mange installatører og sikkerhedsvirksomheder kommer i tvivl:

• Producenten har hovedansvaret for design, sårbarhedshåndtering og dokumentation. Det gælder også, hvis man sælger et hvidmærket kamera under eget navn.
• Importøren, der bringer udstyr fra lande uden for EU ind på markedet, skal sikre, at producenten har opfyldt sine forpligtelser, og at produktet er CE-mærket.
• Distributøren skal kontrollere, at mærkning og dokumentation er på plads, og må ikke videresælge udstyr, de har grund til at tro ikke er i orden.
• Installatøren er ikke automatisk producent. Men hvis man selv samler en løsning under eget navn, ændrer produktet væsentligt eller udvikler egen firmware eller software, kan man blive betragtet som producent.

Virksomheder, der kun køber og bruger udstyr til eget brug, har ikke producentens forpligtelser. De får til gengæld stærkere grundlag for at stille krav til leverandører, for eksempel om opdateringspolitik og supportperiode.

Hvordan finder I ud af, om I er omfattet?

En indledende afklaring behøver ikke være omfattende, men den skal være systematisk. Gå frem i disse trin:

1. Lav en produktliste. Medtag kameraer, optagere, sensorer, alarmcentraler, adgangskontrol og tilhørende apps, cloudportaler og styringssoftware.
2. Afgør jeres rolle pr. produkt. Er I producent, importør, distributør eller kun bruger? Rollen kan være forskellig fra produkt til produkt.
3. Tjek om produktet har digitale elementer med netværksforbindelse, direkte eller indirekte, og om en app eller cloudtjeneste er nødvendig for produktets funktion.
4. Vurder kategorien. De fleste produkter er i standardkategorien, men bilag III opregner vigtige produkter i klasse I og II med skærpede krav til overensstemmelsesvurdering. Smart-home-produkter med sikkerhedsfunktioner, herunder sikkerhedskameraer og alarmsystemer, er nævnt i klasse I. Om professionelle installationer og systemer falder ind under samme beskrivelse, bør vurderes konkret.
5. Kortlæg softwaren. Hvilke komponenter indgår, hvem har leveret dem, og kan I levere en SBOM?
6. Gennemgå processer. Findes der en sikker udviklingsproces, en sårbarhedspolitik, en opdateringsrutine og en procedure for indberetning?
7. Afdæk hullerne mellem nuværende praksis og kravene, og lav en prioriteret handlingsplan.

Mange vælger at få en specialist til at foretage en foranalyse eller GAP-analyse, fordi vurderingen af rolle og produktkategori har stor betydning for, hvor meget arbejde der venter. Sådan en analyse kan også udpege, hvor ansvaret ligger hos leverandøren, og hvor det ligger hos jer selv.

Hvorfor er overvågningsudstyr ikke undtaget, og hvad er første skridt?

CRA har få undtagelser, og de er målrettet områder, der allerede har egne regler, for eksempel medicinsk udstyr og køretøjer, samt rene tjenester uden tilknytning til et produkt og ikke-kommerciel open source. Overvågningsudstyr hører ikke til nogen af dem. Tværtimod har sikkerhedsudstyr ekstra opmærksomhed, fordi et kompromitteret kamera både kan afsløre følsomme billeder og give adgang til resten af netværket. Et system, der skal beskytte, må ikke selv være en svaghed.

Det er også værd at vide, at produkter, der allerede er på markedet før december 2027, som udgangspunkt ikke skal opfylde alle krav med tilbagevirkende kraft, medmindre de ændres væsentligt. Rapporteringspligten for aktivt udnyttede sårbarheder gælder dog også for dem. Derfor bør man også forberede sig på ældre produkter i sortimentet.

Typiske første skridt er:

• Få overblik over produkter, roller og leverandører.
• Spørg leverandører om opdateringspolitik, supportperiode, SBOM og planer for CE-mærkning under CRA.
• Indfør sikre standardindstillinger og en procedure for sikkerhedsopdateringer i egne installationer.
• Udpeg en ansvarlig for sårbarhedshåndtering og indberetning.
• Hent rådgivning hos en specialist, hvis I udvikler eget software eller er i tvivl om kategori og rolle. Hold jer også orienteret hos Europa-Kommissionen og ENISA, da vejledning og standarder fortsat udvikles.

Kort sagt skal overvågningsudstyr i dag både være sikkert i drift og dokumenteret sikkert fra udviklingen. Jo tidligere I kortlægger jeres position, jo bedre er I rustet til at stille krav til leverandører og til at levere compliance, når reglerne gælder fuldt ud.