ในโลกที่เทคโนโลยีทันสมัยเช่นปัจจุบัน การโจมตีทางไซเบอร์เปรียบได้กับการปล้นที่ใช้อาวุธในอดีต เดี๋ยวนี้อาชญากรจำนวนมากมุ่งใช้การโจมตีทางไซเบอร์เพื่อขโมยทรัพย์สินจากองค์กร รัฐบาล และประชาชนทั่วไป แทนการบุกปล้นธนาคาร ร้านค้า หรือบุคคลตามถนนในยามค่ำคืน แม้รูปแบบ ขอบเขต และความกล้าของการโจมตีจะแตกต่างกันออกไป แต่เมื่อรวมกันแล้ว ถือเป็นกิจกรรมอาชญากรรมขนาดใหญ่
ข้อมูลจากกลุ่มอุตสาหกรรม Cybersecurity Ventures ระบุว่ามูลค่าความเสียหายจากอาชญากรรมทางไซเบอร์ทั่วโลกต่อปีขณะนี้ มากกว่า 10 ล้านล้านดอลลาร์ ความเสียหายนี้เกิดจากผลลัพธ์ในทางลบหลายด้าน เช่น
- หยุดชะงักของธุรกิจและประสิทธิภาพที่สูญเสียไปจากเหตุดังกล่าว
- การขโมยผ่านการฉ้อโกง การกรรโชก และยักยอก
- ข้อมูลสูญหาย
- ทรัพย์สินทางปัญญาถูกขโมย
วิธีการต่าง ๆ ที่อาชญากรไซเบอร์ใช้ในการโจมตีเป้าหมาย ไม่ว่าจะเป็นบุคคลหรือองค์กร ตลอดจนข้อมูลสำคัญที่สามารถเข้าถึงจากการโจมตีเหล่านี้ ล้วนส่งผลให้วงการอาชญากรรมไซเบอร์เติบโตอย่างต่อเนื่องทุกปี ข้อมูลจาก Cybersecurity Ventures ชี้ว่ามูลค่าความเสียหายจากอาชญากรรมทางไซเบอร์เพิ่มขึ้นอย่างมากในทศวรรษที่ผ่านมา:
- 2015: 3 ล้านล้านดอลลาร์
- 2021: 6 ล้านล้านดอลลาร์
- 2025: 10.5 ล้านล้านดอลลาร์
แม้ว่าบางองค์กรจะประเมินว่าตัวเลขจริงต่ำกว่านี้มาก แต่แม้เพียง 1-2 ล้านล้านดอลลาร์ต่อปีก็ใกล้เคียงกับผลิตภัณฑ์มวลรวมภายในประเทศของอินโดนีเซียหรือเนเธอร์แลนด์ แล้วรัฐบาลและหน่วยงานต่าง ๆ ทั่วโลกกำลังจัดการกับอาชญากรรมไซเบอร์ที่ขยายตัวนี้อย่างไรบ้าง
Cyber Resilience Act คืออะไร
Cyber Resilience Act (CRA) เป็นข้อบังคับที่จัดทำโดยสหภาพยุโรปเพื่อแก้ไขปัญหาอาชญากรรมทางไซเบอร์ที่แพร่ขยาย CRA มุ่งผลักดันให้บริษัทเทคโนโลยีและผู้ผลิตต้องสร้างฮาร์ดแวร์และซอฟต์แวร์ที่มีความมั่นคงปลอดภัยจากการโจมตีทางไซเบอร์และมีโอกาสตกเป็นเป้าหมายน้อยลง เป้าหมายคือป้องกันอาชญากรรมต่อข้อมูลหรือทรัพย์สินทางการเงินของพลเมืองสหภาพยุโรป ตามที่คณะกรรมาธิการยุโรประบุไว้ใน เว็บไซต์ ว่า CRA มีเป้าหมายกำหนด "ข้อกำหนดความมั่นคงปลอดภัยทางไซเบอร์ที่ชัดเจนและบังคับใช้ตลอดอายุการใช้งานผลิตภัณฑ์ดิจิทัล"
CRA ถูกเสนอโดยคณะกรรมาธิการยุโรปครั้งแรกในปี 2022 สองปีต่อมาในปี 2024 รัฐสภายุโรปได้อนุมัติข้อความของ CRA อย่างเป็นทางการ และสภายุโรปให้ความเห็นชอบ หลังประกาศในวารสารทางการของสหภาพยุโรปในเดือนพฤศจิกายน CRA จึงมีผลบังคับใช้ในเดือนธันวาคม 2024
เนื่องจาก CRA กำหนดภาระหน้าที่จำนวนมากให้กับธุรกิจที่อยู่ในขอบเขต สหภาพยุโรปจึงจัดสรรระยะเวลาให้บริษัทสามารถเตรียมความพร้อมสำหรับการปฏิบัติตามกฎหมาย โดยกฎหมายนี้จะบังคับใช้เต็มรูปแบบภายในเวลา 15 เดือน เริ่มตั้งแต่เดือนกันยายน 2026 และครบกำหนดในเดือนธันวาคม 2027
ข้อกำหนดของ Cyber Resilience Act มีอะไรบ้าง
CRA ของสหภาพยุโรปกำหนดภาระหน้าที่หลายประการแก่หน่วยงานที่อยู่ในขอบเขตกฎหมาย จุดมุ่งหมายเพื่อผลักดันให้ธุรกิจสร้างผลิตภัณฑ์ดิจิทัลที่มั่นคงปลอดภัยและมีความทนทานยิ่งขึ้น พัฒนาแนวปฏิบัติที่เข้มแข็งขึ้นสำหรับการรับมือเหตุการณ์ไซเบอร์ และแสดงความโปร่งใสต่อผู้บริโภคและผู้เกี่ยวข้องอื่น ๆ เกี่ยวกับมาตรการป้องกันและสถานะความปลอดภัยโดยรวม
ข้อกำหนดหลักของ Cyber Resilience Act อยู่ในภาคผนวก I ของกฎหมาย ในหัวข้อข้อกำหนดความมั่นคงปลอดภัยทางไซเบอร์ที่จำเป็น โดยแบ่งเป็นสองส่วน: คุณสมบัติที่ผลิตภัณฑ์ดิจิทัลจากธุรกิจที่เกี่ยวข้องต้องมี และกระบวนการที่ผู้ผลิตต้องดำเนินการเพื่อให้สอดคล้องกับกฎหมาย
ภาคผนวก I ส่วนที่ I: คุณสมบัติสำคัญของผลิตภัณฑ์ดิจิทัลที่ต้องมี
กฎหมายส่วนนี้ถือเป็นหัวใจสำคัญของข้อบังคับฉบับนี้ สหภาพยุโรปต้องการให้ผลิตภัณฑ์ดิจิทัลที่วางตลาดในยุโรปมีความปลอดภัยสูงขึ้นจากอาชญากรไซเบอร์ ตามที่เชื่อว่ามาตรการเหล่านี้จะช่วยเพิ่มการป้องกันที่เพียงพอ เพื่อให้สอดคล้องกับ CRA ผลิตภัณฑ์ดิจิทัลควรออกแบบและวางจำหน่ายในตลาดสหภาพยุโรปโดยมีลักษณะดังต่อไปนี้
- 1 ไม่มีช่องโหว่ที่ทราบและสามารถนำไปใช้ประโยชน์ได้
- 2 ค่าเริ่มต้นที่ถูกตั้งให้ปลอดภัย นั่นคือการตั้งค่าด้านความปลอดภัยจะถูกกำหนดไว้เป็นค่าพื้นฐานในอุปกรณ์หรือผลิตภัณฑ์
- 3 สามารถแก้ไขช่องโหว่ได้อย่างมีประสิทธิภาพผ่านการอัปเดตด้านความปลอดภัย รวมถึงการอัปเดตอัตโนมัติที่ให้ผู้ใช้เลือกไม่รับได้อย่างชัดเจน
- 4 ป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต รวมถึงคุณสมบัติต่าง ๆ เช่น กลไกการยืนยันตัวตน การระบุตัวตน หรือการบริหารจัดการสิทธิ์การเข้าถึง
- 5 คงความลับของข้อมูลใด ๆ ที่จัดเก็บไว้ในผลิตภัณฑ์ ผ่านการเข้ารหัสหรือวิธีอื่น
- 6 ปกป้องความถูกต้องสมบูรณ์ของข้อมูล โปรแกรม และการตั้งค่าจากการแก้ไขหรือดัดแปลงจากภายนอก
- 7 เก็บข้อมูลเฉพาะเท่าที่จำเป็นต่อการทำงานของผลิตภัณฑ์
- 8 ฟังก์ชันพื้นฐานของผลิตภัณฑ์ยังคงใช้งานได้หลังเผชิญการโจมตีทางไซเบอร์
- 9 ลดผลกระทบในทางลบจากการโจมตีทางไซเบอร์ต่ออุปกรณ์หรือเครือข่ายอื่น
- 10 จุดสัมผัสที่จะตกเป็นเป้าหมายของการโจมตี (attack surfaces) มีจำนวนจำกัด ซึ่งหมายถึงจำนวนจุดที่ผู้ไม่หวังดีสามารถใช้เจาะเข้าสู่ระบบ
- 11 มีกลไกลดทอนผลกระทบและความสำเร็จของการโจมตีทางไซเบอร์
- 12 สามารถบันทึกเหตุการณ์ด้านความปลอดภัย รวมถึงการเปลี่ยนแปลงข้อมูลหรือฟังก์ชันของอุปกรณ์ โดยฟีเจอร์นี้ผู้ใช้ต้องสามารถเลือกไม่ใช้งานได้
- 13 ผู้ใช้สามารถลบข้อมูลและการตั้งค่าส่วนตัวทั้งหมดในผลิตภัณฑ์ได้
ภาคผนวก I ส่วนที่ II: กระบวนการที่ผู้ผลิตต้องดำเนินการ
นอกจากการออกแบบและผลิตผลิตภัณฑ์ดิจิทัลที่มีฟีเจอร์ความปลอดภัยที่เหมาะสมแล้ว ผู้ผลิตยังต้องพร้อมรับบทบาทในการลดความเสี่ยงตลอดวงจรชีวิตของผลิตภัณฑ์
ผู้ผลิตต้องดำเนินการมาตรการต่อไปนี้
- 1 ระบุและบันทึกช่องโหว่ของผลิตภัณฑ์ รวมถึงการจัดทำ bill of materials (BOM, รายการวัสดุ) ที่ครอบคลุมองค์ประกอบหลักทั้งหมด
- 2 แก้ไขและจัดการช่องโหว่ด้านความปลอดภัยทันทีที่พบ รวมถึงผ่านการอัปเดตด้านความปลอดภัย
- 3 ดำเนินการทดสอบความปลอดภัยอย่างต่อเนื่องสำหรับผลิตภัณฑ์ดิจิทัล
- 4 แบ่งปันข้อมูลเกี่ยวกับช่องโหว่และเหตุการณ์ด้านความปลอดภัย รวมถึงผลกระทบ ระดับความรุนแรง และคู่มือที่ชัดเจนสำหรับผู้ใช้เกี่ยวกับการแก้ไขปัญหาที่มีอยู่
- 5 จัดทำนโยบายเปิดเผยช่องโหว่อย่างเป็นทางการ (CVD, Coordinated Vulnerability Disclosure)
- 6 สร้างกรอบการแบ่งปันและรายงานช่องโหว่ด้านความปลอดภัย รวมถึงการแจ้งที่อยู่ติดต่อเพื่อให้บุคคลภายนอกสามารถรายงานปัญหาด้านความปลอดภัยได้
- 7 สร้างกลไกที่ความสามารถในการถ่ายทอดอัปเดตด้านความปลอดภัยถึงทุกผลิตภัณฑ์ดิจิทัลอย่างทันท่วงที และถ้ามี ให้ดำเนินการโดยอัตโนมัติ
กลไกเหล่านี้ต้องส่งถึงผู้ใช้และผลิตภัณฑ์โดยไม่ล่าช้า ไม่มีค่าใช้จ่าย พร้อมข้อมูลที่เกี่ยวข้องและแจ้งวิธีดำเนินการที่จำเป็นโดยผู้ใช้
บริษัทใดบ้างที่อยู่ในขอบเขตของ CRA
Cyber Resilience Act ได้กำหนดขอบเขตค่อนข้างกว้าง ธุรกิจจำนวนมากที่ดำเนินงานในสหภาพยุโรปจะมีข้อผูกพันตามกฎหมายในการปฏิบัติตามข้อบังคับ โดยทั่วไป CRA ใช้กับธุรกิจใดก็ตามที่ผลิต “ผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัล” สำหรับวางตลาดและให้บริการในตลาดสหภาพยุโรป กล่าวคือ ผลิตภัณฑ์ฮาร์ดแวร์ใด ๆ ที่เชื่อมต่ออินเทอร์เน็ตหรืออุปกรณ์อื่นได้ รวมถึงซอฟต์แวร์ (โปรแกรม แอปพลิเคชัน เฟิร์มแวร์) ล้วนอยู่ในขอบเขตของ CRA
แม้รายชื่อต่อไปนี้จะไม่ครอบคลุมทั้งหมด ต่อไปนี้คือบางประเภทของรายการที่อยู่ภายใต้การควบคุมโดย Cyber Resilience Act
- อุปกรณ์อิเล็กทรอนิกส์สำหรับผู้บริโภค: แล็ปท็อป สมาร์ทโฟน แท็บเล็ต เราเตอร์ สวิตช์
- อุปกรณ์อัจฉริยะ: เครื่องใช้ไฟฟ้าอัจฉริยะ ลำโพงอัจฉริยะ ผู้ช่วยเสมือน ระบบสัญญาณกันขโมย
- เทคโนโลยีสวมใส่: นาฬิกาอัจฉริยะ เครื่องติดตามสุขภาพ แว่นตาอัจฉริยะ แหวนอัจฉริยะ
- ซอฟต์แวร์และเฟิร์มแวร์: แอปพลิเคชันมือถือและเดสก์ท็อป ระบบปฏิบัติการ เฟิร์มแวร์ของอุปกรณ์
- ชิ้นส่วนอิเล็กทรอนิกส์: โปรเซสเซอร์กราฟิก หน่วยประมวลผลคอมพิวเตอร์ (CPU) ไมโครโปรเซสเซอร์ (MPU)
ผลิตภัณฑ์ดิจิทัลและเทคโนโลยีมีห่วงโซ่อุปทานที่ซับซ้อนซึ่งเกี่ยวข้องกับผู้ผลิต ซัพพลายเออร์ และผู้ค้าต่อระดับย่อยต่าง ๆ จำนวนมาก สหภาพยุโรปได้ระบุ “ผู้ประกอบการทางเศรษฐกิจ” 3 กลุ่มหลักที่ต้องปฏิบัติตามกฎหมายนี้ ได้แก่
ผู้ผลิต
กลุ่มนี้คือบริษัทที่ผลิตสินค้าและทำตลาดภายใต้แบรนด์ของตนเอง มักถูกเรียกว่าเป็นผู้ผลิตอุปกรณ์ดั้งเดิม (OEM) โดยทั่วไปจะมีห่วงโซ่อุปทานขนาดใหญ่ที่มีซัพพลายเออร์ตรงและไม่ตรงหลักสิบ หลักร้อย หรือหลักพัน ผู้ผลิตกลุ่มนี้มีหน้าที่รับผิดชอบในการปฏิบัติตามข้อกำหนดของ CRA เป็นการเฉพาะ
ผู้นำเข้า
ตามชื่อกลุ่มนี้หมายถึงธุรกิจที่นำเข้าสินค้าดิจิทัลจากภายนอกสหภาพยุโรป — โดยส่วนใหญ่นำเข้าจาก OEM หรือผู้ผลิตรายอื่น — และจำหน่ายในตลาดสหภาพยุโรป
ตัวแทนจำหน่าย
ตัวแทนจำหน่ายเป็นคำเรียกรวมสำหรับเจ้าหน้าที่ทุกรูปแบบที่ไม่ใช่ผู้ผลิตหรือผู้นำเข้าแต่มีหน้าที่จัดวางสินค้าดิจิทัลในตลาดสหภาพยุโรป ตัวแทนจำหน่ายรวมถึงร้านค้าปลีกและธุรกิจที่เกี่ยวข้องอื่น ๆ และมักจำหน่ายสินค้าโดยตรงให้กับผู้บริโภค
สหภาพยุโรปบังคับใช้ CRA อย่างไร
CRA กำหนดให้แต่ละประเทศสมาชิกสหภาพยุโรปแต่งตั้งหน่วยงานกำกับดูแลตลาดเพื่อบังคับใช้กฎหมายและตรวจสอบบริษัทที่อยู่ในขอบเขตของกฎหมายดังกล่าว หน่วยงานที่ได้รับแต่งตั้งอาจเป็นหน่วยงานรัฐ หน่วยงานองค์กร หรือหน่วยงานอื่นที่มีอำนาจในการควบคุมดูแลและบังคับใช้ โดยมีอำนาจเรียกขอเอกสารทางเทคนิคจากผู้ประกอบการที่อยู่ในขอบเขต ตรวจสอบหรือเรียกคืนสินค้า หรือจำกัดไม่ให้มีผลิตภัณฑ์บางอย่างเข้าสู่ตลาดหากพบว่าไม่ปฏิบัติตามข้อกำหนด CRA
นอกจากนี้ หน่วยงานมีสิทธิบังคับใช้บทลงโทษและปรับต่อผู้ฝ่าฝืน
ผลลัพธ์จากการไม่ปฏิบัติตาม CRA
ธุรกิจที่ไม่ปฏิบัติตาม Cyber Resilience Act อาจต้องเผชิญกับค่าปรับจำนวนมาก
- ฝ่าฝืนข้อกำหนดหลักของ CRA: มีค่าปรับสูงสุด 15 ล้านยูโร หรือ 2.5% ของรายได้ทั่วโลกของบริษัท เลือกคิดตามเกณฑ์ที่สูงกว่า
- ฝ่าฝืนข้อกำหนดอื่นของ CRA (รวมถึงข้อกำหนดด้านเอกสารและขั้นตอนการติดเครื่องหมาย CE): มีค่าปรับสูงสุด 10 ล้านยูโร หรือ 2% ของรายได้ทั่วโลกของบริษัท เลือกคิดตามเกณฑ์ที่สูงกว่า
- ให้ข้อมูลเท็จหรือไม่ครบถ้วนต่อหน่วยงานตลาดหรือ notified body: มีค่าปรับสูงสุด 5 ล้านยูโร หรือ 1% ของรายได้ทั่วโลกของบริษัท เลือกคิดตามเกณฑ์ที่สูงกว่า
บทบาทของ notified body ใน Cyber Resilience Act
การที่บริษัทจำเป็นต้องทำงานร่วมกับ notified body หรือหน่วยรับรองอื่นเพื่อปฏิบัติตาม Cyber Resilience Act หรือไม่นั้น ขึ้นอยู่กับการจัดประเภทความเสี่ยงของสินค้าที่ผลิต นำเข้า หรือจัดจำหน่าย โดย CRA จะจัดติ่งสินค้าดิจิทัลทุกชนิดให้อยู่ใน 1 ใน 4 กลุ่ม ดังนี้
- สินค้าหลัก (Default Products): หมวดหมู่นี้ครอบคลุมสินค้าดิจิทัลส่วนใหญ่ในตลาดสหภาพยุโรป ได้แก่ เครื่องใช้ไฟฟ้าสำหรับผู้บริโภค ของเล่น และอุปกรณ์อัจฉริยะทั่วไป ธุรกิจที่ผลิต นำเข้า หรือจัดจำหน่ายสินค้าในกลุ่มนี้ไม่จำเป็นต้องขอรับการประเมินจากบุคคลที่สาม
- สินค้าสำคัญ (กลุ่ม I): กลุ่มนี้ครอบคลุมผลิตภัณฑ์ที่มีหน้าที่เชิงความปลอดภัยเป็นพิเศษ เช่น เราเตอร์ โมเด็ม เบราว์เซอร์ และ virtual private network (VPN) สินค้ากลุ่มนี้โดยทั่วไปต้องได้รับการประเมิน CRA ปฏิบัติตามข้อกำหนดโดย notified body ที่สาม เว้นแต่ผู้ประกอบการทางเศรษฐกิจจะแสดงให้เห็นว่าปฏิบัติตามมาตรฐานความมั่นคงปลอดภัยไซเบอร์ที่เกี่ยวข้อง หรือได้รับการรับรองความมั่นคงปลอดภัยไซเบอร์ของสหภาพยุโรปที่ได้รับอนุมัติจาก CRA
- สินค้าสำคัญ (กลุ่ม II): กลุ่มนี้คือสินค้าขั้นสูงด้านความมั่นคงปลอดภัย เช่น ไฟร์วอลล์ ไฮเปอร์ไวเซอร์ และระบบตรวจจับการบุกรุก ธุรกิจที่ผลิต นำเข้า หรือจัดจำหน่ายสินค้ากลุ่มนี้ต้องได้รับการประเมินจาก notified body ที่สามเสมอเพื่อแสดงการปฏิบัติตาม CRA
- สินค้าสำคัญยิ่ง: หมวดหมู่นี้เป็นกลุ่มที่มีความเสี่ยงสูงสุด รวมถึงผลิตภัณฑ์เช่น hardware security module สมาร์ทการ์ด และเกตเวย์ของสมาร์ทมิเตอร์ เช่นเดียวกับกลุ่มที่สาม ธุรกิจที่มีส่วนเกี่ยวข้องกับการนำสินค้ากลุ่มนี้เข้าสู่ตลาดสหภาพยุโรปต้องได้รับการประเมินจาก notified body ที่สามเสมอ
วันสำคัญสำหรับการดำเนินการ Cyber Resilience Act
สหภาพยุโรปกำลังดำเนินการบังคับใช้ CRA แบบขั้นตอน โดยกฎหมายจะเริ่มบังคับใช้เป็นระยะเวลาประมาณ 15 เดือน ตั้งแต่กันยายน 2026 ถึงธันวาคม 2027
วันที่ 11 กันยายน ธุรกิจที่อยู่ในขอบเขตข้อบังคับต้องเริ่มรายงานช่องโหว่ความมั่นคงปลอดภัยไซเบอร์ที่ถูกใช้ประโยชน์อย่างต่อเนื่องและเหตุการณ์ความมั่นคงปลอดภัยไซเบอร์ที่รุนแรง เนื่องจากข้อกำหนดการรายงานมีผลในวันนี้ องค์กรจำเป็นต้องเตรียมและดำเนินกระบวนการรายงานเหตุการณ์ภายในให้พร้อมก่อนถึงกำหนด
หลังจากข้อกำหนดการรายงานมีผล 15 เดือน ธุรกิจจะรับผิดชอบปฏิบัติตามข้อกำหนดทั้งหมดที่เหลือ ครอบคลุมข้อกำหนด 13 ข้อสำหรับผลิตภัณฑ์ดิจิทัล และข้อผูกพัน 8 ข้อสำหรับผู้ผลิตสินค้า
แนวทางการปฏิบัติตาม CRA สำหรับธุรกิจ
หนึ่งในประเด็นสำคัญของ CRA ที่ยังคงมีอยู่คือมาตรฐานอ้างอิง (harmonized standards) ของข้อบังคับนี้ยังไม่แล้วเสร็จและประกาศใช้อย่างเป็นทางการ (จนถึงฤดูใบไม้ร่วง 2026) ถึงแม้เป็นเช่นนั้น สหภาพยุโรปยังคงเดินหน้าตามกำหนดเส้นตายหลัก 2 เส้นตาย ได้แก่ การรายงานช่องโหว่ในเดือนกันยายน 2026 และการบังคับใช้ข้อกำหนดเต็มรูปแบบในเดือนธันวาคม 2027
ปฏิบัติตามมาตรฐานความมั่นคงปลอดภัยไซเบอร์ปัจจุบัน
บริษัทที่อยู่ในขอบเขตข้อบังคับอาจสงสัยว่า ถ้ายังไม่มีมาตรฐานอ้างอิงอย่างเป็นทางการ ควรเริ่มเตรียมตัวอย่างไร แม้แนวคิดนี้จะมีเหตุผล องค์กรก็ไม่ได้ไร้อำนาจสิ้นเชิง โดยทั่วไปเป็นที่ทราบกันดีว่าคณะกรรมการสหภาพยุโรปที่รับผิดชอบร่างมาตรฐาน CRA กำลังยึดแนวทางจากเฟรมเวิร์กและมาตรฐานสากลที่บริษัทต่าง ๆ สามารถนำมาใช้เพื่อปฏิบัติตาม CRA ที่ยังไม่ได้กำหนดรายละเอียดอย่างสมบูรณ์ มาตรฐานที่ CRA นำมาใช้ประกอบด้วย
- IEC 62443
- ISO 30111
- ISO/IEC 27001
- IEC 62443-4-1
จัดตั้งกระบวนการรับมือเหตุการณ์
สิ่งที่องค์กรที่อยู่ในขอบเขตข้อบังคับรู้แน่นอนคือ ตั้งแต่วันที่ 11 กันยายน 2026 เป็นต้นไป ต้องเริ่มรายงานช่องโหว่ที่ถูกใช้ประโยชน์หรือเหตุการณ์ความมั่นคงปลอดภัยไซเบอร์ที่รุนแรง
กล่าวโดยสรุป บริษัทจำเป็นต้องจัดเตรียมกระบวนการรายงานเหตุการณ์ให้พร้อมก่อนถึงวันดังกล่าวเพื่อให้ปฏิบัติตาม Cyber Resilience Act อย่างมีประสิทธิผล ข้อผูกพันส่วนหนึ่งคือต้องจัดตั้งทีมรับมือเหตุการณ์ด้านความมั่นคงปลอดภัยสินค้า (PSIRT) เพื่อรับมือเหตุการณ์ไซเบอร์ ตรวจพบช่องโหว่อย่างทันท่วงที ประเมินระดับความเสี่ยง และสร้างแพตช์อัปเดตความปลอดภัยเพื่อนำส่งให้ผู้ใช้
องค์กรที่อยู่ในขอบเขตควรจัดเตรียมทีมมืออาชีพ เครื่องมือดิจิทัล กระบวนการ และข้อกำหนดเอกสารสำหรับภาระหน้าที่ดังกล่าวตั้งแต่ขณะนี้
จัดทำเอกสารประกอบอย่างรอบคอบ
เมื่อข้อกำหนด CRA ทั้งหมดมีผลบังคับใช้ในเดือนธันวาคม 2027 หน่วยงานที่อยู่ในขอบเขตจะต้องรับผิดชอบจัดทำชุดเอกสารอย่างละเอียดสำหรับการประเมินความสอดคล้อง (ไม่ว่าจะประเมินภายในหรือโดย notified body ที่สาม) ซึ่งต้องมี bill of materials การประเมินความเสี่ยงด้านไซเบอร์ การตัดสินใจออกแบบที่มีข้อกำหนดด้านความมั่นคงปลอดภัยเป็นแนวทาง และคำอธิบายเกี่ยวกับมาตรฐานที่เลือกปฏิบัติ ฯลฯ
องค์กรไม่จำเป็นต้องรอให้ CRA มีมาตรฐานอ้างอิงก็สามารถเริ่มรวบรวมข้อมูลทั้งหมดที่ข้อบังคับนี้กำหนดได้ตั้งแต่วันนี้
