Navigacija promjenama 2026.: NIS2 i CRA u industrijskoj automatizaciji EU-a
Europski industrijski krajolik suočava se s preobrazbenim razdobljem propisa koje započinje 2026. godine. Procesne industrije, osobito kemijski i energetski sektori, sada moraju upravljati s dva snažna zakonodavna okvira: Direktiva NIS2 i Zakon o kibernetičkoj otpornosti (CRA). Zajedno, ovi zakoni pretvaraju kibernetičku sigurnost iz dobrovoljne "najbolje prakse" u obvezan zahtjev za pristup tržištu i kontinuitet rada.
Usklađivanje NIS2 i CRA za kritičnu infrastrukturu
Operateri kritične infrastrukture sada su pod dvostrukim pritiskom ovih isprepletenih propisa. Dok se NIS2 usredotočuje na operativnu otpornost "bitnih subjekata", CRA cilja na digitalni integritet proizvoda koje oni kupuju. Posljedično, kemijski pogon ne može postići usklađenost s NIS2 bez osiguranja da njegovi dobavljači zadovoljavaju standarde CRA. Ova sinergija stvara zatvoreni sustav odgovornosti koji se proteže od proizvođača čipova do upravitelja pogona.
CRA: Obvezna sigurnost po dizajnu za proizvode automatizacije
CRA temeljito mijenja način na koji proizvođači razvijaju industrijske sustave automatizacije i upravljanja (IACS). Proizvođači sada moraju integrirati načela sigurnosti po dizajnu i sigurnosti prema zadanim postavkama u svaku fazu životnog ciklusa proizvoda. Nadalje, tvrtke moraju dostaviti Popis softverskih sastavnica (SBOM) za svaki digitalni dio. Proizvodi koji ne zadovolje ove stroge standarde izgubit će oznaku CE, što će ih učinkovito zabraniti na tržištu EU do 2026. godine.
NIS2: Jačanje upravljanja operativnom tehnologijom (OT)
Prema NIS2, industrijski operateri moraju provoditi sveobuhvatno upravljanje rizicima i protokole izvještavanja o incidentima. Ova obveza se proteže izvan tradicionalne informacijske tehnologije u operativno-tehnološko (OT) okruženje, uključujući PLC i DCS mreže. Operateri sada moraju dokazati da mogu otkriti prijetnje i održavati kontinuitet poslovanja tijekom kibernetičkih napada. Stoga izvršno vodstvo mora preuzeti izravnu odgovornost za kibernetičku sigurnost i provjeru lanaca opskrbe.
Razvijajuća uloga dokumentacije i nadzora
Usklađenost sada zahtijeva veliki iskorak u administrativnoj transparentnosti i tehničkim nadzorima. Operateri moraju voditi stroge evidencije procjena rizika i ocjena dobavljača kako bi zadovoljili nacionalne vlasti. Štoviše, nabavne službe moraju davati prednost proizvođačima koji pokazuju aktivno upravljanje ranjivostima i dugoročnu sigurnosnu podršku. Kao rezultat, "dug usklađenosti" postaje stvarni financijski rizik za tvrtke koje zaostaju u svojoj digitalnoj preobrazbi.
Stručno mišljenje: Kraj "sigurnosti kroz nejasnoću"
Prema mojoj analizi, ovi propisi označavaju konačni kraj "sigurnosti kroz nejasnoću" u industrijskom sektoru. Desetljećima su mnogi pogoni oslanjali se na izolaciju svojih upravljačkih sustava kao primarnu obranu. Međutim, CRA i NIS2 prepoznaju da suvremene, povezane tvornice zahtijevaju aktivnu, dokumentiranu zaštitu. Vjerujem da će ovaj pomak na kraju dovesti do kulture "kibernetičke sigurnosti" u kojoj se digitalna sigurnost tretira s istom ozbiljnošću kao i zaštita od eksplozija (ATEX) ili funkcionalna sigurnost (SIL).
