Navigacija promenama 2026: NIS2 i CRA u industrijskoj automatizaciji EU

Evropski industrijski pejzaž suočava se sa transformativnim regulatornim periodom koji počinje 2026. godine. Procesne industrije, naročito hemijski i energetski sektori, sada moraju da se snalaze u okviru dva moćna zakonodavna okvira: Direktiva NIS2 i Zakon o sajber otpornosti (CRA). Zajedno, ovi zakoni pretvaraju sajber bezbednost iz dobrovoljne „najbolje prakse“ u obavezni uslov za pristup tržištu i kontinuitet rada.

Usklađivanje NIS2 i CRA za kritičnu infrastrukturu

Operateri kritične infrastrukture sada su pod dvostrukim pritiskom ovih povezanih propisa. Dok se NIS2 fokusira na operativnu otpornost „suštinskih subjekata“, CRA cilja na digitalni integritet proizvoda koje oni nabavljaju. Shodno tome, hemijski pogon ne može postići usklađenost sa NIS2 bez osiguranja da njegovi dobavljači ispunjavaju standarde CRA. Ova sinergija stvara zatvoreni sistem odgovornosti koji se proteže od proizvođača čipova do upravnika pogona.

CRA: Obavezna bezbednost po dizajnu za proizvode automatizacije

CRA suštinski menja način na koji proizvođači razvijaju industrijske sisteme automatizacije i upravljanja (IACS). Proizvođači sada moraju da integrišu principe bezbednosti po dizajnu i bezbednosti po podrazumevanju u svaki stadijum životnog ciklusa proizvoda. Nadalje, kompanije moraju da obezbede Spisak softverskih komponenti (SBOM) za svaki digitalni deo. Proizvodi koji ne ispune ove stroge standarde izgubiće CE oznaku, što će ih efektivno zabraniti na tržištu EU do 2026. godine.

NIS2: Jačanje upravljanja operativnom tehnologijom (OT)

Prema NIS2, industrijski operateri moraju da sprovedu sveobuhvatno upravljanje rizicima i protokole za prijavljivanje incidenata. Ova obaveza se proteže izvan tradicionalnih informacionih tehnologija u operativno-tehnološko (OT) okruženje, uključujući PLC i DCS mreže. Operateri sada moraju dokazati da mogu da otkriju pretnje i održe kontinuitet poslovanja tokom sajber napada. Stoga, izvršni rukovodioci moraju preuzeti direktnu odgovornost za sajber bezbednosni položaj i proveru lanaca snabdevanja.

Razvijajuća uloga dokumentacije i revizija

Usklađenost sada zahteva ogroman napredak u administrativnoj transparentnosti i tehničkim revizijama. Operateri moraju voditi strogu evidenciju procena rizika i ocena dobavljača da bi zadovoljili zahteve nacionalnih vlasti. Štaviše, nabavne službe moraju davati prednost proizvođačima koji pokazuju aktivno upravljanje ranjivostima i dugoročnu podršku bezbednosti. Kao rezultat, „dug usklađenosti“ postaje stvarni finansijski rizik za kompanije koje zaostaju u svojoj digitalnoj transformaciji.

Stručni uvid: Kraj „bezbednosti kroz nevidljivost“

Po mom mišljenju, ovi propisi označavaju konačan kraj „bezbednosti kroz nevidljivost“ u industrijskom sektoru. Decenijama su mnogi pogoni oslanjali se na izolaciju svojih kontrolnih sistema kao primarnu odbranu. Međutim, CRA i NIS2 prepoznaju da savremene, povezane fabrike zahtevaju aktivnu, dokumentovanu zaštitu. Verujem da će ova promena na kraju dovesti do kulture „sajber bezbednosti“ u kojoj se digitalna sigurnost tretira sa istom ozbiljnošću kao i fizička zaštita od eksplozija (ATEX) ili funkcionalna bezbednost (SIL).