歐盟的專業(yè)政策媒體網(wǎng)絡(luò) EURACTIV 此前報(bào)道了即將提交的網(wǎng)絡(luò)彈性法草案，該草案要求對(duì)連網(wǎng)設(shè)備（例如物聯(lián)網(wǎng)設(shè)備）提出更嚴(yán)格的基本網(wǎng)絡(luò)安全要求。

未來的法律旨在解決廣泛影響物聯(lián)網(wǎng)行業(yè)的漏洞，由于其高度互聯(lián)性，單個(gè)設(shè)備入侵造成的損害可能會(huì)對(duì)整個(gè)組織、供應(yīng)鏈甚至全球范圍產(chǎn)生巨大的破壞性附帶影響。

如果生效，這將是世界上第一個(gè)為所有連網(wǎng)設(shè)備引入立法框架的立法，以確保在連網(wǎng)產(chǎn)品的整個(gè)生命周期內(nèi)實(shí)現(xiàn)更多網(wǎng)絡(luò)安全保護(hù)。

根據(jù)該提案的條款，物聯(lián)網(wǎng)產(chǎn)品的制造商必須在設(shè)備上市前的設(shè)計(jì)、開發(fā)和生產(chǎn)階段滿足要求，并且必須持續(xù)監(jiān)測(cè)，以便可以通過免費(fèi)的自動(dòng)更新在整個(gè)生命周期中識(shí)別漏洞。

該法案稱：“從制造商到分銷商和進(jìn)口商，運(yùn)營(yíng)商在將帶有數(shù)字元素的產(chǎn)品投放市場(chǎng)時(shí)，將以適合其在供應(yīng)鏈中角色和責(zé)任的方式承擔(dān)義務(wù)?！?/p>

要求清單包括“適當(dāng)”級(jí)別的網(wǎng)絡(luò)安全、禁止發(fā)布已知漏洞、默認(rèn)安全配置、防止未經(jīng)授權(quán)的訪問、限制攻擊面和最小化事件影響。

此外，產(chǎn)品必須保證數(shù)據(jù)的機(jī)密性，包括通過加密，并且只處理其運(yùn)營(yíng)所必需的數(shù)據(jù)。制造商還需要通過定期測(cè)試來識(shí)別漏洞，及時(shí)解決它們，并報(bào)告事件和被利用的漏洞。

制造商還必須通過內(nèi)部程序或認(rèn)證機(jī)構(gòu)的審查進(jìn)行合格評(píng)定。進(jìn)口商和分銷商有義務(wù)核實(shí)產(chǎn)品的一致性。

如果該法案成為法律，對(duì)違規(guī)行為的罰款可能高達(dá) 1500 萬(wàn)歐元或年?duì)I業(yè)額的 2.5%（以高者為準(zhǔn)）。擬議的規(guī)則將在生效24個(gè)月后開始適用，但制造商的報(bào)告義務(wù)將從12個(gè)月起適用。

歐盟委員會(huì)估計(jì)，如果《網(wǎng)絡(luò)彈性法案》獲得通過，每年可為歐洲經(jīng)濟(jì)節(jié)省 180 至 2900 億歐元。

背景

歐盟委員會(huì)已于2022年3月發(fā)起了一項(xiàng)公眾咨詢，以收集所有相關(guān)方對(duì)新歐洲網(wǎng)絡(luò)彈性法案的看法和經(jīng)驗(yàn)。

該倡議最初是由歐盟主席烏爾蘇拉·馮·德·萊恩在2021年9月的一次演講中宣布的。該法律將為投放到歐盟市場(chǎng)的數(shù)字產(chǎn)品和服務(wù)制定網(wǎng)絡(luò)安全規(guī)則。

烏爾蘇拉?馮?德?萊恩說：“如果一切都是連網(wǎng)的，一切都可以被黑。由于資源匱乏，我們不得不集中力量……這就是我們需要?dú)W洲網(wǎng)絡(luò)防御政策的原因?！?/p>

《網(wǎng)絡(luò)彈性法案》有望補(bǔ)充現(xiàn)有的歐盟立法框架，其中包括網(wǎng)絡(luò)和信息系統(tǒng)安全指令(NIS)和《網(wǎng)絡(luò)安全法》，以及未來的指令，其中包括2020年12月提出的提高整個(gè)地區(qū)網(wǎng)絡(luò)安全共同水平的措施（NIS 2）。

公眾咨詢一直開放到了 2022 年 5 月 25 日。此外，委員會(huì)已發(fā)布呼吁，概述當(dāng)前發(fā)現(xiàn)的問題以及解決這些問題的可能方法。電話會(huì)議也在公眾咨詢的同時(shí)進(jìn)行。