Cyber Resilience Act (CRA) - problém pro malovýrobce?

[fulda]

Ahoj,

koukám na populární výklad Cyber Resilience Act. Asi nejjednodušší popis je na chiptronu.

V podstatě to znamená, že drobný výrobce, který pro někoho vyrobí nějaký kousek elektroniky, která obsahuje procesor, tak automaticky přebírá zodpovědnost za chyby v kódu a ve všech zděděných kódech.
To je něco, co podle mne bude celkem omezující pro malovýrobce. Tedy zejména pro takové, kteří nemají vlastní vývoj a jen replikují návody z internetu. Tak jsem zvědav na praktické dopady.

[marian_r]

To je zaujímavé. Bežne je v licencii (napríklad Mrkvosoft): Program sa poskytuje "taký ako je", nie je záruka na prípadné chyby a výrobca negarantuje že prípadné chyby odstráni.

Voľakedy chcel bývalý šéf poistiť program na sálový počítač a práve pre takéto klauzuly to nebolo možné.

[prcek]

Podotknu, ze je celkem velky boj, aby se to netykalo open source projektu.

A nejde o vyrobce elektroniky, ale o dodavatele softwaru - ze zakulisi - jeden z prvnich napadu nejmenovaneho vyrobce mobilnich telefonu byl, ze bude dodavat temer hole telefony, tedy zodpovidat za minimum softwaru a zbytek si uzivatel stahne "odnekud z internetu".

Taky jsem zvedavy na prakticke dopady. Chapu zamer a vlastne se mi libi, ale mam obavy, ze to dopadne jako vzdycky.

[vvitty]

Pro malovyrobce a obecne pro vsechny male spolecnosti bude podstatne vetsi problem PPWR, EPR a ESG.

[vvitty]

V podstatě to znamená, že drobný výrobce, který pro někoho vyrobí nějaký kousek elektroniky, která obsahuje procesor, tak automaticky přebírá zodpovědnost za chyby v kódu a ve všech zděděných kódech.
To je něco, co podle mne bude celkem omezující pro malovýrobce. Tedy zejména pro takové, kteří nemají vlastní vývoj a jen replikují návody z internetu. Tak jsem zvědav na praktické dopady.

Dovolim si upresnit ze se to vztahuje na kousky elektroniky pripojitelne k siti. Ne na kazdy kousek kde je procesor.

[fulda]

V podstatě to znamená, že drobný výrobce, který pro někoho vyrobí nějaký kousek elektroniky, která obsahuje procesor, tak automaticky přebírá zodpovědnost za chyby v kódu a ve všech zděděných kódech.
To je něco, co podle mne bude celkem omezující pro malovýrobce. Tedy zejména pro takové, kteří nemají vlastní vývoj a jen replikují návody z internetu. Tak jsem zvědav na praktické dopady.

Dovolim si upresnit ze se to vztahuje na kousky elektroniky pripojitelne k siti. Ne na kazdy kousek kde je procesor.

To je pravda, ale jak se tak koukám, tak díky různým ESP a podobným má wifi připojení většina centrál a velké množství ovladačů. Takže třeba WiFred, PacoMouse a podobná zařízení spadají do této kategorie. Nebo třeba DCCex s nasazeným WiFi modulem, M5 modulem a podobně.
Většinou se opírají o nějaké public knihovny, takže velká paráda.

[prcek]

V podstatě to znamená, že drobný výrobce, který pro někoho vyrobí nějaký kousek elektroniky, která obsahuje procesor, tak automaticky přebírá zodpovědnost za chyby v kódu a ve všech zděděných kódech.
To je něco, co podle mne bude celkem omezující pro malovýrobce. Tedy zejména pro takové, kteří nemají vlastní vývoj a jen replikují návody z internetu. Tak jsem zvědav na praktické dopady.

Dovolim si upresnit ze se to vztahuje na kousky elektroniky pripojitelne k siti. Ne na kazdy kousek kde je procesor.

Nesouhlasim. Tyka se to "vseho" na cem bezi nejaky software.

[hank]

Vposledku je pro ředitele zeměkoule problémem existence nezávislých malovýrobců úplně čehokoli. Koncentrace vlastnictví, kterou teď v různých formách vidíme v některých branžích, se časem rozšíří do všech oborů a odvětví.

[radeksindy]

CRA se týká všech připojitelných zařízení (v originálním textu je slovíčko "connectable") , nikoli globálně všech. Není to nic převratného, jenom se chce aby v tom výrobci měli pořádek a nedocházelo k některým snahám přenést odpovědnost za chyby na jiné subjekty v řetězci.

Nijak se nedotýká projektů a open source věcí, ty nejsou z podstaty výrobkem. Jak píše vvity, jsou tu jiná nařízení, které způsobují malým výrobcům vrásky.

[vvitty]

V podstatě to znamená, že drobný výrobce, který pro někoho vyrobí nějaký kousek elektroniky, která obsahuje procesor, tak automaticky přebírá zodpovědnost za chyby v kódu a ve všech zděděných kódech.
To je něco, co podle mne bude celkem omezující pro malovýrobce. Tedy zejména pro takové, kteří nemají vlastní vývoj a jen replikují návody z internetu. Tak jsem zvědav na praktické dopady.

Dovolim si upresnit ze se to vztahuje na kousky elektroniky pripojitelne k siti. Ne na kazdy kousek kde je procesor.

Nesouhlasim. Tyka se to "vseho" na cem bezi nejaky software.

Nize vyklad uverejneny EC k tomuto narizeni EC . Zkracene - nevztahuje se na zarizeni u kterych lze opravnene predpokladat ze neslouzi k pripojeni k siti a dalsim zarizenim a fimrware je soucasti zarizeni.

Zdroj : POLICY AND LEGISLATION DPT., EUROPEAN COMMISSION

On the other hand, a product with digital elements does not have a direct or indirect data
connection when its intended purpose or reasonably foreseeable use do not include
such connection to other devices or networks. Some examples of products that would
not fall in scope of the CRA include:
• a dishwasher with embedded firmware controlling dishwashing cycles, but with
no capability to connect to other devices or networks;
• a basic calculator with embedded firmware performing arithmetic operations, but
with no capability to connect to other devices or networks;
• an electronic toy with embedded firmware playing pre-recorded light and sound
effects, but with no capability to connect to other devices or networks;
• a coffee machine with embedded firmware that sets brew times or coffee strength
via a control panel, but with no capability to connect to other devices or networks
• an electric toothbrush with a wireless charging station, but with no capability to
connect to other devices or networks.

[prcek]

OK, beru zpět.

[vvitty]

Samozrejme pokud pracka bude mit pripojeni na Ethernet (realna situace napr. u sdilenych pradelen v cinzovnich domech), kavovar pripojeni na WiFi (protoze si tam znudeni kravataci potrebuji nastavit kazdej vlastni profil na pripravu kafe) a zubni kartacek na Bluetooth (kvuli tomu aby diteti appka na mobilu ukazovala kralicka co tancuje do rytmu) tak pod CRA spadnou.

A pak tam bude docela siroka rada aplikaci kde budou panovat dohady.

Spada konektor diagnostiky kavovaru pod "connected to other devices", kdyz jinak ten kavovar s nicim komunikovat nemuze ?
Spada moznost aktualizovat firmware po fyzickem sejmuti krytu zarizeni a pripojeni k pinum pod CRA?

Spada dekoder v masince pod CRA kdyz v zasade muze komunikovat s centralou ktera muze byt pripojena k pocitaci a ten muze byt pripojen na internet?

... same otazky. Ale tak ma to platit az v zari, to jeste EC doladi. U PPWR to zacalo platit i kdyz pozadovane limity a certifikace nejsou nijak specifikovane.