Cyber Resilience Act: tanie myszki bezprzewodowe pod presją UE

Co dokładnie wymaga CRA

Rozporządzenie nie nakazuje szyfrowania każdego połączenia radiowego. Wymaga natomiast ochrony poufności i integralności danych, zabezpieczenia przed nieautoryzowanym dostępem oraz ograniczania ryzyka wykorzystania podatności. Szyfrowanie to jeden ze sposobów, a konkretne rozwiązania zależą od oceny ryzyka. Zagrożenie jest realne: w 2016 roku badacze Bastille ujawnili podatności MouseJack, które pozwalały wysyłać do komputera spreparowane polecenia udające naciśnięcia klawiszy, nawet z odległości do 100 metrów. Szyfrowana komunikacja nie jest nowością, bo zapewnia ją np. Logitech Logi Bolt.

Koszty uderzą w małych graczy

Producenci muszą też dokumentować ryzyko, obsługiwać zgłoszenia podatności i zapewniać wsparcie bezpieczeństwa, co do zasady przez co najmniej pięć lat, chyba że uzasadniony przewidywany czas używania produktu jest krótszy. Przepisy o zgłaszaniu poważnych incydentów i aktywnie wykorzystywanych podatności obowiązują już od 11 września 2026 roku.

Dla dużych firm to rozbudowa istniejących procesów, ale mniejsze marki korzystające z gotowych kontrolerów i oprogramowania podwykonawców mogą mieć większy kłopot. Badanie ENISA z czerwca 2026 roku, obejmujące 194 organizacje, pokazało, że choć 66% respondentów słyszało o CRA, aż 142 wskazało potrzebę wsparcia finansowego. Badanie nie dotyczyło wyłącznie producentów peryferiów.

Starsze myszki nie znikną ze sklepów automatycznie. Egzemplarze wprowadzone na rynek UE przed 11 grudnia 2027 roku zasadniczo nie muszą spełniać nowych wymagań konstrukcyjnych, o ile nie zostaną istotnie zmodyfikowane. Wyjątkiem są obowiązki zgłaszania podatności i incydentów. Nowo wprowadzane sztuki muszą jednak być zgodne z przepisami, nawet jeśli ich projekt jest starszy.

Największym wyzwaniem nie jest więc samo szyfrowanie, lecz utrzymanie zaplecza cyberbezpieczeństwa. Skutkiem mogą być wyższe ceny, mniej najtańszych modeli albo większe zainteresowanie konstrukcjami przewodowymi.