Därför behöver du bry dig om cybersäkerhet

Är ditt företag redo för de växande cyberhoten?

Världen förändras snabbt och företag strävar efter att följa de senaste trenderna. Men hur ofta tar du ett steg tillbaka och bedömer om företaget och dess produkter är tillräckligt skyddade mot externa cyberhot? Att ignorera dessa risker kan få förödande konsekvenser.

Varför cybersäkerhet är viktigt

Som samhälle har vi ett gemensamt ansvar för att skydda den digitala infrastruktur vi är beroende av. Många verksamhetskritiska tjänster är i dag beroende av ett välfungerande internet. Från banktjänster till sjukvård och samhällsservice levereras viktiga funktioner via internetanslutna enheter. Denna uppkoppling ger också cyberkriminella möjligheter att störa tjänster, stjäla känsliga uppgifter eller äventyra säkerheten för miljontals användare. Företag måste arbeta proaktivt med dessa risker.

Viktiga frågor att ställa

• Hur skulle en cyberattack mot vår IT-infrastruktur påverka företaget?
• Vad skulle hända om en angripare slog ut alla våra uppkopplade enheter?
• Hur skulle vi agera om kunduppgifter läckte ut?

   

Cyberhoten ökar

Cyberattacker blir allt vanligare. Antalet uppmärksammade incidenter ökar, och det geopolitiska läget har höjt den övergripande hotnivån. I Sverige störde en nyligen genomförd attack vårdgivares verksamhet, och runt om i Europa har attacker mot sjukhus lett till tragiska dödsfall. Cyberhot är inte längre enbart en IT-fråga – de utgör en direkt risk för människors liv och den ekonomiska stabiliteten.

Nya EU-regler: är du förberedd?

EU har länge varit ledande inom digital integritet genom regelverk som GDPR. Nu höjs kraven ytterligare för att skydda mot cyberhot från enskilda hackare, organiserad brottslighet och till och med statligt stödda aktörer.

RED:s cybersäkerhetskrav (gäller från augusti 2025)

Från och med augusti 2025 måste alla trådlösa IoT-enheter som säljs i EU uppfylla nya cybersäkerhetsstandarder enligt radioutrustningsdirektivet (RED). Målet är att säkerställa att trådlösa enheter är säkra och inte stör andra system. Viktiga konsekvenser:

• Enheter som inte uppfyller RED-standarden får inte säljas i EU.
• Produkter som redan finns på marknaden men inte uppfyller kraven kan behöva återkallas till höga kostnader.
• Konkurrenter anmäler i allt högre grad produkter som inte uppfyller kraven till tillsynsmyndigheter.

Ett aktuellt exempel på EU:s strikta regeltillämpning är när den svenska tillsynsmyndigheten Elsäkerhetsverket återkallade en norskproducerad elbilsladdare för att den inte uppfyllde kraven. Även om detta inte gällde cybersäkerhet kommer liknande tillsyn att tillämpas under de nya cybersäkerhetsreglerna i RED.

Kännbara påföljder vid bristande efterlevnad

Om din produkt läcker känsliga kunduppgifter kan företaget också drabbas av sanktionsavgifter enligt GDPR på upp till 20 miljoner EUR eller 4% av den globala årsomsättningen. Bristande efterlevnad av cybersäkerhetsregler kan alltså äventyra hela verksamheten.

Förstå cybersäkerhetsstandarderna

När du väljer cybersäkerhetsstandarder för dina produkter måste du ta hänsyn till regelkraven på den marknad du vill nå.

• Europa: CENELEC (CEN/CLC/JTC 13) och ETSI utvecklar cybersäkerhetsstandarder för EU-marknaden. Den senaste harmoniserade standarden är CENELEC EN18031.
• USA: National Institute of Standards and Technology (NIST) tillhandahåller Cybersecurity Framework för hantering av cyberrisker.

Vad innebär detta för dina produkter?

Om du utvecklar eller säljer någon form av trådlös enhet i EU måste du förbereda dig för att uppfylla RED:s cybersäkerhetskrav senast i augusti 2025, även om produkten redan har en RED-certifiering.

Vad kräver standarderna?

Standarden CENELEC EN18031 beskriver grundläggande cybersäkerhetsåtgärder, bland annat:

• Inga gemensamma standardlösenord (exempelvis är förinställda inloggningsuppgifter som “admin/password” inte längre tillåtna).
• Säkerhetsövervakning och uppdateringar (företag måste aktivt bevaka sårbarheter, exempelvis i CVE-databasen, och tillhandahålla korrigeringar i tid).
• Säker lagring av känsliga uppgifter (exempelvis ska lösenord och användardata skyddas med en betrodd exekveringsmiljö).
• Säkra programvaruuppdateringar (firmwareuppdateringar måste skyddas mot man-in-the-middle-attacker).
• Stark kryptering (krypteringsmetoderna ska stå emot moderna verktyg för att knäcka kryptering).
• Inaktivering av oanvända gränssnitt (angreppsytan minimeras genom att oanvända enhetsfunktioner är avstängda som standard).

Vad bör du göra nu?

1. Utvärdera beroenden av tredje part

Om produkten är beroende av kommunikationsmoduler eller programvara från tredje part bör du kontakta leverantörerna redan i dag. Fråga om deras strategi för regelefterlevnad och teckna ett avtal om löpande säkerhetsuppdateringar. Detta är särskilt viktigt för moduler som använder:

• Mobilnät (2G/3G/4G/5G)
• Wi-Fi
• Bluetooth
• Zigbee

Revisorer kommer att kräva dokumentation om säkerheten i firmware och ett avtal med leverantören om stöd för säkerhetsuppdateringar under produktens hela livscykel.

2. Gör en intern säkerhetsinventering

Be din FoU-avdelning bedöma:

• Vilka cybersäkerhetsberoenden finns i produkten?
• Uppfyller alla komponenter de kommande regelkraven?

3. Samarbeta med ett ackrediterat testlaboratorium

Påbörja certifieringsprocessen redan i dag. Efterfrågan på testning kommer att öka kraftigt när tidsfristen närmar sig, och förseningar kan göra att du hamnar sist i kön.

Hur kan Svep Design Center hjälpa till?

På Svep Design Center har vi över 20 års erfarenhet av att utveckla säkra IoT-enheter. Vårt team har kompetensen och processerna för att hjälpa dig att uppfylla kraven innan de nya reglerna träder i kraft. Vi erbjuder:

• Säkerhetsutvärderingar, dokumentation och sårbarhetsbedömningar
• Övervakning av nya hot under produktens livscykel
• Fjärrövervakning och säkra OTA-uppdateringar för IoT-enheter
• Direkt samarbete med testlaboratorier och tillsynsmyndigheters granskare
• Nära partnerskap med leverantörer av trådlösa moduler för att hantera förändrad lagstiftning

Vänta inte tills det är för sent

Cybersäkerhetsområdet förändras snabbt och de nya RED-kraven kommer snart att bli rättsligt bindande. Se till att produkterna är säkra och uppfyller kraven före tidsfristen i augusti 2025. Kontakta Svep Design Center i dag och börja arbetet med att uppfylla kraven!