Сектор полупроводников ожидает масштабная регуляторная трансформация в связи со вступлением в силу Закона ЕС о киберустойчивости (CRA). Теперь требования безопасности распространяются не только на программное обеспечение, но и на аппаратные компоненты и интеллектуальную собственность (IP), которые составляют основу современных цифровых устройств.
Нормативно-правовая база CRA и сфера применения
Закон, принятый в октябре 2024 года, направлен на установление минимальных требований безопасности для цифровых продуктов, продаваемых на рынке Европейского союза. Эти правила применяются к компаниям независимо от их географического местоположения, если их продукция доступна европейским потребителям. Сфера действия закона напрямую охватывает полупроводники, продаваемые отдельно, а также поставщиков интеллектуальной собственности, от которых может потребоваться предоставление результатов оценки безопасности и пояснений относительно предположений о безопасном использовании их компонентов.
Целевой список включает широкий спектр технических продуктов, в том числе:
- Микропроцессоры.
- Микроконтроллеры.
- Специализированные интегральные схемы (ASIC).
- Программируемые логические интегральные схемы (FPGA).
Сроки и регуляторные обязательства
Применение закона проходит через определенные этапы, что накладывает обязательства на графики технической разработки:
- Сентябрь 2026 года: начало этапа обязательного уведомления, когда производители должны предоставлять раннее предупреждение при обнаружении активно эксплуатируемых уязвимостей, за которым следует подробный отчет о корректирующих мерах через единую платформу отчетности.
- 11 декабря 2027 года: крайний срок для полного соблюдения требований, когда вступят в силу требования к технической документации и оценке соответствия, а получение маркировки CE станет обязательным условием для вывода продукции на рынок.
Почему эта новость важна?
Это событие знаменует собой фундаментальный сдвиг в ответственности за кибербезопасность по всей цепочке поставок. Вместо того чтобы возлагать бремя исключительно на производителей конечных устройств, закон обязывает поставщиков компонентов и интеллектуальной собственности предоставлять конкретные доказательства безопасности. Это означает, что компании, проектирующие чипы, должны доказать, что критически важные активы, такие как ключи шифрования и состояния отладки (Debug states), защищены на уровне самого дизайна, а не только с помощью внешнего программного обеспечения.
Подготовка и проверка безопасности оборудования
В ответ на эти вызовы специализированные компании, такие как Arteris, начали разрабатывать инструменты для помощи проектировщикам в обеспечении соответствия требованиям, например, руководство по готовности оборудования (Hardware Readiness Guide) и инструменты проверки, такие как Radix. Эти инструменты направлены на преобразование требований безопасности в правила, которые можно тестировать на этапах симуляции (Simulation) и эмуляции (Emulation), что позволяет выявлять слабые места в дизайне до того, как продукт поступит в серийное производство.