Dohľad po uvedení na trh (z angličtiny Post-market Surveillance, PMS) je systematický proces, prostredníctvom ktorého výrobca aktívne monitoruje výkon a bezpečnosť svojich produktov po ich uvedení na trh EÚ. PMS je zákonná povinnosť podľa prakticky všetkých smerníc o označení CE, nie voliteľná aktivita na zlepšenie kvality. Nariadenie EÚ Cyber Resilience Act (CRA) výrazne zvýšilo požiadavky — PMS sa transformovalo z pasívneho zbierania sťažností na aktívny, nepretržitý program monitorovania kybernetickej bezpečnosti.
Právny základ
Povinnosti dohľadu po uvedení na trh vyplývajú z:
- Nariadenia o všeobecnej bezpečnosti výrobkov (GPSR, EÚ 2023/988) — vzťahuje sa na všetky spotrebiteľské produkty; výrobcovia musia zbierať a analyzovať informácie z praxe, vyšetrovať incidenty a prijímať nápravné opatrenia
- Sektorových smerníc — EMC, LVD, RED a Nariadenie o strojových zariadeniach vyžadujú od výrobcov sledovanie hlásení z praxe a vyšetrovanie bezpečnostne relevantných problémov
- Nariadenia o zdravotníckych pomôckach (EÚ 2017/745) — najpodrobnejší režim PMS; vyžaduje formálny plán PMS, správy PMS (PSUR pre Triedu IIa+), analýzu signálov z praxe a pravidelné správy o bezpečnostných aktualizáciách
- Nariadenia EÚ Cyber Resilience Act (EÚ 2024/2847) — vyžaduje riešenie zraniteľností počas celého obdobia podpory (najmenej 5 rokov, ak sa neočakáva, že sa produkt bude používať kratšie) a viacstupňové oznamovanie aktívne zneužívaných zraniteľností a závažných incidentov — včasné varovanie do 24 hodín, oznámenie do 72 hodín a záverečná správa — jednotke CSIRT určenej za koordinátora a agentúre ENISA
Povinnosti CRA po uvedení na trh v detaile
Požiadavky CRA po uvedení na trh sú prevádzkovo najnáročnejšie v práve EÚ o hardvéri:
| Povinnosť | Termín | Kto musí konať |
|---|---|---|
| Včasné varovanie — aktívne zneužívaná zraniteľnosť alebo závažný incident | Do 24 hodín od zistenia | Výrobca → koordinátorská jednotka CSIRT a ENISA (cez jednotnú oznamovaciu platformu) |
| Oznámenie zraniteľnosti / incidentu | Do 72 hodín od zistenia | Výrobca → koordinátorská jednotka CSIRT a ENISA |
| Záverečná správa | Zraniteľnosť: do 14 dní po tom, ako je k dispozícii nápravné alebo zmierňujúce opatrenie; závažný incident: do jedného mesiaca od oznámenia | Výrobca → koordinátorská jednotka CSIRT a ENISA |
| Udržiavanie SBOM | Udržiavaný v aktuálnom stave v technickej dokumentácii; aspoň závislosti najvyššej úrovne | Výrobca |
| Politika riešenia zraniteľností | Musí byť uverejnená a udržiavaná | Výrobca |
| Bezpečnostné aktualizácie | Musia byť poskytované bezplatne počas obdobia podpory | Výrobca → Používatelia |
| Koniec obdobia podpory | Dátum konca je uvedený pri kúpe; ak je to technicky uskutočniteľné, používatelia dostanú oznámenie, že obdobie podpory sa skončilo | Výrobca → Používatelia |
Infraštruktúra PMS pre hardvérové produkty
Efektívny dohľad po uvedení na trh pre pripojený hardvér vyžaduje:
1. Monitorovanie Softvérového kusovníka (SBOM) SBOM musí byť priebežne porovnávaný voči verejným databázam zraniteľností (CVE/NVD, OSV.dev, GitHub Advisory Database, bezpečnostné upozornenia dodávateľov). Keď CVE ovplyvní komponent v SBOM, musí byť posúdený dopad na konkrétnu konfiguráciu produktu.
2. Posúdenie a triedenie zraniteľností Nie každé CVE v závislosti je zneužiteľné v konkrétnej konfigurácii produktu. Knižnica skompilovaná so špecifickými parametrami, bežiaca v sandboxovanom prostredí, nemusí byť zraniteľnosťou opísanou v CVE ovplyvnená. Triedenie vyžaduje odbornú znalosť špecifickú pre produkt — generické CVE skenery produkujú falošne pozitívne výsledky, ktorým tieto súvislosti chýbajú.
3. Infraštruktúra OTA aktualizácií Bezpečnostné záplaty musia spoľahlivo dosiahnuť nasadené zariadenia. To vyžaduje overenú OTA infraštruktúru (aktualizácie firmvéru na báze SUIT manifestu alebo ekvivalentné), mechanizmus postupného zavádzania a vrátenia zmien a telemetriu potvrdzujúcu prijatie aktualizácie v rámci nainštalovanej základne.
4. Proces reakcie na incidenty Musí existovať zdokumentovaný proces na prijímanie, triedenie a reakciu na externe nahlásené zraniteľnosti (koordinované zverejňovanie zraniteľností), na ktorý musia verejne odkazovať produktové dokumenty.
5. Proces hlásenia podľa CRA Požiadavka 24-hodinového hlásenia je prevádzkovo náročná. Je potrebné automatizované upozorňovanie z nástrojov na monitorovanie SBOM, napájajúce definovanú eskalačnú cestu — manuálna denná kontrola nie je dostatočná na zabezpečenie zhody.
PMS vs. systém manažérstva kvality
Dohľad po uvedení na trh je odlišný od, ale napája sa do systému manažérstva kvality:
| PMS | Systém manažérstva kvality (QMS) | |
|---|---|---|
| Rozsah | Výkon konkrétnych produktov v praxi | Procesy a systémy tieto produkty produkujúce |
| Regulačný základ | Smernice o produktoch | ISO 9001, ISO 13485 (MDR), IEC 62443 (CRA) |
| Spúšťač | Trhové dáta, terénne incidenty, zverejňovania zraniteľností | Nezhody, audity, preskúmanie vedením |
| Výstup | Nápravné opatrenia, oznámenia podľa CRA, bezpečnostné upozornenia | CAPA, zlepšenia procesov, hodnotenia dodávateľov |