Konec rychlým aktualizacím bez testování: Jak nová směrnice EU změní pravidla pro vývojáře softwaru

V dnešní uspěchané době je při vydání nového softwaru často upřednostněna rychlost před kvalitou. Důsledky přitom mohou být katastrofální. 

Škody z loňské kauzy kyberbezpečnostní společnosti CrowdStrike, jejíž chybová aktualizace způsobila globální kolaps IT systémů s OS Windows, byly vyčísleny na 5,5 miliardy dolarů, a případ ukázal, jak zničující může být špatné či nedostatečné testování. 

Evropská unie teď přichází s novými pravidly, která by mohla změnit přístup softwarových společností k zabezpečení.

Revidovaná Product Liability Directive (PLD) neboli evropská směrnice o odpovědnosti za škodu způsobenou vadou výrobku (PLD), která má vstoupit v platnost koncem roku 2026, zavádí rozsáhlé změny, které přímo přenášejí odpovědnost za škodu na výrobce softwaru.

Co se mění?

Podle nových pravidel budou softwarové společnosti automaticky odpovědné za bezpečnostní problémy svých produktů – ať už je software zabudovaný v hardwaru, v cloudu nebo nainstalovaný v zařízení. 

A pokud bude kvůli vadnému softwaru někdo zraněn nebo utrpí majetkovou újmu, nebude muset prokazovat, že společnost pochybila. Postačí pouhý fakt, že software způsobil škodu.

Kybernetická bezpečnost: Podcast o tajemstvích bezpečnostních operačních centrech s Pavlem Hrabcem

0:00/

Odpovědnost se přitom nevztahuje na prvotní vydání softwaru, ale i na jeho aktualizace nebo na bezpečnostní problémy související s rozvojem umělé inteligence či na neposkytnutí potřebných bezpečnostních záplat. Softwarové společnosti budou zodpovědné taky za vady komponent třetích stran, které integrovaly, a za nebezpečné hmotné výrobky vyrobené s využitím problematického softwaru. 

Jako příklad lze uvést aplikaci GPS, která po aktualizaci začne uvádět nebezpečné pokyny, nebo lékařský přístroj, který vykazuje nesprávné údaje v důsledku chyby softwaru třetí strany. Podle nové směrnice PLD by tyto scénáře mohly vést k právní odpovědnosti poskytovatelů softwaru.

Nová éra odpovědnosti

Vymáhání nových pravidel začne naplno od prosince 2026, vývojářské společnosti tak mají na přizpůsobení jen omezený čas. V každé fázi vývoje budou muset testovat nejen funkčnost, ale i bezpečnostní rizika. 

Měly by také zvážit, jak by jejich produkty mohly být zneužity, a zavést průběžné sledování bezpečnosti v průběhu celého životního cyklu produktu.

Přečtěte si také:

Odemkněte maximální výkon kolegů pomocí špičkových technologií

Společnosti budou muset navrhovat software tak, aby fungoval bezpečně i v případě, že uživatelé jednají neopatrně, a zavést důsledné testování systémů řízených umělou inteligencí. Klíčovým se stane taky důkladné prověřování komponent třetích stran, stejně jako vypracování protokolů rychlé reakce pro případ, že se objeví bezpečnostní problémy. Pro prokázání souladu s novými předpisy bude nezbytné vést komplexní dokumentaci bezpečnostních opatření.

Aktualizovaná směrnice signalizuje zásadní posun ve způsobu regulace softwaru. Vývojáři už nebudou moct vydávat produkty, které by byly testovány jen minimálně, a spoléhat na to, že je opraví později prostřednictvím aktualizací. Jejich role v identifikaci a řešení potenciálních bezpečnostních hrozeb bude muset být mnohem aktivnější. 

Přijetí přísnějších metod testování je však uchrání nejen před potenciálními legálními dopady jejich konání, teoreticky jim může pomoct taky budovat větší důvěru spotřebitelů.