Ukrywanie włamania stało się nielegalne w Europie — producenci mają 24 godziny na zgłoszenie

Sprzedaż urządzenia podłączonego do sieci w Europie wiąże się teraz z obowiązkiem, który nie istniał w zeszłym tygodniu: wykrycie włamania lub poważnego incydentu bezpieczeństwa wymaga powiadomienia władz w ciągu 24 godzin. Unijna Cyber Resilience Act przekroczyła w tym tygodniu swój pierwszy główny próg egzekwowania, a harmonogram jest konkretny – pełniejsze zgłoszenie następuje w ciągu 72 godzin, a ostateczny raport należy złożyć w ciągu 14 dni od udostępnienia poprawki lub w ciągu miesiąca w przypadku szerszych incydentów.

Obowiązek obejmuje to, co prawo nazywa 'produktami z elementami cyfrowymi’ – kategorię wystarczająco szeroką, by objąć smartfony, inteligentne termostaty, routery z łącznością, aplikacje fitness i platformy chmurowe. Co istotne, dotyczy produktów już znajdujących się na rynku UE, nie tylko nowych wydań. Urządzenie wysłane dwa lata temu i nadal używane wchodzi w zakres, jeśli posiada funkcję łączności. Oprogramowanie bezpłatne dystrybuowane komercyjnie podlega tym samym zasadom.

Przed 11 września relacja między producentem a incydentem bezpieczeństwa była w dużej mierze regulowana polityką wewnętrzną. Firmy ujawniały włamania, kiedy same chciały, często po tygodniach wewnętrznego przeglądu, konsultacji prawnych i oceny ryzyka dla marki. Niektóre nigdy nie ujawniały. Ta swoboda już w Europie nie istnieje. Zgłoszenia trafiają do krajowego Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego (CSIRT) państwa członkowskiego UE, w którym znajduje się główna siedziba producenta, z kopiami do Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) za pośrednictwem dedykowanej Jednolitej Platformy Zgłoszeniowej.

Kwestia gotowości jest poważna. Kiedy obowiązki sprawozdawcze zostały sfinalizowane, producenci mieli około trzech miesięcy na zbudowanie wewnętrznej infrastruktury – inwentarza dotkniętych produktów, jasnych protokołów eskalacji oraz integracji technicznej z Jednolitą Platformą Zgłoszeniową. Doradcy prawni współpracujący z producentami ostrzegają, że te okna czasowe pozostawiają prawie zero czasu na zbudowanie procesu po rozpoczęciu incydentu. Firma, która odkryje naruszenie o północy w piątek, musi złożyć wstępne zgłoszenie przed północą w sobotę, niezależnie od weekendu lub świąt państwowych.

Korzyść dla konsumentów jest realna, ale pośrednia. Producenci muszą również powiadamiać dotkniętych użytkowników o incydentach bezpieczeństwa i dostępnych środkach zaradczych. Jeśli firma nie powiadomi użytkowników w odpowiednim czasie, krajowe organy ds. cyberbezpieczeństwa mogą wkroczyć i samodzielnie wydać alert. Nie jest to system powiadomień, który przeciętny użytkownik zobaczy na swoim telefonie – działa on przez kanały regulacyjne – ale tworzy egzekwowalny obowiązek, że włamania nie mogą być po prostu cicho wchłonięte przez zespół prawny.

11 września to najwęższa część obowiązku. Pełniejszy zakres Cyber Resilience Act – wymagający, aby produkty z łącznością były projektowane z wbudowanym bezpieczeństwem, nakazujący procesy obsługi podatności oraz nakładający oceny zgodności dla kategorii produktów najwyższego ryzyka – zacznie obowiązywać dopiero 11 grudnia 2027 roku. Ten termin wymaga zmian projektowych, protokołów testowania i procesów certyfikacji, których po prostu nie da się dołożyć do istniejących linii produktów w ciągu kilku miesięcy. Branża ma ponad rok, ale prace techniczne już trwają u głównych producentów.

Podejście UE czyni Europę pierwszym dużym blokiem regulacyjnym, który nakłada wiążące terminy ujawniania podatności na cały rynek technologii konsumenckich, a nie tylko infrastrukturę krytyczną. To, jak szybko krajowe CSIRT-y rozwiną zdolność do przetwarzania tych zgłoszeń – i czy egzekwowanie będzie następować po niepowodzeniach w ujawnianiu w pierwszych miesiącach – zadecyduje, czy 11 września będzie prawdziwą zmianą, czy tylko papierowym terminem.

Tagi: cyberbezpieczeństwo, Komisja Europejska, naruszenie danych, Cyber Resilience Act, ENISA, regulacja UE