ЕС въвежда 24-часов срок за сигнал

От 11 септември всяка компания, която продава в ЕС свързано устройство или бизнес софтуер под собствената си марка, трябва да уведоми властите до 24 часа, след като научи, че нападатели използват уязвимост в продукта. Задължението обхваща и продукти, които вече са на пазара, включително продадени преди години (Регламент, European Commission). Вече може да мине не повече от ден, преди информацията на компанията за атака да стигне до киберзащитните органи в ЕС. Сигналът до властите обаче не осигурява автоматично поправка за устройствата на потребителите.

Задължението за докладване е първата част от Cyber Resilience Act, закона на ЕС за сигурността на продуктите, която влиза в сила. Правилата за начина, по който продуктите трябва да се проектират, ще се прилагат от 11 декември 2027 г. (ENISA).

Какво задейства срока

Сигнал трябва да се подаде при два вида събития. Първият е активно използвана уязвимост: има надеждни данни, че някой злонамерено е използвал недостатък без разрешението на собственика. Вторият е сериозен инцидент, който засяга сигурността на продукта, дори да няма доказана уязвимост. Ако изследовател съобщи поверително за бъг, но няма данни за атака, това не задейства задължение за сигнализиране, според указанията на нидерландския национален център за киберсигурност (Dutch NCSC).

Отброяването започва, когато производителят научи за проблема. То не започва с първата атака и не чака да бъде готова поправка. Първоначалният сигнал трябва да бъде подаден до 24 часа, а по-подробното уведомление — до 72 часа от същия момент, а не от подаването на първия сигнал (Често задавани въпроси на ENISA).

Окончателният доклад се подава по-късно. Срокът зависи от това дали сигналът е за използвана уязвимост или за инцидент. Производителят трябва също да обясни на засегнатите потребители как да се защитят (Регламент).

Къде отива сигналът

Всички сигнали се подават през Single Reporting Platform, която се управлява от ENISA, агенцията на ЕС за киберсигурност. Производителят адресира доклада до CSIRT в държавата, където се намира основната му база в ЕС. CSIRT е националният екип за реакция при киберинциденти, който приема сигналите. Той препраща доклада до колегите си във всяка държава, където се продава продуктът (ENISA).

Докладите не се публикуват. Някои ще описват уязвимости, за които още няма поправка. Затова при изключителни обстоятелства координиращият екип може да забави препращането им, но сроковете за производителя остават в сила (Регламент). Причината е ясна: подробностите за незапушена уязвимост създават по-голям риск, колкото до повече хора достигнат.

Кой трябва да е готов

„Производител“ е компанията, която продава продукта под собственото си име. Няма значение къде е централата ѝ и колко е голяма. Определението обхваща както дистанционен контролер за поддръжка от германски производител на машини, така и бизнес приложение на ирландска компания, дори ако то се изтегля безплатно (Silicon Republic).

Основната тежест е организационна. Човек с право да подаде сигнал трябва да може да разпознае атака, да прецени случая и да изпрати доклад, включително в неделя вечер. На 11 септември германската асоциация за електротехника VDE призова производителите да изградят такива процеси за откриване и ескалация (VDE).

Според публикация във френската медия ZDNet France непосредствено преди началото на режима подаването е било ръчно, без интерфейс за автоматизирано изпращане (ZDNet France). Затова всеки сигнал зависи от това дали има човек на разположение, когато започне да тече срокът.

Компаниите, които пропуснат сроковете, отговарят пред националните органи за пазарен надзор. Тези регулатори могат да проверяват дали продуктите отговарят на изискванията и да глобяват нарушителите. Санкциите могат да достигнат 15 млн. евро или 2,5 % от световния оборот (Регламент). Съобщенията за старта описват процедурата, но не посочват колко сигнала са подадени (ENISA, European Commission).

Европа вече разполага с единен канал, по който информацията на производителя за атака стига до националните киберзащитни екипи във всички държави, където се продава продуктът. Това важи и за по-стари устройства, които още се използват. Каналът ускорява предаването на информация към властите. Потребителите обаче ще бъдат защитени едва когато работеща поправка стигне до устройствата им.

ENISA и European Commission могат да покажат дали по-бързите сигнали водят и до по-бързи поправки. За това са нужни две числа: колко сигнала постъпват и колко чакат потребителите, преди поправката да стигне до тях.