EU dává výrobcům 24 hodin na hlášení

Od 11. září 2026 mají firmy, které v EU prodávají pod vlastní značkou připojené zařízení nebo komerční software, 24 hodin na oznámení úřadům, jakmile zjistí, že útočníci zneužívají jeho zranitelnost. Povinnost se vztahuje i na výrobky, které už jsou na trhu, včetně kusů prodaných před lety (nařízení, Evropská komise). Do jednoho dne se tak informace výrobce o útoku může dostat ke kybernetickým úřadům v celé EU. Samotné oznámení však žádnému uživateli zařízení neopraví.

Oznamovací povinnost je první částí aktu o kybernetické odolnosti, unijního zákona o zabezpečení výrobků, která začala platit. Požadavky na to, jak mají být výrobky navržené, se začnou uplatňovat až 11. prosince 2027 (ENISA).

Kdy se spouští lhůta

Povinnost hlásit vzniká ve dvou případech. Prvním je aktivně zneužívaná zranitelnost, tedy spolehlivý důkaz, že někdo bez svolení vlastníka škodlivě využil chybu. Druhým je závažný incident, který ohrožuje bezpečnost výrobku, i když se žádná konkrétní chyba neprokázala. Soukromé upozornění výzkumníka na chybu bez známek útoku hlášení nevyžaduje, uvádí pokyny nizozemského národního centra kybernetické bezpečnosti (nizozemské NCSC).

Lhůta začíná běžet ve chvíli, kdy se výrobce o problému dozví. Nerozhoduje tedy okamžik prvního útoku a na vydání opravy se nečeká. Předběžné varování musí výrobce odeslat do 24 hodin a podrobnější oznámení do 72 hodin; obě lhůty se počítají od chvíle, kdy se o problému dozvěděl, nikoli od prvního podání (časté dotazy ENISA).

Konečnou zprávu musí výrobce podat později. Termín závisí na tom, zda hlášení vyvolala zneužívaná zranitelnost, nebo závažný incident. Dotčeným uživatelům musí také sdělit, jak se mohou chránit (nařízení).

Kam hlášení putuje

Každé hlášení se podává přes Jednotnou oznamovací platformu (Single Reporting Platform), kterou provozuje ENISA, agentura EU pro kybernetickou bezpečnost. Výrobce je adresuje týmu CSIRT v zemi, kde má hlavní působiště v EU. CSIRT je národní tým pro řešení kybernetických mimořádných událostí; tento tým pak předá hlášení svým protějškům ve všech zemích, kde se výrobek prodává (ENISA).

Hlášení se nezveřejňují. Některá mohou popisovat zranitelnosti, pro které zatím neexistuje oprava. Koordinující tým proto může ve výjimečných případech odložit jejich předání dál, lhůty pro výrobce tím ale zůstávají v platnosti (nařízení). Důvod je prostý: s šířením podrobností o dosud neopravené slabině roste riziko jejího zneužití.

Kdo musí být připraven

Výrobcem je každý, kdo prodává výrobek pod vlastním jménem. Na velikosti firmy ani umístění jejího ústředí nezáleží. Definice tak zahrnuje řídicí jednotku pro vzdálenou údržbu od německého výrobce strojů i komerční aplikaci irské firmy, přestože je ke stažení zdarma (Silicon Republic).

Hlavní zátěž je provozní: člověk oprávněný podat hlášení musí umět odhalit útok, posoudit ho a odeslat oznámení třeba v neděli večer. Německý svaz elektrotechniky a elektroniky VDE 11. září vyzval výrobce, aby nastavili procesy pro odhalování útoků a jejich předávání odpovědným lidem (VDE).

Francouzská média krátce před spuštěním zjistila, že hlášení se podávají ručně a platforma nemá rozhraní pro jejich automatické odesílání (ZDNet France). Každé podání tak závisí na tom, zda je ve chvíli spuštění lhůty dostupný odpovědný pracovník.

Za nedodržení lhůt firmy odpovídají národním orgánům dozoru nad trhem. Ty mohou prověřit, zda výrobky splňují pravidla, a uložit pokutu. Sankce mohou dosáhnout 15 mil. EUR nebo 2,5 % celosvětového obratu (nařízení). Zprávy o spuštění platformy vysvětlují postup, počet podaných hlášení však neuvádějí (ENISA, Evropská komise).

Evropa má nyní jednotný kanál, kterým se informace výrobce o útoku dostane ke kybernetickým týmům ve všech zemích, kde se výrobek prodává, včetně těch, kde se stále používají starší kusy. Úřady se tak o útocích dozvědí rychleji. Ochranu uživatelům přinese až funkční oprava v jejich zařízení.

ENISA a Evropská komise mohou ukázat, zda rychlejší hlášení vedou i k rychlejším opravám. K tomu by musely zveřejnit dvě čísla: kolik hlášení dorazí a jak dlouho uživatelé čekají, než se k nim oprava dostane.