EU kræver 24-timers cybervarsel fra producenter

Siden 11. september har virksomheder, der sælger en opkoblet enhed eller kommerciel software i EU under eget navn, haft 24 timer til at varsle myndighederne, når de bliver klar over, at angribere udnytter en sårbarhed i produktet. Pligten gælder også produkter, der har været på markedet længe (forordningen, EU-Kommissionen). En virksomheds viden om et angreb kan nu nå cybersikkerhedsmyndigheder i hele EU inden for et døgn. En anmeldelse til myndighederne får dog ikke i sig selv en rettelse ud på brugernes enheder.

Indberetningspligten er den første del af forordningen om cyberrobusthed (Cyber Resilience Act), EU’s lov om produktsikkerhed, der træder i kraft. Kravene til produkternes design gælder først fra 11. december 2027 (ENISA).

Hvad starter fristen

To typer hændelser udløser en indberetning. Den første er en aktivt udnyttet sårbarhed, altså pålidelige tegn på, at nogen uden tilladelse har udnyttet en fejl med ondsindet formål. Den anden er en alvorlig hændelse, der påvirker produktets sikkerhed, også selv om man ikke har påvist en fejl. En sikkerhedsforsker, der privat gør opmærksom på en fejl uden tegn på et angreb, udløser ikke indberetningspligt, fremgår det af vejledning fra det nederlandske nationale cybersikkerhedscenter (Dutch NCSC).

Nedtællingen begynder, når producenten bliver klar over problemet. Den starter ikke, når angriberne først slår til, og den venter ikke på en rettelse. En foreløbig advarsel skal sendes inden for 24 timer, og en mere udførlig indberetning inden for 72 timer. Begge frister regnes fra det tidspunkt, hvor producenten blev klar over problemet, ikke fra den første indberetning (ENISA FAQ).

Den endelige rapport skal indsendes senere. Fristen afhænger af, om indberetningen gælder en udnyttet sårbarhed eller en hændelse. Producenten skal også fortælle berørte brugere, hvordan de kan beskytte sig (forordningen).

Hvor sendes varslet hen

Alle indberetninger går gennem Single Reporting Platform, en fælles indberetningsplatform, som drives af EU’s cybersikkerhedsagentur ENISA. Producenten sender sin indberetning til det CSIRT, der hører til i det land, hvor virksomheden har sit hovedsæde i EU. Et CSIRT er det nationale beredskabshold for cyberhændelser. Holdet sender derefter indberetningen videre til sine modparter i alle lande, hvor produktet sælges (ENISA).

Indberetningerne offentliggøres ikke. Nogle vil beskrive sårbarheder, der endnu ikke er rettet. I særlige tilfælde kan det koordinerende hold derfor holde oplysningerne tilbage fra de øvrige lande, men producentens frister gælder stadig (forordningen). Bestemmelsen tager højde for en enkel risiko: Oplysninger om en sårbarhed uden en rettelse bliver farligere, jo længere de spredes.

Hvem skal være klar

En »producent« er den, der sælger produktet under sit eget navn. Hovedsædets placering og virksomhedens størrelse gør ingen forskel. Definitionen omfatter både en tysk maskinproducents fjernstyring til vedligeholdelse og en irsk virksomheds kommercielle app, også hvis den kan downloades gratis (Silicon Republic).

Det meste af arbejdet handler om drift og beredskab. En person med bemyndigelse til at indberette skal kunne opdage et angreb, vurdere det og sende en rapport en søndag aften. Den 11. september opfordrede den tyske forening for elektroteknik VDE producenterne til at få processer på plads for at opdage og eskalere hændelser (VDE).

Fransk omtale kort før lanceringen viste, at indberetningerne skulle sendes manuelt, uden en løsning til automatisk indsendelse (ZDNet France). Hver indberetning afhænger derfor af, at en person er til rådighed, når fristen begynder at løbe.

Virksomheder, der overskrider fristerne, står til ansvar over for de nationale markedstilsynsmyndigheder. Det er de myndigheder, der kan undersøge, om produkter lever op til reglerne, og give virksomheder bøder. Bøderne kan nå 15 mio. euro eller 2,5 % af den globale omsætning (forordningen). Meddelelserne om lanceringen forklarer, hvordan ordningen fungerer, men oplyser ikke, hvor mange indberetninger der er kommet (ENISA, EU-Kommissionen).

Europa har nu én fælles kanal, der formidler producenternes viden om angreb til de nationale cyberberedskaber i alle lande, hvor produktet sælges, også når ældre produkter stadig er i brug. Det giver myndighederne hurtigere besked. Brugerne er først beskyttet, når en fungerende rettelse når frem til deres enhed.

For at vise, om hurtigere varsler også fører til hurtigere rettelser, må ENISA og EU-Kommissionen offentliggøre to tal: hvor mange indberetninger der kommer, og hvor længe brugerne venter på en rettelse.