EU vaatii haavoittuvuuksista ilmoituksen vuorokaudessa

Syyskuun 11. päivästä lähtien jokaisella yrityksellä, joka myy EU:ssa omalla tuotemerkillään verkkoon kytkettyä laitetta tai kaupallista ohjelmistoa, on ollut 24 tuntia aikaa ilmoittaa viranomaisille, kun se saa tietää hyökkääjien käyttävän tuotteessa olevaa haavoittuvuutta hyväkseen. Velvollisuus koskee myös jo markkinoilla olevia tuotteita, jopa vuosia sitten myytyjä (asetus, Euroopan komissio). Valmistajan tieto hyökkäyksestä voi nyt kulkeutua EU:n kyberturvaviranomaisille vuorokaudessa. Ilmoitus viranomaisille ei kuitenkaan asenna korjausta käyttäjien laitteisiin.

Ilmoitusvelvollisuus on ensimmäinen voimaan tuleva osa EU:n kyberkestävyyssäädöstä, joka koskee tuotteiden tietoturvaa. Tuotteiden suunnittelua koskevia vaatimuksia aletaan soveltaa vasta 11. joulukuuta 2027 (ENISA).

Milloin ilmoitusvelvollisuus alkaa

Ilmoituksen laukaisee kaksi tapahtumaa. Ensimmäinen on aktiivisesti hyödynnetty haavoittuvuus: luotettava näyttö siitä, että joku on käyttänyt tietoturva-aukkoa luvatta vahingoittamistarkoituksessa. Toinen on vakava tuotteen tietoturvaan vaikuttava tapahtuma, vaikka haavoittuvuutta ei olisi osoitettu. Tutkijan valmistajalle luottamuksellisesti ilmoittama tietoturva-aukko ei yksin käynnistä velvollisuutta, jos hyökkäyksestä ei ole merkkejä, Alankomaiden kansallisen kyberturvakeskuksen ohjeessa todetaan (Alankomaiden NCSC).

Määräaika alkaa, kun valmistaja saa ongelmasta tiedon. Se ei ala hyökkäyksen ensimmäisestä hetkestä, eikä korjauspäivitystä odoteta. Ensimmäinen ilmoitus on tehtävä 24 tunnissa ja täydentävä ilmoitus 72 tunnissa. Molemmat määräajat lasketaan tiedonsaannista, eivät ensimmäisen ilmoituksen tekemisestä (ENISAn UKK).

Loppuraportin määräaika riippuu siitä, oliko kyse hyödynnetystä haavoittuvuudesta vai tietoturvapoikkeamasta. Valmistajan on lisäksi kerrottava vaikutusten piirissä oleville käyttäjille, miten he voivat suojautua (asetus).

Minne ilmoitus toimitetaan

Kaikki ilmoitukset tehdään ENISAn, EU:n kyberturvallisuusviraston, ylläpitämän Single Reporting Platform -alustan kautta. Valmistaja osoittaa ilmoituksen sen maan CSIRT-tiimille, jossa sillä on pääasiallinen EU-toimipaikkansa. CSIRT on kansallinen kyberhätätilanteisiin erikoistunut ryhmä, joka vastaanottaa tietoturvailmoituksia. Se välittää ilmoituksen kaikkien niiden maiden vastinpareille, joissa tuotetta myydään (ENISA).

Ilmoituksia ei julkaista. Osa niistä koskee haavoittuvuuksia, joihin ei vielä ole korjausta. Poikkeustapauksessa ilmoituksia koordinoiva ryhmä voi siksi pidättäytyä välittämästä tietoja eteenpäin, mutta valmistajan määräajat pysyvät voimassa (asetus). Säännöksellä torjutaan yksinkertaista riskiä: korjaamatonta haavoittuvuutta koskevien tietojen leviäminen kasvattaa väärinkäytön vaaraa.

Kenen on oltava valmiina

Valmistaja tarkoittaa yritystä, joka myy tuotetta omalla nimellään. Yrityksen pääkonttorin sijainnilla tai koolla ei ole merkitystä. Määritelmä kattaa niin saksalaisen koneenrakentajan etähuolto-ohjaimen kuin irlantilaisen yrityksen kaupallisen sovelluksen, vaikka sovellus olisi ladattavissa maksutta (Silicon Republic).

Suurin työ liittyy käytännön järjestelyihin. Ilmoituksen tekemiseen valtuutetun henkilön on pystyttävä havaitsemaan hyökkäys, arvioimaan tilanne ja lähettämään ilmoitus vaikka sunnuntai-iltana. Saksan sähkötekniikan alan järjestö VDE kehotti 11. syyskuuta valmistajia luomaan menettelyt hyökkäysten tunnistamiseen ja ilmoituksen viemiseen eteenpäin (VDE).

Ranskassa juuri ennen velvollisuuden voimaantuloa tehdyn selvityksen mukaan ilmoitukset täytetään käsin, eikä automaattiselle ilmoittamiselle ole rajapintaa (ZDNet France). Jokainen ilmoitus edellyttää siis, että joku on käytettävissä määräajan alkaessa.

Määräaikojen laiminlyönneistä vastaavat kansalliset markkinavalvontaviranomaiset. Ne voivat selvittää, noudattavatko tuotteet vaatimuksia, ja sakottaa yrityksiä sääntöjen rikkomisesta. Seuraamukset voivat olla enintään 15 milj. euroa tai 2,5 % maailmanlaajuisesta liikevaihdosta (asetus). ENISAn ja Euroopan komission tiedotteissa kuvataan menettely, mutta niissä ei kerrota ilmoitusten määrää (ENISA, Euroopan komissio).

Euroopalla on nyt yhteinen kanava, jota pitkin valmistajan tieto hyökkäyksestä välitetään kaikkien niiden maiden kybertiimeille, joissa tuotetta myydään. Kanava kattaa myös vanhat, yhä käytössä olevat tuotteet. Se nopeuttaa tiedon kulkua viranomaisille. Käyttäjä saa suojaa vasta, kun toimiva korjauspäivitys päätyy hänen laitteeseensa.

ENISA ja Euroopan komissio voivat osoittaa, johtavatko nopeammat ilmoitukset myös nopeampiin korjauksiin. Sitä varten niiden pitäisi julkaista kaksi lukua: kuinka monta ilmoitusta saapuu ja kuinka kauan käyttäjät odottavat korjauspäivityksen päätymistä laitteilleen.