EU traži dojavu iskorištenih ranjivosti u 24 sata

Od 11. rujna svaka tvrtka koja pod vlastitim imenom prodaje povezani uređaj ili komercijalni softver u EU-u mora u roku od 24 sata obavijestiti nadležna tijela čim sazna da napadači iskorištavaju ranjivost proizvoda. Obveza obuhvaća i proizvode koji su već na tržištu, uključujući uređaje prodane prije mnogo godina (Uredba, Europska komisija). Saznanje tvrtke o napadu sada može u roku od jednog dana stići do kibernetičkih službi diljem EU-a. No prijava vlastima sama po sebi ne donosi zakrpu na uređaje korisnika.

Obveza prijavljivanja prva je odredba Akta o kibernetičkoj otpornosti, zakona EU-a o sigurnosti proizvoda, koja stupa na snagu. Pravila o načinu na koji proizvodi moraju biti osmišljeni primjenjivat će se tek od 11. prosinca 2027. (ENISA).

Što pokreće rok

Prijavu pokreću dvije vrste događaja. Prvi je aktivno iskorištavanje ranjivosti, za što moraju postojati pouzdani dokazi da je netko zlonamjerno iskoristio propust bez dopuštenja vlasnika. Drugi je ozbiljan incident koji utječe na sigurnost proizvoda, čak i ako ranjivost nije dokazana. Prema uputama nizozemskog nacionalnog centra za kibernetičku sigurnost, istraživačeva povjerljiva dojava o grešci ne pokreće obvezu prijave ako nema naznaka napada (Nizozemski NCSC).

Rok počinje teći kad proizvođač sazna za problem. Ne računa se od prvog napada niti se čeka izrada zakrpe. Rano upozorenje mora se poslati u roku od 24 sata, a potpunija prijava u roku od 72 sata od istog trenutka, a ne od predaje prve prijave (Česta pitanja ENISA-e).

Završno izvješće slijedi poslije. Rok za njegovu predaju ovisi o tome je li obvezu pokrenula iskorištena ranjivost ili incident. Proizvođač mora obavijestiti i pogođene korisnike o tome kako se mogu zaštititi (Uredba).

Kamo ide prijava

Sve se prijave predaju putem Jedinstvene platforme za prijavu, kojom upravlja ENISA, Agencija EU-a za kibernetičku sigurnost. Proizvođač prijavu upućuje timu CSIRT-a u državi u kojoj mu je glavno sjedište u EU-u. CSIRT je nacionalni tim za odgovor na računalne sigurnosne incidente koji prima dojave o napadima. Taj tim prosljeđuje prijavu svojim kolegama u svakoj državi u kojoj se proizvod prodaje (ENISA).

Prijave se ne objavljuju, a neke će opisivati ranjivosti za koje još nema zakrpe. U iznimnim slučajevima koordinacijski tim zato može privremeno zaustaviti njihovo daljnje prosljeđivanje, no rokovi za proizvođača ostaju na snazi (Uredba). Razlog je jednostavan: pojedinosti o nezakrpljenoj ranjivosti predstavljaju veći rizik što se više šire.

Tko se mora pripremiti

„Proizvođač” je svatko tko proizvod prodaje pod vlastitim imenom. Sjedište i veličina tvrtke pritom nisu važni. Definicija obuhvaća i uređaj za daljinsko održavanje njemačkog proizvođača strojeva i komercijalnu aplikaciju irske tvrtke, čak i ako se ona preuzima besplatno (Silicon Republic).

Najveći dio obveze odnosi se na organizaciju rada. Netko ovlašten za podnošenje prijave mora moći prepoznati napad, procijeniti ga i poslati prijavu, primjerice nedjeljom navečer. Njemačko udruženje elektrotehničke industrije VDE 11. rujna pozvalo je proizvođače da uspostave postupke za otkrivanje problema i njegovo upućivanje nadležnima (VDE).

Neposredno prije početka primjene francuski su mediji utvrdili da se prijave podnose ručno i da ne postoji sučelje za automatiziranu predaju (ZDNet France). Zato svaka prijava ovisi o tome je li osoba koja je može podnijeti dostupna kad rok počne teći.

Za propuštanje rokova tvrtke odgovaraju nacionalnim tijelima za nadzor tržišta. Ta tijela mogu istražiti udovoljavaju li proizvodi propisima i kazniti tvrtke koje ih krše. Kazne mogu dosegnuti 15 milijuna eura ili 2,5 posto svjetskog prometa (Uredba). Objave o početku primjene objašnjavaju postupak, ali ne navode koliko je prijava zaprimljeno (ENISA, Europska komisija).

Europa sada ima jedinstven kanal kojim proizvođači prijavljuju saznanja o napadu. Informacije preko njega stižu do nacionalnih kibernetičkih timova u svim državama gdje se proizvod prodaje, uključujući i one koji su odavno na tržištu, a još su u uporabi. Kanal ubrzava protok informacija do vlasti, ali korisnici su zaštićeni tek kad funkcionalna zakrpa stigne do njihova uređaja.

ENISA i Europska komisija mogu pokazati vode li brže prijave do bržih popravaka. Za to bi trebale objaviti dva podatka: koliko prijava stiže i koliko korisnici čekaju da zakrpa dođe do njih.