EU-s eszközgyártók 24 órás riasztási kötelezettsége

Szeptember 11. óta minden cégnek, amely saját márkája alatt hálózatra kapcsolt eszközt vagy kereskedelmi szoftvert forgalmaz az EU-ban, 24 órán belül értesítenie kell a hatóságokat, ha tudomást szerez arról, hogy támadók kihasználnak benne egy sérülékenységet; a kötelezettség a már piacon lévő termékekre is vonatkozik, a régen eladott példányokra is (rendelet, Európai Bizottság). Így egy napon belül eljuthat a kiberbiztonsági hatóságokhoz a hír, hogy egy cég támadásról szerzett tudomást. A hatóságok értesítése azonban önmagában még nem juttat javítást egyetlen eszközre sem.

A bejelentési kötelezettség a termékbiztonságot szabályozó uniós jogszabály, a Cyber Resilience Act elsőként életbe lépő része. A termékek tervezésére vonatkozó előírások csak 2027. december 11-től lépnek életbe (ENISA).

Mikor indul a határidő?

Kétféle esemény teszi kötelezővé a bejelentést. Az első az aktívan kihasznált sérülékenység: megbízható bizonyíték van arra, hogy valaki a jogosult engedélye nélkül, rosszindulatúan kihasznált egy hibát. A második a termék biztonságát érintő súlyos incidens, akkor is, ha sérülékenységet nem igazoltak. A holland nemzeti kiberbiztonsági központ útmutatója szerint önmagában nem kell jelenteni, ha egy kutató bizalmasan jelez egy hibát, de semmi nem utal támadásra (holland NCSC).

A határidő akkor indul, amikor a gyártó tudomást szerez a problémáról. Nem az első támadáskor kezdődik, és a javításra sem kell várni. A korai figyelmeztetést 24 órán belül, a részletesebb bejelentést pedig 72 órán belül kell elküldeni. Mindkét határidőt attól a pillanattól számolják, amikor a gyártó tudomást szerzett az esetről, nem az első bejelentés elküldésétől (ENISA GYIK).

A végső jelentés határideje attól függ, hogy kihasznált sérülékenység vagy incidens indította-e el az eljárást. A gyártónak az érintett felhasználókat arról is tájékoztatnia kell, hogyan védhetik meg magukat (rendelet).

Hová érkezik a riasztás?

A gyártó minden bejelentést az EU kiberbiztonsági ügynöksége, az ENISA által működtetett Egységes Jelentési Platformon nyújt be. A jelentést annak az országnak a CSIRT-je kapja, ahol a gyártó fő uniós székhelye van. A CSIRT az a nemzeti kiberbiztonsági vészhelyzeti csapat, amely fogadja az incidensekről szóló jelzéseket. Ez a csapat továbbítja a jelentést minden olyan ország illetékes CSIRT-jének, ahol a terméket forgalmazzák (ENISA).

A bejelentések nem nyilvánosak, és némelyik még nem javított sérülékenységekről szólhat. Kivételes esetben az információt összehangoló csapat ezért visszatarthatja a jelentés továbbítását, a gyártó határideje azonban ettől nem változik (rendelet). A szabály egy egyszerű kockázatot kezel: a még nem javított sérülékenység részletei annál veszélyesebbek, minél szélesebb körben terjednek.

Kinek kell felkészülnie?

„Gyártónak” az a cég számít, amely saját neve alatt értékesíti a terméket. A székhely helye és a cég mérete nem számít. A szabály egy német gépgyártó távkarbantartási vezérlőjére és egy ír cég kereskedelmi alkalmazására is vonatkozik, akkor is, ha az alkalmazást ingyen lehet letölteni (Silicon Republic).

A felkészülés nagy része működési kérdés. Valakinek, aki jogosult bejelentést tenni, vasárnap éjjel is észlelnie kell a támadást, fel kell mérnie a helyzetet, és el kell küldenie a jelentést. Szeptember 11-én a német elektrotechnikai szövetség, a VDE arra kérte a gyártókat, hogy alakítsanak ki folyamatokat a támadások észlelésére és továbbítására (VDE).

A francia sajtó közvetlenül a bevezetés előtt arról számolt be, hogy a jelentéseket kézzel kell benyújtani, automatikus beküldésre nincs felület (ZDNet France). Így minden bejelentés azon múlik, hogy a határidő indulásakor elérhető-e az illetékes munkatárs.

A határidőt elmulasztó cégeknek a nemzeti piacfelügyeleti hatóságok előtt kell felelniük. Ezek a hatóságok kivizsgálhatják, hogy a termék megfelel-e az előírásoknak, és bírságot szabhatnak ki. A bírság elérheti a 15 millió EUR-t vagy a világpiaci árbevétel 2,5 százalékát (rendelet). A bevezetésről szóló közlemények ismertetik az eljárást, de nem közölnek adatot arról, hány bejelentés érkezett (ENISA, Európai Bizottság).

Európában mostantól egyetlen csatornán juthat el a hatóságokhoz, hogy egy gyártó támadásról szerzett tudomást. A jelzés eljut annak az országnak a kiberbiztonsági csapatához is, ahol a terméket forgalmazzák, a régebbi, még használatban lévő termékek esetében is. A hatóságok így gyorsabban értesülhetnek, a felhasználókat azonban csak az védi meg, ha a működő javítás eljut az eszközükre.

Az ENISA és az Európai Bizottság két adat közzétételével mutathatná meg, hogy a gyorsabb riasztás gyorsabb javítást eredményez-e: hány bejelentés érkezik, és mennyi idő telik el, mire a javítás eljut a felhasználók eszközére.