ES uzņēmumiem 24 stundas, lai ziņotu par ievainojamībām

Kopš 2026. gada 11. septembra ikvienam uzņēmumam, kas ar savu zīmolu ES tirgo internetam pieslēgtu ierīci vai komerciālu programmatūru, 24 stundu laikā jāinformē iestādes, tiklīdz tas uzzina, ka uzbrucēji izmanto produkta ievainojamību. Pienākums attiecas arī uz produktiem, kas tirgū nonākuši agrāk, tostarp pārdoti pirms daudziem gadiem (Regula, Eiropas Komisija). Informācija par uzbrukumu tagad vienas dienas laikā var sasniegt kiberdrošības iestādes visā ES. Taču paziņojums amatpersonām vēl nenogādā labojumu lietotāju ierīcēs.

Ziņošanas pienākums ir pirmā daļa no ES Kiberdrošības noturības akta, kas stājas spēkā. Prasības produktu izstrādei būs piemērojamas tikai no 2027. gada 11. decembra (ENISA).

Kas iedarbina termiņa atskaiti

Ziņojums jāiesniedz divu veidu gadījumos. Pirmais ir aktīvi izmantota ievainojamība: ir ticami pierādījumi, ka kāds bez ierīces īpašnieka atļaujas ļaunprātīgi izmantojis produkta nepilnību. Otrais ir nopietns incidents, kas skar produkta drošību, pat ja konkrēta ievainojamība nav pierādīta. Ja pētnieks privāti ziņo par kļūdu, bet nav pazīmju, ka noticis uzbrukums, ziņošanas pienākums nerodas, skaidro Nīderlandes Nacionālais kiberdrošības centrs (Nīderlandes Nacionālais kiberdrošības centrs).

Termiņš sākas, kad ražotājs uzzina par problēmu. To nesāk skaitīt no brīža, kad uzbrucēji veikuši pirmo uzbrukumu, un tas nav atkarīgs no tā, vai jau sagatavots labojums. Sākotnējais brīdinājums jāiesniedz 24 stundu laikā, bet izvērstāks paziņojums — 72 stundu laikā. Abos gadījumos termiņu skaita no brīža, kad ražotājs uzzinājis par problēmu, nevis no pirmā ziņojuma iesniegšanas (ENISA biežāk uzdotie jautājumi).

Galīgais ziņojums jāiesniedz vēlāk. Tā iesniegšanas termiņš ir atkarīgs no tā, vai ziņošanu izraisījusi izmantota ievainojamība vai incidents. Ražotājam arī jāinformē skartie lietotāji, kā sevi pasargāt (Regula).

Kur nonāk ziņojums

Visi ziņojumi jāiesniedz Vienotajā ziņošanas platformā, ko pārvalda ES kiberdrošības aģentūra ENISA. Ražotājs ziņojumu adresē tās valsts CSIRT, kurā atrodas tā galvenā darbības vieta ES. CSIRT ir valsts kiberdrošības incidentu reaģēšanas komanda, kas pieņem ziņojumus par uzbrukumiem. Tā informāciju pārsūta kolēģiem visās valstīs, kurās produktu pārdod (ENISA).

Ziņojumus nepublicē. Dažos no tiem būs aprakstītas ievainojamības, kurām vēl nav labojuma. Tāpēc izņēmuma gadījumos koordinējošā komanda var aizkavēt informācijas pārsūtīšanu tālāk, taču ražotājam noteiktie termiņi joprojām jāievēro (Regula). Šāds izņēmums paredzēts, lai mazinātu konkrētu risku: informācija par neaizlāpītu ievainojamību kļūst bīstamāka, jo plašāk izplatās.

Kam jābūt gatavam

Par ražotāju uzskata to, kurš produktu pārdod ar savu nosaukumu. Nav svarīgi, kur atrodas uzņēmuma galvenā mītne un cik liels tas ir. Šajā definīcijā ietilpst gan Vācijas mašīnbūves uzņēmuma attālinātās apkopes kontrolieris, gan Īrijas uzņēmuma komerciāla lietotne, pat ja to var lejupielādēt bez maksas (Silicon Republic).

Lielākā slodze būs saistīta ar darba organizāciju. Darbiniekam, kurš ir pilnvarots iesniegt ziņojumu, jāspēj pamanīt uzbrukumu, izvērtēt situāciju un ziņot arī svētdienas vakarā. 11. septembrī Vācijas Elektrotehnikas asociācija VDE aicināja ražotājus izveidot uzbrukumu atklāšanas un informācijas nodošanas kārtību (VDE).

Francijas mediji īsi pirms noteikumu stāšanās spēkā ziņoja, ka ziņojumi jāiesniedz manuāli un automatizētai iesniegšanai saskarnes nav (ZDNet France). Tātad katrs ziņojums ir atkarīgs no tā, vai brīdī, kad sākas termiņa atskaite, kāds ir pieejams.

Par termiņu neievērošanu uzņēmumiem jāatbild valstu tirgus uzraudzības iestādēm. Tās pārbauda produktu atbilstību prasībām un var sodīt pārkāpējus. Sods var sasniegt 15 milj. € vai 2,5 % no uzņēmuma apgrozījuma pasaulē (Regula). Paziņojumos par sistēmas sākšanu ENISA un Eiropas Komisija nav minējušas, cik ziņojumu saņemts (ENISA, Eiropas Komisija).

Tagad Eiropā ir viens kanāls, pa kuru ziņas par ražotāja konstatētu uzbrukumu nonāk visu to valstu kiberdrošības komandām, kurās produktu pārdod. Tas attiecas arī uz agrāk ražotiem produktiem, kas vēl tiek lietoti. Kanāls ļauj amatpersonām uzzināt par uzbrukumu ātrāk. Lietotāji būs pasargāti tikai tad, kad ierīcē nonāks darbojošs labojums.

Lai ENISA un Eiropas Komisija varētu parādīt, vai ātrāka ziņošana paātrina labojumu piegādi, tām jāpublicē divi skaitļi: cik ziņojumu saņemts un cik ilgi lietotāji gaida, līdz labojums nonāk viņu ierīcēs.