Il-manifatturi tal-apparati jridu javżaw fi 24 siegħa

Mill-11 ta’ Settembru, kull kumpanija li tbigħ apparat konness jew softwer kummerċjali fl-UE taħt il-marka tagħha stess għandha 24 siegħa biex tavża lill-awtoritajiet malli ssir taf li l-attakkanti qed jisfruttaw vulnerabbiltà fih. L-obbligu japplika wkoll għal prodotti li diġà jinsabu fis-suq, inklużi dawk mibjugħa snin ilu (Regolament, European Commission). Issa, l-għarfien ta’ kumpanija dwar attakk jista’ jasal għand l-awtoritajiet ċibernetiċi madwar l-UE fi żmien ġurnata. Iżda twissija lill-uffiċjali ma tinstallax soluzzjoni fuq l-apparat ta’ ħadd.

L-obbligu tar-rappurtar huwa l-ewwel parti tal-Att dwar ir-Reżiljenza Ċibernetika, il-liġi tal-UE dwar is-sigurtà tal-prodotti, li tidħol fis-seħħ. Ir-regoli dwar kif għandhom jitfasslu l-prodotti japplikaw biss mill-11 ta’ Diċembru 2027 (ENISA).

X’jibda l-għadd tal-ħin

Hemm żewġ tipi ta’ każ li jwasslu għal rapport. L-ewwel wieħed huwa vulnerabbiltà li qed tiġi sfruttata b’mod attiv, jiġifieri meta jkun hemm provi affidabbli li xi ħadd uża vulnerabbiltà b’intenzjoni malizzjuża, mingħajr il-permess tas-sid. It-tieni huwa inċident serju li jaffettwa s-sigurtà tal-prodott, anki jekk ma tkunx ġiet ipprovata l-eżistenza ta’ vulnerabbiltà. Riċerkatur li jinforma privatament lill-kumpanija b’bug, mingħajr ebda sinjal ta’ attakk, ma jqanqalx dan l-obbligu, skont il-gwida taċ-ċentru nazzjonali Olandiż għaċ-ċibersigurtà (Dutch NCSC).

L-għadd jibda meta l-manifattur isir jaf bil-problema. Ma jibdiex meta l-attakkanti jagħmlu l-ewwel attakk, u lanqas ma jistenna sakemm ikun hemm garża. Twissija preliminari trid tintbagħat fi żmien 24 siegħa, u notifika aktar dettaljata fi żmien 72 siegħa. Iż-żewġ skadenzi jingħaddu mill-istess mument, mhux mill-ewwel rapport (ENISA FAQ).

Rapport finali jintbagħat aktar tard. L-iskadenza tiegħu tiddependi minn jekk il-każ kienx vulnerabbiltà sfruttata jew inċident. Il-manifattur irid jgħid ukoll lill-utenti affettwati kif jistgħu jipproteġu lilhom infushom (Regolament).

Fejn tintbagħat it-twissija

Kull rapport jintbagħat permezz tas-Single Reporting Platform, immexxija mill-ENISA, l-aġenzija tal-UE għaċ-ċibersigurtà. Il-manifattur jindirizza r-rapport lis-CSIRT tal-pajjiż fejn għandu l-bażi ewlenija tiegħu fl-UE. CSIRT huwa t-tim nazzjonali li jirċievi twissijiet dwar emerġenzi ċibernetiċi. Dak it-tim jgħaddi r-rapport lill-kontropartijiet tiegħu f’kull pajjiż fejn jinbiegħ il-prodott (ENISA).

Ir-rapporti ma jiġux ippubblikati. Uħud jistgħu jiddeskrivu vulnerabbiltajiet li għadhom bla soluzzjoni. Għalhekk, f’każijiet eċċezzjonali, it-tim ta’ koordinazzjoni jista’ jżomm lura milli jgħaddi r-rapport lil oħrajn, iżda l-iskadenzi tal-manifattur jibqgħu jgħoddu (Regolament). Din id-dispożizzjoni tindirizza riskju ċar: aktar ma jinxterdu d-dettalji ta’ vulnerabbiltà li għadha ma ġietx imsewwija, aktar jikber il-periklu.

Min irid ikun lest

“Manifattur” huwa kull min ibigħ il-prodott taħt ismu stess. Il-post fejn tinsab il-kwartieri ġenerali u d-daqs tal-kumpanija ma jagħmlux differenza. Id-definizzjoni tinkludi l-kontrollur għall-manutenzjoni mill-bogħod ta’ manifattur Ġermaniż tal-magni, u l-app kummerċjali ta’ kumpanija Irlandiża, anki jekk din tista’ titniżżel b’xejn (Silicon Republic).

Il-biċċa l-kbira tal-piż hija operattiva. Xi ħadd awtorizzat jippreżenta rapport irid ikun jista’ jagħraf attakk, jivvalutah u jibgħat rapport il-Ħadd billejl. Fil-11 ta’ Settembru, l-assoċjazzjoni Ġermaniża tal-inġinerija elettrika VDE ħeġġet lill-produtturi biex jistabbilixxu proċessi għall-identifikazzjoni tal-problemi u għall-eskalazzjoni tagħhom (VDE).

Rappurtaġġ Franċiż ftit qabel ma daħal fis-seħħ l-obbligu sab li r-rapporti kellhom jintbagħtu manwalment, mingħajr interface għall-preżentazzjoni awtomatizzata (ZDNet France). Għalhekk, kull rapport jiddependi minn persuna li tkun disponibbli malli jibda jgħodd iż-żmien.

Il-kumpaniji li ma jirrispettawx l-iskadenzi jridu jwieġbu quddiem l-awtoritajiet nazzjonali tas-sorveljanza tas-suq. Dawn huma r-regolaturi li jistgħu jinvestigaw jekk il-prodotti jikkonformawx mar-regoli u jimmultaw lill-kumpaniji li ma jikkonformawx. Il-penali jistgħu jilħqu €15-il miljun jew 2.5% tad-dħul mill-bejgħ madwar id-dinja (Regolament). It-tħabbiriet dwar it-tnedija jispjegaw il-proċess, iżda ma jgħidu kemm waslu rapporti (ENISA, European Commission).

Issa l-Ewropa għandha kanal wieħed biex l-għarfien ta’ manifattur dwar attakk jasal għand l-awtoritajiet. Permezz tiegħu, l-informazzjoni tintbagħat lit-timijiet nazzjonali taċ-ċibersigurtà ta’ kull pajjiż fejn jinbiegħ il-prodott, inklużi prodotti antiki li għadhom jintużaw. Dan il-kanal iħaffef it-tagħlim tal-uffiċjali dwar l-attakki. L-utenti jkunu protetti biss meta garża li taħdem tasal fuq l-apparat tagħhom.

L-ENISA u l-Kummissjoni jistgħu juru jekk twissijiet aktar rapidi jwasslux għal soluzzjonijiet aktar rapidi. Biex jagħmlu dan, ikollhom jippubblikaw żewġ ċifri: kemm jaslu rapporti, u kemm jistennew l-utenti biex garża tasal għandhom.