Firmy w EU mają dobę na zgłoszenie luki

Nowe przepisy skracają drogę od wiedzy producenta o ataku do informacji dla służb cyberbezpieczeństwa. Od 11 września każda firma sprzedająca pod własną marką w UE urządzenie podłączone do sieci lub oprogramowanie komercyjne musi w ciągu 24 godzin powiadomić władze, gdy dowie się, że napastnicy wykorzystują lukę w jej produkcie. Obowiązek obejmuje także produkty już dostępne na rynku, w tym sprzedane wiele lat temu (rozporządzenie, Komisja Europejska). Informacja o ataku może więc dotrzeć do służb cyberbezpieczeństwa w całej UE w ciągu doby. Samo zgłoszenie nie instaluje jednak poprawki na żadnym urządzeniu.

Obowiązek zgłaszania to pierwsza część unijnego Cyber Resilience Act, czyli aktu o cyberodporności produktów, która zaczęła obowiązywać. Zasady dotyczące projektowania produktów wejdą w życie dopiero 11 grudnia 2027 r. (ENISA).

Co uruchamia zegar

Zgłoszenie jest wymagane w dwóch sytuacjach. Pierwsza to aktywnie wykorzystywana podatność: wiarygodne dowody, że ktoś bez zgody właściciela użył luki do ataku. Druga to poważny incydent zagrażający bezpieczeństwu produktu, nawet jeśli nie wykryto konkretnej luki. Zgodnie z wytycznymi holenderskiego krajowego centrum cyberbezpieczeństwa prywatne zgłoszenie błędu przez badacza, bez oznak ataku, nie uruchamia obowiązku (holenderskie NCSC).

Termin zaczyna biec, gdy producent dowiaduje się o problemie. Nie liczy się od pierwszego ataku ani nie czeka na przygotowanie poprawki. Wstępne ostrzeżenie trzeba wysłać w ciągu 24 godzin, a pełniejsze zgłoszenie — w ciągu 72 godzin. Oba terminy liczy się od chwili uzyskania wiedzy o problemie, a nie od wysłania pierwszego zawiadomienia (FAQ ENISA).

Później trzeba złożyć raport końcowy. Termin zależy od tego, czy zgłoszenie dotyczy wykorzystywanej luki, czy incydentu. Producent musi też poinformować użytkowników, jak mogą się chronić (rozporządzenie).

Dokąd trafia zgłoszenie

Wszystkie zgłoszenia przechodzą przez Single Reporting Platform, platformę prowadzoną przez ENISA, unijną agencję ds. cyberbezpieczeństwa. Producent kieruje raport do CSIRT w kraju, w którym ma główną siedzibę w UE. CSIRT to krajowy zespół reagowania na incydenty cyberbezpieczeństwa. Następnie zespół przekazuje zgłoszenie odpowiednikom we wszystkich krajach, w których sprzedawany jest produkt (ENISA).

Zgłoszenia nie są publikowane. Niektóre opisują luki, na które nie ma jeszcze poprawki. W wyjątkowych przypadkach zespół koordynujący może więc wstrzymać przekazanie informacji dalej, ale terminy producenta pozostają bez zmian (rozporządzenie). Chodzi o proste ryzyko: informacje o niezałatanej luce stają się groźniejsze, gdy trafiają do kolejnych odbiorców.

Kto musi być gotowy

Za producenta uznaje się firmę, która sprzedaje produkt pod własną nazwą. Nie ma znaczenia ani wielkość firmy, ani lokalizacja jej siedziby. Obowiązek obejmuje więc zarówno niemieckiego producenta maszyn oferującego sterownik do zdalnego serwisu, jak i irlandzką firmę sprzedającą aplikację komercyjną — nawet jeśli można ją pobrać bezpłatnie (Silicon Republic).

Największe wyzwanie dotyczy organizacji pracy. Osoba uprawniona do złożenia raportu musi umieć rozpoznać atak, ocenić go i wysłać zgłoszenie, nawet w niedzielę w nocy. 11 września niemieckie stowarzyszenie elektrotechniczne VDE wezwało producentów do przygotowania procedur wykrywania zagrożeń i przekazywania ich dalej (VDE).

Francuski serwis technologiczny, opisując system tuż przed jego uruchomieniem, informował, że zgłoszenia trzeba składać ręcznie i nie ma interfejsu do ich automatyzacji (ZDNet France). Każde zgłoszenie zależy więc od tego, czy odpowiednia osoba będzie dostępna, gdy zacznie biec termin.

Firmy, które nie dotrzymają terminów, odpowiadają przed krajowymi organami nadzoru rynku. To regulatorzy, którzy mogą sprawdzić, czy produkty spełniają wymogi, i nakładać kary. Grzywny mogą sięgnąć 15 mln EUR lub 2,5% światowego obrotu (rozporządzenie). W komunikatach o uruchomieniu systemu opisano procedurę, ale nie podano liczby zgłoszeń (ENISA, Komisja Europejska).

Europa ma teraz jeden kanał, którym informacja producenta o ataku trafia do krajowych zespołów cyberbezpieczeństwa we wszystkich państwach, gdzie sprzedawany jest produkt — także starszy, wciąż używany. Służby dowiadują się o zagrożeniu szybciej. Użytkownik jest chroniony dopiero wtedy, gdy działająca poprawka dotrze do jego urządzenia.

ENISA i KE mogą ocenić, czy szybsze zgłoszenia prowadzą do szybszych poprawek. Wymagałoby to publikacji dwóch danych: liczby otrzymanych raportów oraz czasu, jaki użytkownicy czekają na poprawkę.