UE cere alerte cibernetice în 24 de ore

Din 11 septembrie, orice companie care vinde în UE, sub propria marcă, un dispozitiv conectat sau un produs software comercial trebuie să anunțe autoritățile în cel mult 24 de ore din momentul în care află că atacatorii exploatează o vulnerabilitate. Obligația se aplică și produselor aflate deja pe piață, inclusiv celor vândute cu mult timp în urmă (Regulamentul, Comisia Europeană). Echipele de securitate cibernetică din UE pot afla despre atac în cel mult o zi de când compania a luat cunoștință de el. O alertă transmisă autorităților nu instalează însă o remediere pe dispozitivele utilizatorilor.

Obligația de raportare este prima parte din Regulamentul privind reziliența cibernetică, legea UE pentru securitatea produselor, care intră în vigoare. Normele privind modul în care trebuie proiectate produsele se aplică abia din 11 decembrie 2027 (ENISA).

De când curge termenul

Două situații declanșează obligația de raportare. Prima este o vulnerabilitate exploatată activ, adică există dovezi credibile că cineva a folosit-o în scop rău intenționat, fără permisiunea proprietarului. A doua este un incident grav care afectează securitatea produsului, chiar dacă nu s-a demonstrat existența unei vulnerabilități. O sesizare privată a unui cercetător despre o eroare, fără indicii de atac, nu declanșează obligația, potrivit îndrumărilor Centrului Național pentru Securitate Cibernetică din Țările de Jos (Centrul Național pentru Securitate Cibernetică din Țările de Jos).

Termenul începe să curgă când producătorul află despre problemă. Nu contează când au avut loc primele atacuri, iar raportarea nu poate fi amânată până la apariția unei remedieri. Producătorul trebuie să trimită o alertă inițială în 24 de ore și o notificare mai detaliată în 72 de ore; ambele termene se calculează din momentul în care a aflat despre problemă, nu de la prima raportare (Întrebări frecvente ENISA).

Raportul final se depune ulterior, iar termenul depinde de natura problemei: o vulnerabilitate exploatată sau un incident. Producătorul trebuie să le spună și utilizatorilor afectați cum se pot proteja (Regulamentul).

Unde ajunge alerta

Toate raportările se depun prin Platforma Unică de Raportare (Single Reporting Platform), administrată de ENISA, agenția UE pentru securitate cibernetică. Producătorul adresează raportul către CSIRT-ul din țara în care se află baza sa principală din UE. CSIRT este echipa națională care primește alerte de urgență cibernetică. Aceasta transmite raportul către echipele omoloage din toate țările în care se vinde produsul (ENISA).

Rapoartele nu sunt publicate, iar unele descriu vulnerabilități pentru care nu există încă o remediere. În situații excepționale, echipa care coordonează răspunsul poate opri transmiterea mai departe, însă termenele producătorului rămân valabile (Regulamentul). Prevederea răspunde unui risc direct: detaliile unei vulnerabilități fără remediere pot deveni mai periculoase pe măsură ce circulă.

Cine trebuie să fie pregătit

„Producător” înseamnă orice companie care vinde un produs sub propriul nume. Sediul și dimensiunea companiei nu schimbă obligația. Definiția include atât controlerul pentru mentenanță la distanță al unui constructor german de utilaje, cât și aplicația comercială a unei firme irlandeze, chiar dacă aceasta poate fi descărcată gratuit (Silicon Republic).

Cea mai mare parte a efortului ține de organizarea internă. O persoană cu autoritatea de a depune raportul trebuie să poată identifica un atac, să evalueze situația și să trimită sesizarea chiar și duminică noaptea. Pe 11 septembrie, VDE, asociația germană din domeniul electrotehnic, le-a cerut producătorilor să pună la punct proceduri pentru detectarea și escaladarea incidentelor (VDE).

O analiză publicată în Franța chiar înainte de intrarea în vigoare a obligației a constatat că raportările se fac manual și că nu există o interfață pentru transmiterea automată (ZDNet France). Prin urmare, fiecare raport depinde de disponibilitatea unei persoane în momentul în care începe să curgă termenul.

Companiile care depășesc termenele răspund în fața autorităților naționale de supraveghere a pieței, care pot verifica dacă produsele respectă regulile și pot amenda firmele care nu se conformează. Sancțiunile pot ajunge la 15 mil. euro sau 2,5 % din cifra de afaceri la nivel mondial (Regulamentul). Anunțurile de lansare explică procedura, dar nu precizează câte raportări au fost depuse (ENISA, Comisia Europeană).

Europa are acum un canal unic prin care producătorii pot raporta atacurile de care au aflat. Informația ajunge la echipele naționale de intervenție cibernetică din toate țările în care se vinde produsul, inclusiv când este vorba despre modele mai vechi, încă folosite. Astfel, autoritățile află mai repede. Utilizatorii sunt protejați însă doar după ce o actualizare care repară problema ajunge pe dispozitivul lor.

ENISA și Comisia Europeană pot arăta dacă alertele mai rapide duc la remedieri mai rapide. Pentru asta, ar trebui să publice două cifre: câte raportări primesc și cât așteaptă utilizatorii până când actualizarea ajunge pe dispozitivele lor.