Výrobcovia zariadení musia hlásiť zraniteľnosti do 24 hodín

Od 11. septembra má každá spoločnosť, ktorá v EÚ predáva pod vlastnou značkou pripojené zariadenie alebo komerčný softvér, 24 hodín od chvíle, keď zistí, že útočníci zneužívajú zraniteľnosť produktu, na upozornenie úradov. Povinnosť sa vzťahuje aj na produkty, ktoré sú už na trhu, vrátane kusov predaných pred mnohými rokmi (nariadenie, Európska komisia). Informácia o útoku sa tak môže dostať ku kybernetickým úradom v celej EÚ do jedného dňa od chvíle, keď sa o ňom dozvie výrobca. Samotné hlásenie však nedostane opravu do zariadení používateľov.

Povinnosť nahlasovať incidenty je prvou časťou Aktu o kybernetickej odolnosti, teda právneho predpisu EÚ o bezpečnosti výrobkov, ktorá začala platiť. Pravidlá o tom, ako sa majú výrobky navrhovať, sa uplatnia až od 11. decembra 2027 (ENISA).

Čo spúšťa lehotu

Hlásenie spúšťajú dva druhy udalostí. Prvým je aktívne zneužívaná zraniteľnosť: spoľahlivé dôkazy ukazujú, že niekto bez súhlasu vlastníka škodlivo využil bezpečnostnú chybu. Druhým je závažný incident, ktorý ohrozuje bezpečnosť produktu, aj keď sa konkrétna chyba nepotvrdila. Ak výskumník súkromne upozorní na chybu a nič nenasvedčuje útoku, povinnosť nahlasovať ju nevzniká, uvádza usmernenie holandského národného centra kybernetickej bezpečnosti (Dutch NCSC).

Lehota sa začína vo chvíli, keď sa výrobca o probléme dozvie. Nezačína sa prvým útokom a nečaká sa na opravu. Prvé upozornenie musí prísť do 24 hodín a podrobnejšie oznámenie do 72 hodín. Obe lehoty plynú od toho istého okamihu, nie od prvého podania (časté otázky ENISA).

Záverečnú správu podáva výrobca neskôr; termín závisí od toho, či hlásenie spustila zneužívaná chyba alebo incident. Zároveň musí dotknutým používateľom povedať, ako sa majú chrániť (nariadenie).

Kam hlásenie smeruje

Každé hlásenie sa podáva cez Single Reporting Platform, ktorú spravuje ENISA, agentúra EÚ pre kybernetickú bezpečnosť. Výrobca ho adresuje CSIRT-u v krajine, kde má hlavné pôsobisko v EÚ. CSIRT je vnútroštátny tím pre kybernetické núdzové situácie, ktorý prijíma upozornenia na incidenty. Následne hlásenie postúpi partnerským tímom vo všetkých krajinách, kde sa produkt predáva (ENISA).

Hlásenia sa nezverejňujú. Niektoré sa môžu týkať chýb, na ktoré zatiaľ neexistuje oprava. Koordinačný tím preto môže vo výnimočných prípadoch pozdržať ich ďalšie šírenie, lehoty výrobcu tým však neprestávajú platiť (nariadenie). Dôvod je praktický: podrobnosti o neopravenom bezpečnostnom nedostatku sú nebezpečnejšie, čím viac sa šíria.

Kto musí byť pripravený

Za výrobcu sa považuje každý, kto predáva produkt pod vlastným menom alebo značkou. Na sídle ani veľkosti firmy nezáleží. Táto definícia zahŕňa ovládač na diaľkovú údržbu od nemeckého výrobcu strojov aj komerčnú aplikáciu írskej firmy, hoci je na stiahnutie zadarmo (Silicon Republic).

Najväčšia záťaž je organizačná: človek oprávnený podať hlásenie musí vedieť útok rozpoznať, posúdiť a správu odoslať aj v nedeľu večer. Nemecké združenie elektrotechnického priemyslu VDE vyzvalo výrobcov, aby si nastavili postupy na odhaľovanie problémov a ich posúvanie zodpovedným ľuďom (VDE).

Francúzsky portál ZDNet pred spustením upozornil, že hlásenia sa podávajú ručne a systém nemá rozhranie na automatické podanie (ZDNet France). Každé hlásenie tak závisí od toho, či je v čase spustenia lehoty niekto k dispozícii.

Ak firma lehoty nedodrží, zodpovedá sa vnútroštátnym orgánom dohľadu nad trhom. Tieto úrady môžu preverovať, či výrobky spĺňajú pravidlá, a pokutovať firmy, ktoré ich porušia. Pokuty môžu dosiahnuť 15 mil. EUR alebo 2,5 % celosvetového obratu (nariadenie). Oznámenia o spustení systému vysvetľujú postup, neuvádzajú však počet podaných hlásení (ENISA, Európska komisia).

Európa má teraz jednotný kanál, cez ktorý sa informácia výrobcu o útoku dostane ku kybernetickým tímom každej krajiny, kde sa produkt predáva, vrátane starších výrobkov, ktoré sa stále používajú. Úrady sa tak o útokoch dozvedia rýchlejšie. Používatelia sú chránení až vtedy, keď sa funkčná oprava dostane do ich zariadení.

ENISA a Európska komisia môžu ukázať, či rýchlejšie hlásenia vedú aj k rýchlejším opravám. Na to by museli zverejniť dve čísla: koľko hlásení dostanú a ako dlho používatelia čakajú, kým sa oprava dostane do ich zariadení.