Proizvajalci v EU: 24 ur za prijavo ranljivosti

Od 11. septembra mora vsako podjetje, ki v EU pod svojo blagovno znamko prodaja povezano napravo ali poslovno programsko opremo, pristojne organe obvestiti v 24 urah, ko izve, da napadalci izkoriščajo ranljivost v izdelku. Obveznost velja tudi za izdelke, ki so že na trgu, vključno s tistimi, ki so jih prodali pred leti (uredba, Evropska komisija). Pristojni organi po vsej EU so tako lahko v enem dnevu obveščeni, da podjetje ve za napad. Toda prijava sama po sebi še ne zagotovi, da bo popravek nameščen na uporabnikovih napravah.

Obveznost poročanja je prvi del Akta EU o kibernetski odpornosti, ki je začel veljati. Pravila o varnosti izdelkov pri načrtovanju se bodo začela uporabljati šele 11. decembra 2027 (ENISA).

Kaj sproži odštevanje

Prijavo sproži eden od dveh dogodkov. Prvi je aktivno izkoriščanje ranljivosti, kar pomeni, da obstajajo zanesljivi dokazi, da je nekdo brez dovoljenja izkoristil napako v zlonamerne namene. Drugi je resen incident, ki ogroža varnost izdelka, tudi če ni dokazane ranljivosti. Če raziskovalec zasebno opozori na napako, ni pa znakov napada, prijava ni potrebna, pojasnjuje nizozemski nacionalni center za kibernetsko varnost (nizozemski NCSC).

Odštevanje se začne, ko proizvajalec izve za težavo. Ne začne se ob prvem napadu in tudi ne čaka na popravek. Prvo opozorilo mora oddati v 24 urah, podrobnejšo prijavo pa v 72 urah od istega trenutka, ne od prve oddaje (pogosta vprašanja agencije ENISA).

Končno poročilo mora proizvajalec oddati pozneje. Rok je odvisen od tega, ali je prijavo sprožila izkoriščena ranljivost ali incident. Proizvajalec mora prizadete uporabnike obvestiti tudi o tem, kako se lahko zaščitijo (uredba).

Kam gre prijava

Vse prijave se oddajo prek enotne platforme za poročanje, ki jo upravlja Agencija EU za kibernetsko varnost (ENISA). Proizvajalec prijavo naslovi na skupino za odzivanje na računalniške varnostne incidente (CSIRT) v državi, kjer ima glavni sedež poslovanja v EU. Ta nacionalna skupina prijavo posreduje kolegom v vseh državah, kjer prodajajo izdelek (ENISA).

Prijave niso javne. Nekatere bodo opisovale ranljivosti, za katere še ni popravka. V izjemnih primerih lahko zato usklajevalna skupina začasno zadrži posredovanje prijave drugim državam, roki za proizvajalca pa ostanejo nespremenjeni (uredba). Razlog je preprost: podrobnosti o še neodpravljeni ranljivosti postajajo nevarnejše, ko se širijo.

Kdo mora biti pripravljen

»Proizvajalec« je podjetje, ki izdelek prodaja pod svojim imenom. Sedež in velikost podjetja pri tem ne igrata vloge. Opredelitev zajema tako nemškega proizvajalca strojev, ki prodaja krmilnik za vzdrževanje na daljavo, kot irsko podjetje s poslovno aplikacijo, tudi če jo je mogoče prenesti brezplačno (Silicon Republic).

Največ dela bo z organizacijo postopkov. Nekdo, ki lahko odda prijavo, mora znati zaznati napad, oceniti položaj in poročilo poslati tudi v nedeljo zvečer. Nemško združenje elektrotehniške industrije VDE je 11. septembra proizvajalce pozvalo, naj vzpostavijo postopke za zaznavanje incidentov in njihovo hitro posredovanje odgovornim (VDE).

Francoski mediji so tik pred začetkom uporabe pravil poročali, da je treba prijave oddajati ročno in da ni vmesnika za samodejno oddajo (ZDNet France). Vsaka prijava je zato odvisna od tega, ali je ob začetku odštevanja dosegljiva odgovorna oseba.

Podjetja, ki zamudijo rok, odgovarjajo nacionalnim organom za nadzor trga. Ti lahko preverjajo, ali izdelki izpolnjujejo zahteve, in kaznujejo kršitelje. Globe lahko dosežejo 15 mio. evrov ali 2,5 odstotka svetovnega prometa (uredba). Obvestili o začetku izvajanja pravil ne navajata, koliko prijav so že prejeli (ENISA, Evropska komisija).

Evropa ima zdaj enotno pot za posredovanje informacij, da proizvajalec ve za napad. Po njej informacije dosežejo nacionalne kibernetske ekipe v vseh državah, kjer izdelek prodajajo, tudi če gre za starejši izdelek, ki je še v uporabi. Pristojni bodo za napade izvedeli hitreje. Uporabnike pa bo zaščitil šele popravek, ki bo nameščen na njihovi napravi.

ENISA in Evropska komisija lahko pokažeta, ali hitrejše prijave vodijo tudi do hitrejših popravkov. Za to bi morali objaviti dva podatka: koliko prijav prejmeta in koliko časa uporabniki čakajo, da popravek doseže njihove naprave.