EU inför 24-timmarsfrist för cyberlarm

Sedan den 11 september måste företag som säljer uppkopplade produkter eller kommersiell programvara i EU under eget varumärke larma myndigheterna inom 24 timmar efter att de fått veta att angripare utnyttjar en sårbarhet. Kravet gäller också produkter som redan finns på marknaden, även enheter som såldes för länge sedan (förordningen, EU-kommissionen). Uppgifter om ett angrepp kan nu nå cybersäkerhetsmyndigheter i hela EU inom ett dygn. Men en rapport till myndigheterna innebär inte i sig att en säkerhetsuppdatering når användarnas enheter.

Rapporteringsskyldigheten är den första delen av EU:s Cyber Resilience Act, förordningen om produkters cybersäkerhet, som börjar gälla. Reglerna för hur produkter ska utformas börjar gälla först den 11 december 2027 (ENISA).

Vad sätter tidsfristen i gång?

Två slags händelser utlöser en rapport. Den första är en aktivt utnyttjad sårbarhet: det ska finnas tillförlitliga belägg för att någon utan tillstånd har använt en brist i ett angrepp. Den andra är en allvarlig incident som påverkar produktens säkerhet, även om ingen sårbarhet har bekräftats. En forskare som i förtroende uppmärksammar företaget på ett fel utlöser inget rapporteringskrav så länge det saknas tecken på angrepp, enligt vägledning från Nederländernas nationella cybersäkerhetscentrum (Nederländernas NCSC).

Tiden börjar räknas när tillverkaren får kännedom om problemet. Den börjar alltså inte när angriparna först slog till, och tillverkaren behöver inte vänta på en säkerhetsuppdatering. En första varning ska lämnas inom 24 timmar och en mer fullständig anmälan inom 72 timmar. Båda tidsfristerna räknas från samma tidpunkt, inte från den första anmälan (ENISA:s frågor och svar).

En slutrapport lämnas senare. Tidsfristen beror på om rapporten gäller en utnyttjad sårbarhet eller en incident. Tillverkaren måste också informera berörda användare om hur de kan skydda sig (förordningen).

Vart skickas larmet?

Alla rapporter lämnas via Single Reporting Platform, en plattform som drivs av ENISA, EU:s cybersäkerhetsbyrå. Tillverkaren skickar rapporten till CSIRT i det land där företaget har sin huvudsakliga etablering i EU. CSIRT är det nationella cybersäkerhetsteam som tar emot incidentrapporter. Teamet skickar sedan rapporten vidare till motsvarande team i alla länder där produkten säljs (ENISA).

Rapporterna publiceras inte. En del gäller sårbarheter som ännu saknar en lösning. I undantagsfall kan det samordnande teamet därför avvakta med att sprida en rapport vidare, men tillverkarens tidsfrister gäller ändå (förordningen). Regeln hanterar en konkret risk: uppgifter om en sårbarhet utan säkerhetsuppdatering blir farligare ju mer de sprids.

Vilka måste vara redo?

En ”tillverkare” är det företag som säljer produkten under eget namn. Var huvudkontoret ligger och hur stort företaget är saknar betydelse. Definitionen omfattar både en tysk maskinbyggare som säljer en fjärrunderhållsstyrenhet och ett irländskt företags kommersiella app, även om den kan laddas ned gratis (Silicon Republic).

Merparten av arbetet handlar om beredskap i verksamheten. Någon med mandat att skicka in en rapport måste kunna upptäcka ett angrepp, bedöma det och rapportera även en söndag kväll. Den 11 september uppmanade VDE, den tyska elektrotekniska branschorganisationen, tillverkare att bygga upp rutiner för att upptäcka och eskalera incidenter (VDE).

Strax före starten rapporterade franska medier att anmälningarna måste göras manuellt och att det saknades ett gränssnitt för automatisk inlämning (ZDNet France). Varje rapport är därför beroende av att en person finns tillgänglig när tidsfristen börjar löpa.

Företag som missar tidsfristerna kan ställas till svars inför nationella marknadskontrollmyndigheter. De kan utreda om produkterna följer reglerna och bötfälla företag som inte gör det. Böterna kan uppgå till 15 miljoner euro eller 2,5 % av den globala omsättningen (förordningen). Lanseringsmeddelandena beskriver processen, men anger inte hur många rapporter som kommit in (ENISA, EU-kommissionen).

Europa har nu en gemensam kanal för tillverkarnas uppgifter om angrepp. Rapporterna skickas till cybersäkerhetsteamen i varje land där produkten säljs, även när det gäller äldre produkter som fortfarande används. Myndigheterna får därmed kännedom snabbare. Användarna skyddas först när en fungerande säkerhetsuppdatering når deras enheter.

ENISA och EU-kommissionen kan visa om snabbare larm också leder till snabbare säkerhetsuppdateringar. För det behöver de publicera två uppgifter: hur många rapporter som kommer in och hur lång tid det tar innan en uppdatering når användarnas enheter.