Mikä laukaisee ilmoitusvelvollisuuden
Kyberkestävyysasetuksen (asetus (EU) 2024/2847, Cyber Resilience Act) 14 artiklassa on kaksi laukaisevaa tekijää:
- Aktiivisesti hyödynnetty haavoittuvuus tuotteessasi - on luotettavaa näyttöä siitä, että joku on hyödyntänyt sitä.
- Vakava poikkeama, joka vaikuttaa tuotteesi turvallisuuteen - esimerkiksi sellainen, joka vaarantaa päivitysmekanismisi tai tuotteesi käsittelemien tietojen eheyden.
Velvoite koskee myös jo markkinoilla olevia tuotteita, ei vain uusia, eikä se riipu yrityksen koosta.
Määräajat
| Aktiivisesti hyödynnetty haavoittuvuus | Vakava poikkeama | |
|---|---|---|
| Varhainen varoitus | 24 tunnin kuluessa tiedon saamisesta | 24 tunnin kuluessa tiedon saamisesta |
| Ilmoitus | 72 tunnin kuluessa tiedon saamisesta | 72 tunnin kuluessa tiedon saamisesta |
| Loppuraportti | viimeistään 14 päivän kuluttua siitä, kun korjaava tai lieventävä toimenpide on saatavilla | kuukauden kuluessa ilmoituksesta |
Määräaika alkaa siitä, kun saat tiedon - siksi on tärkeää tietää, mitä jokaisessa toimittamassasi julkaisussa on.
Kuka ilmoitukset vastaanottaa
Ilmoitukset tehdään EU:n kyberturvallisuusviraston ylläpitämän ENISAn yhteisen raportointialustan kautta. Ne menevät päätoimipaikkasi jäsenvaltiossa koordinaattoriksi nimetylle CSIRT-yksikölle sekä ENISAlle. Lisäksi sinun on tiedotettava asianomaisille käyttäjille haavoittuvuudesta tai poikkeamasta ja toimenpiteistä, joita he voivat tehdä.
Mitä muuta CRA edellyttää
- Tietoturvapäivitykset tuotteen odotetun käyttöiän ajan - useimmiten vähintään viisi vuotta.
- Toimintaperiaatteet ja yhteyspiste koordinoitua haavoittuvuuksien julkistamista varten.
- Ohjelmistoluettelo (SBOM) ja jokaisen haavoittuvuuden dokumentoitu käsittely.
- Tekninen dokumentaatio ja EU-vaatimustenmukaisuusvakuutus, joita säilytetään kymmenen vuotta.
11. joulukuuta 2027 alkaen kaikki vaatimukset ovat voimassa, eikä tuotteita ilman CRA-vaatimustenmukaisuutta voi enää saattaa EU:n markkinoille.
Miten Kernwatch auttaa
- Merkitsee tukemissasi julkaisuissa komponentit, joissa on tunnettuja hyödynnettyjä haavoittuvuuksia, ja lisää tehtävälaatikkoosi tehtävän raportointitapauksen avaamisesta.
- Avaa tapauksen 24 tunnin, 72 tunnin ja loppuraportin määräaikoineen ja muistuttaa oikeita henkilöitä ajoissa.
- Luonnostelee varhaisen varoituksen, ilmoituksen ja loppuraportin tuote-, julkaisu- ja arviointitiedoistasi tarkistettavaksi ja hyväksyttäväksi.
- Auttaa lähettämisessä: kopioi hyväksytty teksti, avaa ENISAn alusta, lähetä raportti siellä ja kirjaa viite ja kuittaus Kernwatchiin. ENISAn alustalla ei ole rajapintaa valmistajille, joten Kernwatch ei voi lähettää raporttia puolestasi.
- Tunnistaa korjauksen: kun uudempi julkaisu ei enää sisällä haavoittuvaa versiota, se ehdottaa korjaavan toimenpiteen päivää, josta loppuraportin 14 päivän määräaika alkaa.
- Tiedottaa käyttäjille hyväksyntäsi jälkeen - sähköposti tuotteen asiakasyhteyshenkilöille ja Professional-paketissa julkaistu tietoturvatiedote - ja kirjaa, kenelle tiedotettiin ja milloin.
Viralliset lähteet
- Asetus (EU) 2024/2847 (kyberkestävyysasetus), EUR-Lex
- Cyber Resilience Act, Euroopan komissio
- ENISA - Euroopan unionin kyberturvallisuusvirasto
Tämä sivu tiivistää asetuksen (EU) 2024/2847 suuntaa antavasti eikä ole oikeudellista neuvontaa.