Co uruchamia zgłoszenie
Artykuł 14 aktu o cyberodporności (rozporządzenie (UE) 2024/2847) wskazuje dwa zdarzenia:
- Aktywnie wykorzystywana podatność w Twoim produkcie - istnieją wiarygodne dowody, że ktoś ją wykorzystał.
- Poważny incydent wpływający na bezpieczeństwo produktu - na przykład taki, który narusza integralność mechanizmu aktualizacji lub danych przetwarzanych przez produkt.
Obowiązek dotyczy także produktów już obecnych na rynku i nie zależy od wielkości firmy.
Terminy
| Aktywnie wykorzystywana podatność | Poważny incydent | |
|---|---|---|
| Wczesne ostrzeżenie | w ciągu 24 godzin od powzięcia wiadomości | w ciągu 24 godzin od powzięcia wiadomości |
| Zgłoszenie | w ciągu 72 godzin od powzięcia wiadomości | w ciągu 72 godzin od powzięcia wiadomości |
| Raport końcowy | najpóźniej 14 dni po udostępnieniu środka naprawczego lub łagodzącego | w ciągu miesiąca od zgłoszenia |
Termin biegnie od chwili, gdy się dowiesz - dlatego tak ważne jest, by wiedzieć, co zawiera każde dostarczone wydanie.
Kto otrzymuje zgłoszenia
Zgłoszenia składa się przez jednolitą platformę zgłoszeń prowadzoną przez ENISA, unijną agencję ds. cyberbezpieczeństwa. Trafiają one do CSIRT wyznaczonego jako koordynator w państwie członkowskim Twojej głównej siedziby oraz do ENISA. Musisz także poinformować użytkowników, których to dotyczy, o podatności lub incydencie i możliwych środkach zaradczych.
Czego jeszcze wymaga CRA
- Aktualizacji bezpieczeństwa przez przewidywany okres użytkowania produktu - w większości przypadków co najmniej pięć lat.
- Polityki i punktu kontaktowego do skoordynowanego ujawniania podatności.
- Wykazu komponentów oprogramowania (SBOM) i udokumentowanej obsługi każdej podatności.
- Dokumentacji technicznej i deklaracji zgodności UE przechowywanych przez dziesięć lat.
Od 11 grudnia 2027 r. obowiązują wszystkie wymagania, a produktów bez zgodności z CRA nie można wprowadzać na rynek UE.
Jak pomaga Kernwatch
- Oznacza komponenty ze znanymi wykorzystywanymi podatnościami we wspieranych wydaniach i dodaje do skrzynki zadań zadanie otwarcia sprawy zgłoszenia.
- Otwiera sprawę z terminami 24 godzin, 72 godzin i raportu końcowego oraz w porę przypomina o nich właściwym osobom.
- Przygotowuje projekty wczesnego ostrzeżenia, zgłoszenia i raportu końcowego na podstawie danych o produkcie, wydaniu i ocenie - do sprawdzenia i zatwierdzenia.
- Pomaga złożyć zgłoszenie: skopiuj zatwierdzony tekst, otwórz platformę ENISA, złóż tam zgłoszenie i zapisz numer referencyjny oraz potwierdzenie w Kernwatch. Platforma ENISA nie udostępnia producentom API, więc Kernwatch nie może złożyć zgłoszenia za Ciebie.
- Wykrywa poprawkę: gdy nowsze wydanie nie zawiera już podatnej wersji, proponuje datę środka naprawczego, od której biegnie 14-dniowy termin na raport końcowy.
- Informuje użytkowników po Twoim zatwierdzeniu - e-mailem do kontaktów klientów produktu, a w planie Professional także opublikowanym biuletynem - i zapisuje, kto i kiedy został poinformowany.
Oficjalne źródła
- Rozporządzenie (UE) 2024/2847 (Cyber Resilience Act), EUR-Lex
- Cyber Resilience Act, Komisja Europejska
- ENISA - Agencja Unii Europejskiej ds. Cyberbezpieczeństwa
Ta strona streszcza rozporządzenie (UE) 2024/2847 w celach orientacyjnych i nie stanowi porady prawnej.