Краткое резюме

  • ENISA заявляет, что её платформа единой отчётности по Акту о киберустойчивости (CRA) запустится 11 сентября без API для автоматизированной подачи.
  • Производители могут автоматизировать внутренние рабочие процессы, но представителю всё равно придётся подавать подходящие отчёты через интерфейс платформы.

Факт

ENISA подтвердила, что в первоначальной версии её платформы единой отчётности по Акту о киберустойчивости (CRA) API для автоматической отправки не будет. В руководстве сказано, что организации могут автоматизировать внутренние процессы подготовки отчётов, но уведомления на старте должны подаваться через интерфейс платформы.

Платформа должна перейти в эксплуатацию 11 сентября, когда начинают действовать обязательные требования CRA по отчётности. Производители обязаны сообщать об уязвимостях, активно эксплуатируемых злоумышленниками, и о серьёзных инцидентах, затрагивающих безопасность продуктов с цифровыми компонентами. Первичное предупреждение должно быть отправлено без необоснованной задержки и в течение 24 часов после обнаружения, после чего в течение 72 часов подаётся более полное уведомление.

Отчёты подаются через платформу представителями с выбором соответствующего национального CSIRT, назначенного координатором. ENISA отмечает, что проверка связи представителя с производителем проводится параллельно с процессом подачи и на старте не препятствует отправке.

Обязательства по отчётности начинаются раньше, чем большинство более широких требований CRA к продукции, которые начнут применяться в декабре 2027 года.

Оценка

Производители могут автоматизировать обнаружение инцидента и сбор данных для отчёта по CRA, но эта автоматизация останавливается до финальной подачи. На запуске по-прежнему нужно, чтобы кто-то открыл платформу ENISA и отправил уведомление.

Это делает важной передачу между системами безопасности компании и командой отчётности. Как только событие, подпадающее под отчётность, распознано, 24-часовой срок уже идёт. Ожидание завершения полного расследования или готовного патча может оставить слишком мало времени для первого уведомления, которое по замыслу содержит меньше данных, чем последующие этапы.

Для читателей BTW важно знать, кто берёт инцидент на себя, когда внутреннее оповещение становится событием CRA для отчётности. У этого лица должен быть доступ к платформе и достаточное покрытие для подачи в срок, включая случаи обнаружения инцидента вне обычного рабочего времени. Автоматизация может подготовить отчёт, но при запуске не может его отправить.

Что отслеживать

Следите за запуском 11 сентября на предмет возможных проблем с доступом, регистрацией или подачей, когда производители начнут пользоваться платформой. ENISA позже может добавить API, что позволит компаниям автоматизировать больше этапов процесса. До тех пор практические проверки сводятся к тому, может ли назначенный представитель войти в систему, подать отчёт вовремя и получить подтверждение его принятия.

Источники

  1. https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions

  2. https://digital-strategy.ec.europa.eu/en/policies/cra-reporting

  3. https://www.ncsc.gov.ie/cra/