• Обязанности по отчётности в рамках регламента ЕС о киберустойчивости вступают в силу 11 сентября
  • У производителей есть 24 часа на первое предупреждение и 72 часа на более полный отчёт

Факт

Обязанности по отчётности в рамках регламента ЕС о киберустойчивости (Cyber Resilience Act) вступили в силу 11 сентября: производители продукции с цифровыми элементами должны сообщать об активно эксплуатируемых уязвимостях и серьёзных инцидентах, затрагивающих безопасность продукции. Раннее предупреждение должно быть направлено в течение 24 часов с момента, когда стало известно о подлежащем отчётности событии.

В течение 72 часов следует более полное уведомление. Окончательный срок затем зависит от характера события. Для активно эксплуатируемой уязвимости итоговый отчёт должен быть представлен не позднее чем через 14 дней после того, как станет доступно корректирующее или смягчающее мероприятие. Для серьёзного инцидента итоговый отчёт подаётся в течение одного месяца после 72-часового уведомления и должен охватывать инцидент, его последствия, вероятную причину и принятые или запланированные меры.

Отчёты направляются через Единую платформу отчётности ENISA в соответствующий национальный CSIRT, причём информация, как правило, одновременно становится доступной ENISA. Обязанности возложены на производителей, а не на каждого пользователя продукции. Регламент также регулирует уведомление затронутых пользователей и предоставление информации о корректирующих или смягчающих мерах. Большинство более широких требований к продукции применяется с декабря 2027 года.

Оценка

Как только производителю становится известно об активной эксплуатации уязвимости, ему, возможно, придётся сообщить о проблеме ещё до того, как инженеры полностью разберутся в ней. Первое 24-часовое предупреждение может быть направлено до того, как идентифицированы все затронутые версии или протестировано исправление. Больше деталей поступает через 72 часа, пока продолжается техническое расследование.

На практике отчётность и устранение проблемы часто будут происходить одновременно. Производителям нужно сообщать регуляторам то, что им известно, не выдавая ранние предположения за окончательные выводы. При этом их клиентам нужна достаточная информация, чтобы определить, затронуты ли они и требуется ли немедленное действие.

Для читателей BTW важно, насколько быстро первое предупреждение превращается в полезные рекомендации. Операторам нужна чёткая информация о затронутых версиях, безопасных мерах снижения риска и, в конечном счёте, о поддерживаемом исправлении. Соблюдение срока отчётности важно, но клиенты всё равно должны знать, что делать с эксплуатируемым оборудованием.

За чем следить

Следите за тем, отделяют ли рекомендации поставщиков после первого предупреждения подтверждённые факты, предварительные выводы и доступные меры снижения риска. Указания по конкретным версиям, обновления после 72-часового уведомления и понятный путь к поддерживаемому исправлению покажут, помогает ли новый график операторам принимать решения по обслуживанию, а не просто обеспечивает своевременную подачу регуляторной отчётности.