Кратко

  • С 11 сентября 2026 года изготовители обязаны сообщать об активно используемых уязвимостях и серьёзных инцидентах, затрагивающих безопасность продукта. Первое предупреждение нужно отправить за 24 часа, полное уведомление — за 72.
  • На RIPE 93 Мандалари предложила передавать в работу над стандартами реальные примеры сетевого оборудования, распространения программного обеспечения и сроков поддержки.

Европейский акт о киберустойчивости запустил для изготовителей 24-часовой отсчёт. Он не возложил ту же обязанность автоматически на каждую компанию, которая управляет сетью. В этом и заключался практический смысл выступления Анны Марии Мандалари на RIPE 93: до появления уязвимости организация должна понимать, какие товары она выводит на рынок ЕС, какую роль играет в цепочке поставок и кто подготовит и отправит уведомление.

Официальная расшифровка IoT-сессии RIPE 93 называет Мандалари удалённой участницей заключительного доклада. Она связала акт с привычным сетевым оборудованием — маршрутизаторами, модемами, коммутаторами — и программами, от которых зависит их работа. В сообщество RIPE она предложила принести практические случаи для обсуждения стандартов: как долго устройства остаются в эксплуатации, кто выпускает обновления и где ответственность переходит от изготовителя к продавцу и заказчику.

Сроки делают вопрос срочным. Основные положения акта начнут применяться 11 декабря 2027 года, а статья 14 об уведомлениях действует с 11 сентября 2026-го. Если изготовитель узнаёт об активно используемой уязвимости или серьёзном инциденте, влияющем на безопасность продукта, он должен за 24 часа направить раннее предупреждение, а за 72 часа — полное уведомление. Итоговый отчёт об уязвимости подаётся не позднее чем через 14 дней после появления меры исправления; для серьёзного инцидента — в течение месяца после 72-часового уведомления. Сообщения передаются через единую платформу CRA.

Обязанность лежит на изготовителе, а не автоматически на любой компании, которая покупает маршрутизатор или эксплуатирует сеть. Июльские рекомендации Еврокомиссии разъясняют сферу действия акта и существенные изменения продукта. Комиссия относит к изготовителям тех, кто разрабатывает продукт, производит его или заказывает производство и выводит его на рынок ЕС под своим именем или товарным знаком. Покупка неизменённого устройства сама по себе не превращает оператора в изготовителя. Продажа под собственной маркой или существенная модификация могут изменить оценку; имеют значение конкретный продукт и схема поставки.

Именно здесь право встречается с работой сети. 13 августа ETSI сообщила, что 17 окончательных проектов отраслевых стандартов CRA проходят публичное обсуждение. Они должны стать гармонизированными стандартами, но на тот момент оставались проектами. В зависимости от направления процедура утверждения должна была продолжаться с середины сентября до середины ноября 2026 года. Мандалари призвала участников RIPE внести примеры о сроках поддержки, сетевых устройствах, распространении ПО и порядке обновления.

Одного обещания поставщика «обновления будут» мало. Оператору нужно понимать, как проверяют и аудируют обновление безопасности, как его разворачивают и оценивают влияние на сервис. CRA требует, чтобы изготовитель определил и указал период поддержки, но оборудование может работать дольше. Если поддержка заканчивается раньше плановой замены, закупка превращается в срочную миграцию.

Мандалари соединяет исследования, сетевую эксплуатацию и стандартизацию. UCL указывает её как заместителя директора Института коммуникаций и подключённых систем; ETSI — как секретаря рабочей группы CYBER EUSR и председателя IoT-группы RIPE. Её вопрос сообществу напрямую касается эксплуатации: кто отвечает за следующее обновление и кто первым сообщает о сбое продукта?

Еврокомиссия опубликовала рекомендации по внедрению, а платформа уведомлений уже работает. Теперь нужно связать идентификатор продукта, роль поставщика, срок поддержки и полномочия по инциденту до того, как реальная уязвимость заставит искать эти сведения в течение 24 часов.

Источники