Если вы производите программное или аппаратное обеспечение, которое продается в Европейском союзе, то эта пятница станет началом периода обязательной отчетности по безопасности перед регулирующими органами ЕС.
Закон ЕС о киберустойчивости (CRA) вступил в силу в декабре 2024 года. Он устанавливает базовые требования к кибербезопасности для продуктов с цифровыми элементами (охватывая многие аппаратные и программные продукты), продаваемых в ЕС. Большинство требований вступят в полную силу только к декабрю 2027 года, но один критически важный аспект начинает действовать уже на этой неделе.
С 11 сентября производители должны начать сообщать об определенных уязвимостях и инцидентах безопасности в Агентство Европейского союза по кибербезопасности (ENISA) через недавно запущенную Единую платформу отчетности.
Что на самом деле требуют правила отчетности
Согласно статье 14 CRA, если ваша компания обнаруживает уязвимость в своем продукте, которая активно эксплуатируется, или сталкивается с серьезным инцидентом безопасности, затрагивающим ваш продукт, вы обязаны сообщить об этом. Сроки очень жесткие:
- Через 24 часа после того, как стало «известно»: отправьте предварительное уведомление в ENISA и ваш национальный орган по кибербезопасности
- Через 72 часа после того, как стало «известно»: отправьте более полное уведомление с подробной информацией о характере уязвимости и любых первоначальных мерах по устранению
- Через 14 дней после выпуска патча (для эксплуатируемых уязвимостей) или через 1 месяц после первоначального уведомления (для серьезных инцидентов): отправьте итоговый отчет
В руководстве Европейской комиссии, опубликованном в июле, указано, что отсчет времени начинается после того, как вы провели первоначальную оценку и получили разумную уверенность в том, что существует активно эксплуатируемая уязвимость или серьезный инцидент.
Важное примечание: эти обязательства распространяются на производителей продуктов с цифровыми элементами, а не на каждую технологическую компанию. Если вы не уверены, применимо ли это к вам, проконсультируйтесь с юристом для получения совета, специфичного для вашей ситуации.
Почему важно быстрое устранение
Лучший способ избежать выполнения требований отчетности CRA — это находить и исправлять уязвимости до того, как они будут активно эксплуатироваться. Это делает быстрое и проактивное обнаружение и устранение уязвимостей важнее, чем когда-либо. Организации, у которых уже есть отлаженные процессы для быстрого поиска и исправления проблем, гораздо реже сталкиваются со сценариями, которые призваны охватить правила отчетности.
Если у вас все же возникли обязательства по отчетности, скорость имеет решающее значение. 24 часа на подачу предварительного уведомления — это очень короткий срок, если нет четких процессов для приоритизации уязвимостей и эскалации нужным специалистам. Кроме того, есть дополнительный стимул для быстрого исправления: итоговый отчет не требуется до тех пор, пока не будет доступно исправление, поэтому более быстрое устранение означает и более быстрое закрытие ваших обязательств по отчетности.
Что делать прямо сейчас
- Подтвердите, подпадают ли ваши продукты под определение CRA «продуктов с цифровыми элементами»
- Зарегистрируйтесь на Единой платформе отчетности ENISA
- Убедитесь, что ваши внутренние процессы действительно могут соответствовать окнам отчетности в 24/72 часа
- Если у вас еще нет политики публичного раскрытия уязвимостей, создайте ее; это жизненно важный компонент зрелого процесса обнаружения уязвимостей, который потребуется в рамках более широкой системы соответствия CRA к декабрю 2027 года
Пятничный дедлайн — это важный шаг, а не финишная черта. Полное соответствие CRA наступит в конце 2027 года. Но обязательства по отчетности, начинающиеся на этой неделе, показывают, чего ожидает регулятор: скорости, прозрачности и операционной готовности. Лучше начать развивать эти навыки сейчас.
Начните создавать свою программу раскрытия уязвимостей до наступления дедлайна 2027 года
Эта публикация не является юридической консультацией.
Об авторе
Майкл Вулслейер
Юрисконсульт по вопросам политики
Майкл — юрисконсульт по вопросам политики в HackerOne, где он поддерживает усилия в области государственной политики, направленные на решение проблем кибербезопасности и безопасности ИИ, а также на содействие добросовестным исследованиям в области безопасности.
