Noua Lege a UE privind reziliența cibernetică (CRA) a intrat în vigoare, stabilind un interval de 24 de ore pentru producătorii care vând produse cu elemente digitale în Uniunea Europeană. Aceștia sunt acum obligați să raporteze vulnerabilitățile exploatate activ și incidentele grave de securitate cibernetică.
Obligațiile de raportare, prevăzute la articolul 14 din CRA, sunt aplicabile indiferent de sediul producătorilor, atâta timp cât produsele lor sunt disponibile pe piața UE.
Ultima oră
ClickFix te face să instalezi singur malware pe Windows și macOS
CSM Constanța, înfrângere dramatică în Liga Zimbrilor după un final tensionat
Incident tragic pe litoral: un bărbat a fost scos din mare, la Eforie Sud, fără viață
Camion răsturnat la ieșirea din Nicolae Bălcescu. O femeie însărcinată, transportată la spital
Termenul este strict: o avertizare timpurie trebuie trimisă în 24 de ore de la luarea la cunoștință a unei vulnerabilități active. Aceasta este urmată de o notificare mai detaliată în 72 de ore.
Aceleași termene se aplică și incidentelor grave care afectează securitatea produselor digitale. Raportul final pentru vulnerabilități exploatate trebuie depus în 14 zile de la implementarea unei soluții, iar pentru incidente grave, la o lună după primul raport.
Experții subliniază că aceste termene aduc o urgență necesară în eforturile de reziliență cibernetică globală. Darren Anstee de la Netscout a declarat că „fereastra de 24 de ore creează un nivel de urgență, asigurând că informațiile suplimentare sunt colectate și publicate prompt.”
Partajarea rapidă și eficientă a informațiilor ajută organizațiile să implementeze măsuri de apărare și atenuare, mai ales atunci când riscul este crescut.
Producătorii, atât din UE, cât și din afara ei, trebuie să depună aceste rapoarte prin Platforma Unică de Raportare (SRP) a ENISA. Notificările sunt direcționate către echipa de coordonare a răspunsului la incidente de securitate informatică (CSIRT).
De asemenea, producătorii au datoria de a informa utilizatorii afectați despre vulnerabilitățile sau incidentele grave, precum și despre măsurile corective sau de atenuare disponibile, fără întârzieri nejustificate.
Încălcările prevederilor CRA pot atrage amenzi substanțiale, cele mai grave putând ajunge la 15 milioane EUR sau 2,5% din cifra de afaceri anuală a contravenientului, oricare este mai mare. Obligațiile de raportare care au intrat în vigoare astăzi sunt considerate responsabilități principale, ceea ce înseamnă că nerespectarea lor poate duce la aplicarea amenzilor maxime.
Aceste măsuri reprezintă un pas important în planul UE de a impune reglementări de securitate mai stricte. Majoritatea celorlalte prevederi CRA vor deveni aplicabile pe 11 decembrie 2027, impunând securitatea prin proiectare și în mod implicit – fără parole implicite și cu actualizări de securitate obligatorii.
Noile reguli urmăresc nu doar accelerarea răspunsurilor, ci și o mai bună înțelegere a lanțurilor de aprovizionare software. Producătorii nu-și pot permite să cartografieze un produs afectat doar după apariția unei vulnerabilități; ei trebuie să aibă o imagine completă și actualizată pe tot parcursul ciclului de viață al produsului.
Experții avertizează că, deși CRA va îmbunătăți rezistența cibernetică, companiile, în special cele din sectoarele mai puțin reglementate, se confruntă cu un corp legislativ tot mai complex și suprapus.
Provocarea de conformitate depășește înțelegerea reglementărilor individuale, cerând organizațiilor să determine modul în care interacționează multiple cadre legislative, cum ar fi NIS2, DORA sau Legea privind inteligența artificială. Mulți producători subestimează încă amploarea CRA, asociind-o doar cu dispozitivele IoT de consum, când de fapt, se aplică unei game mult mai largi de produse cu elemente digitale.
