Nuo rugsėjo 11 d. Europos Sąjungoje įsigaliojo svarbi Kibernetinio atsparumo akto (Cyber Resilience Act, CRA) dalis – skaitmeninių produktų gamintojams pradėtos taikyti privalomo pranešimo apie aktyviai išnaudojamas saugumo spragas ir rimtus saugumo incidentus taisyklės.
Kartu ENISA paleido bendrą CRA pranešimų platformą (Single Reporting Platform), per kurią gamintojai gali pateikti reikiamą informaciją atsakingoms institucijoms vienoje vietoje.
Tai aktualu ir Lietuvos technologijų verslui. CRA apima į ES rinką pateikiamus „produktus su skaitmeniniais elementais“ – įvairią programinę bei techninę įrangą, patenkančią į reglamento taikymo sritį.
Svarbus praktinis aspektas – terminai. Gamintojui sužinojus apie aktyviai išnaudojamą pažeidžiamumą, ankstyvasis perspėjimas turi būti pateiktas nepagrįstai nedelsiant ir ne vėliau kaip per 24 valandas, o išsamesnis pranešimas – per 72 valandas. Panašūs terminai numatyti ir apie produkto saugumą paveikusį rimtą incidentą.
Organizacijoms, kurias gali apimti CRA, tai reiškia, kad vien techninio reagavimo į incidentą nebepakanka. Verta iš anksto aiškiai nustatyti, kas organizacijoje atpažįsta praneštiną atvejį, kas priima sprendimą dėl pranešimo ir kas atsakingas už jo pateikimą per ENISA platformą. 24 valandų terminas palieka nedaug laiko tokią tvarką kurti jau incidento metu.
Svarbu ir tai, kad pagrindiniai CRA kibernetinio saugumo reikalavimai bus pradėti taikyti nuo 2027 m. gruodžio 11 d., tačiau pranešimo pareigos galioja jau dabar.
Daugiau informacijos: https://www.enisa.europa.eu/news/the-cra-single-reporting-platform-is-launched