Svarbus pokytis skaitmeninių produktų gamintojams Europoje: nuo 2026 m. rugsėjo 11 d. pradedamos taikyti ES Kibernetinio atsparumo akto (Cyber Resilience Act, CRA) pranešimo apie saugumo incidentus ir pažeidžiamumus pareigos.
Pagal Europos Komisijos informaciją, skaitmeninių elementų turinčių produktų gamintojai turės pranešti apie aktyviai išnaudojamus pažeidžiamumus ir rimtus incidentus, darančius poveikį produkto saugumui. Aktyviai išnaudojamas pažeidžiamumas – tai saugumo spraga, dėl kurios yra patikimų įrodymų, kad ja jau pasinaudojo piktavaliai.
Numatytas gana greitas reagavimo procesas: pirminis perspėjimas turi būti pateiktas per 24 valandas nuo sužinojimo apie atvejį, o išsamesnis pranešimas – per 72 valandas. Pranešimams skirta bendra CRA platforma, o informacija perduodama atitinkamai CSIRT komandai ir, išskyrus tam tikras išimtines aplinkybes, ENISA.
Ką tai reiškia praktiškai? Programinės ir techninės įrangos gamintojams neužteks vien gebėti pašalinti saugumo spragą. Organizacijoje turi veikti procesai, leidžiantys laiku pastebėti incidentą, įvertinti, ar taikoma CRA pranešimo pareiga, surinkti reikalingą informaciją ir nepažeisti nustatytų terminų.
Lietuvos technologijų įmonėms, kurioms taikomas CRA, dabar tinkamas metas dar kartą patikrinti incidentų valdymo, pažeidžiamumų stebėsenos ir atsakomybių paskirstymo procesus. 24 valandų terminas palieka nedaug vietos improvizacijai.
Daugiau informacijos: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting