Od 11 września producenci objęci obowiązkami Cyber Resilience Act zgłaszają aktywnie wykorzystywane podatności i poważne incydenty wpływające na bezpieczeństwo produktów z elementami cyfrowymi. Pierwsze ostrzeżenie należy przekazać bez zbędnej zwłoki, najpóźniej w ciągu 24 godzin od uzyskania wiedzy o zdarzeniu, a kolejne zgłoszenie w ciągu 72 godzin. Nie chodzi o wszystkie alarmy bezpieczeństwa w dowolnej firmie. Komisja Europejska: obowiązki raportowania.

Dwa zegary przy jednym zgłoszeniu

W FAQ zaktualizowanym 12 września ENISA wyjaśnia, że obecna wersja SRP wyświetla termin kolejnego zgłoszenia jako 48 godzin od wysłania wczesnego ostrzeżenia. Może przez to pokazać opóźnienie przed upływem 72 godzin od uzyskania wiedzy o zdarzeniu. Agencja zapowiada zmianę sposobu obliczania. Licznik jest pomocą organizacyjną, nie zastępuje przepisów. ENISA, pytanie 26.

Rozpiszmy własny, hipotetyczny przykład. Producent uzyskuje wiedzę o zdarzeniu w poniedziałek o 10:00. Ostrzeżenie wysyła o 12:00 tego samego dnia.

To arytmetyczna ilustracja mechanizmu opisanego przez ENISA, nie zapis rzeczywistego incydentu. Wcześniejszy alarm nie dowodzi sam w sobie naruszenia prawa. Nie jest również argumentem, żeby celowo odkładać ostrzeżenie i w ten sposób przesuwać wskazanie licznika.

Artykuł 14 rozporządzenia wymaga działania bez zbędnej zwłoki. Granice 24 i 72 godzin nie są zatem obietnicą, że każde czekanie do ostatniej minuty będzie prawidłowe. Oba etapy odnoszą się do uzyskania wiedzy o odpowiednim zdarzeniu, a nie do daty, którą firma uzna za wygodną po zakończeniu wewnętrznej narady. Rozporządzenie 2024/2847, art. 14.

Automatyczny monitoring nie wysyła formularza

Drugie ograniczenie jest prostsze: przy starcie SRP nie ma API do automatycznego przekazywania zgłoszeń. Trzeba użyć interfejsu platformy. Dostęp przedstawicieli opiera się na osobistych kontach EU Login z uwierzytelnianiem wieloskładnikowym. Główny przedstawiciel widzi wszystkie zgłoszenia producenta, dodatkowy tylko własne. Zastępstwo wymaga więc przemyślenia dostępu do sprawy, nie tylko wpisania drugiego nazwiska do procedury. ENISA, pytania 9 i 15.

Wniosek redakcyjny: zakup dobrego systemu wykrywania zagrożeń nie zamyka przygotowań. Firma potrzebuje również osoby odpowiedzialnej za przejście od ustaleń technicznych do zgłoszenia oraz sposobu przekazania pracy podczas nieobecności. Dokument zatwierdzony przez zarząd nie odpowie sam na pytanie, kto ma wykonać tę czynność wieczorem.