Küberkerksuse määrus: teatamiskohustus kehtib alates 11. septembrist 2026

Enamik ELi määrusi annab nõuete täitmise kuupäeva ja üleminekuaja, mille jooksul kõik end vaikselt korda seavad. Küberkerksuse määrus (Cyber Resilience Act, CRA) teeb teisiti. Selle esimene range kohustus on 24 tunni teatamistähtaeg ja see kehtib alates 11. septembrist 2026.

24 tunni tähtaega ei saa järk-järgult kasutusele võtta. Kas protsess on olemas, kui ärakasutatud haavatavus välja tuleb, või jääb tähtaeg täitmata.

Mis on küberkerksuse määrus

Määrus (EL) 2024/2847 kehtestab küberturvalisuse nõuded ELi turule lastavatele digitaalsete elementidega toodetele. See väljend hõlmab palju rohkem, kui inimesed alguses arvavad: iga tarkvara- või riistvaratoode ja selle kaugandmetöötluslahendused, mille ettenähtud või mõistlikult prognoositav kasutus hõlmab otsest või kaudset andmeühendust.

Ühendatud seadmed kuuluvad kohaldamisalasse. Samuti enamik kommertstarkvara, operatsioonisüsteemid, brauserid, mobiilirakendused, püsivara ning teiste toodete sees olevad komponendid.

Määrus avaldati 2024. aasta novembris ja seda kohaldatakse etapiviisiliselt:

• 11. juunist 2026: vastavushindamisasutuste kohustused.
• 11. septembrist 2026: teatamiskohustused aktiivselt ärakasutatud haavatavuste ja raskete intsidentide kohta.
• 11. detsembrist 2027: täielik kohaldamine, sealhulgas olulised küberturvalisuse nõuded, CE-märgis, tehniline dokumentatsioon ja tarkvara koostisosade loetelu (SBOM).

Keskmine kuupäev on juba käes ja see eeldab võimekust, mida teil ei pruugi olla.

Mis kehtib alates 11. septembrist 2026

Alates sellest kuupäevast peavad tootjad teatama:

aktiivselt ärakasutatud haavatavustest oma digitaalsete elementidega toodetes ja

rasketest intsidentidest, mis mõjutavad nende toodete turvalisust.

Teated esitatakse ENISA hallatava CRA ühtse teavitusplatvormi (Single Reporting Platform) kaudu sellele CSIRTile, mille on määranud tootja peamise tegevuskoha liikmesriik ja mis jagab teavet edasi teistele asjaomastele CSIRTidele ja ENISAle. ENISA tegi platvormi esimese versiooni kättesaadavaks 11. septembril 2026, päeval, mil kohustus algas, ja ütleb, et lisab järgmistel kuudel funktsioone.

Ajakava:

• 24 tunni jooksul teadasaamisest: varajane hoiatus.
• 72 tunni jooksul: täielik teade, sealhulgas võetud parandus- või leevendusmeetmed.
• 14 päeva jooksul pärast parandusmeetme kättesaadavaks muutumist: aktiivselt ärakasutatud haavatavuse lõpparuanne.
• Ühe kuu jooksul: raske intsidendi lõpparuanne.

Kakskümmend neli tundi teadasaamisest, mitte kinnitamisest ega kõrvaldamisest. Kui teie toote mõne komponendi haavatavust kasutatakse laupäeval päriselt ära, käib kell laupäeval.

Miks see on raskem, kui paistab

Teatamiskohustus ise on vormi esitamine. Raskus peitub kõiges, mis peab olemas olema, enne kui saate selle vormi täita.

Peate teadma, mis teie tootes on

Et teatada, et teie toote haavatavust kasutatakse aktiivselt ära, peate teadma, et haavatav komponent on teie tootes. Sadade transitiivsete sõltuvustega tänapäevase rakenduse puhul ei saa inimene sellele mälu järgi vastata.

Seepärast ehitavad meeskonnad praegu tarkvara koostisosade loetelu ahelaid, rohkem kui aasta enne ametlikku SBOM-nõuet 2027. aasta detsembris. SBOM ei ole eesmärk. Eesmärk on suuta tundidega vastata küsimusele „kas see puudutab meid?“ ja SBOM teeb sellele vastamise võimalikuks.

Ebamugav on see, et see kehtib ka aastaid tagasi tarnitud toodete kohta. Kui teil on kasutuses toetatud seadmeid, mille püsivara on ehitatud 2022. aastal sõltuvuspuust, mida keegi üles ei kirjutanud, on selle taastamine päris töö.

Peate jälgima

Teadasaamine käivitab kella ja teadasaamiselt oodatakse aktiivsust, mitte juhuslikkust. See tähendab haavatavusvoogude jälgimist, oma komponentide turvateadete tellimist, teadaolevalt ärakasutatud haavatavuste kataloogide jälgimist ja kanalit, mille kaudu turvauurijad saavad teieni jõuda ja vastuse saada.

Peate omama otsustusteed

Keegi peab suutma igal kellaajal otsustada, kas intsident ületab läve ja kas kell on käima läinud. Ilma nimetatud rolli ja eskaleerimisteeta kuluvad esimesed tunnid selle väljaselgitamisele, kellel on õigus otsus teha.

Toest väljas sõltuvused muutuvad vastutuseks

Kui teie toote mõni komponent ei saa enam turvauuendusi, on teil ikkagi teatamiskohustus, kui seda ära kasutatakse, ja teil pole ülesvoolu parandust, millele osutada. Toest väljas sõltuvuste auditeerimine on üks kasulikumaid asju, mida praegu teha, sest vastus sunnib mõnikord migratsioonile, millel on oma ettevalmistusaeg.

Mida toob täielik kohaldamine 2027. aasta detsembris

2027. aasta detsembri kohustused on suurem programm ja nendega tuleb alustada ammu enne seda.

Turvalisus disaini ja vaikeseadete kaudu. Tooted peavad olema kavandatud, arendatud ja toodetud nii, et tagada riskist lähtuv asjakohane küberturvalisuse tase. Vaikeparoole ei tohi olla. Turvaline konfiguratsioon kohe karbist võttes. Ründepinna minimeerimine. Andmete kaitse edastamisel ja talletamisel.

Haavatavuste käsitlemine. Dokumenteeritud protsess, mis hõlmab tuvastamist, kõrvaldamist, testimist, levitamist ja avalikustamist. Turvauuendusi tuleb pakkuda viivitamata ja tasuta toetusperioodi jooksul, mis kajastab toote eeldatavat kasutusiga; levinud võrdluspunkt on viis aastat.

Tarkvara koostisosade loetelu. Masinloetavas vormingus, mis hõlmab vähemalt kõrgeima taseme sõltuvusi ja mida hoitakse ajakohasena.

Tehniline dokumentatsioon ja vastavushindamine. Enamik tooteid hindab end ise. Olulised ja kriitilised kategooriad, mille hulka kuuluvad näiteks paroolihaldurid, VPN-id, operatsioonisüsteemid ja tööstuslikud juhtimissüsteemid, nõuavad kolmanda osapoole kaasamist.

CE-märgis. Füüsilise märgise digitaalne vaste, mis deklareerib vastavust.

Koordineeritud haavatavuste avalikustamise põhimõtted. Avaldatud ja toimiva kontaktpunktiga.

Kes tegelikult kohaldamisalasse kuulub

Mõned piirjuhtumid kerkivad pidevalt esile.

Vaba ja avatud lähtekoodiga tarkvara, mis on arendatud väljaspool äritegevust, jääb suures osas kohaldamisalast välja. Määrus toob sisse avatud lähtekoodiga tarkvara haldaja mõiste, kellel on kergemad kohustused. Kui aga avatud lähtekoodi kommertsialiseerite või tarnite seda müüdava toote sees, on tootekohustused teie omad.

Tarkvara kui teenus jääb üldjuhul küberkerksuse määrusest välja ja kuulub hoopis NIS2 alla, kuigi kaugandmetöötluslahendused, mis on digitaalsete elementidega toote lahutamatu osa, tõmmatakse sisse. Kui teie seade sõltub toimimiseks teie pilvetaustsüsteemist, liigub see taustsüsteem koos tootega.

Importijatel ja levitajatel on samuti kohustused. Kui lasete kolmanda isiku toote ELi turule oma nime või kaubamärgi all, käsitletakse teid tootjana.

Mujal juba reguleeritud tooteid, nagu meditsiiniseadmed, autod ja lennundusseadmed, käsitletakse nende endi raamistike alusel.

Kohaldamisala küsimused ei ole tõesti triviaalsed ja see on koht, kus tund aega õigusnõustajaga hoiab kokku kuid valesse suunda tehtud inseneritööd.

Mida meie praegu teeksime

Kui kuulute kohaldamisalasse ja alustate praegu, toimib selline järjekord:

Esiteks koostage tooteinventuur. Mis teil ELi turul tegelikult on? Sealhulgas vanad versioonid, mis on endiselt kasutuses, teise kaubamärgi all müüdavad variandid ja tooted, mida levitate kellegi teise eest. See nimekiri on tavaliselt pikem, kui keegi ootab.

Teiseks ehitage SBOM-i genereerimine CI-sse. Genereerige SBOM igal ehitusel CycloneDX- või SPDX-vormingus, talletage see väljalaske artefakti juurde ja hoidke see päritavana. Mõte on suuta küsida „millised meie tarnitud väljalasked sisaldavad seda teeki?“ ja saada vastus minutitega.

Kolmandaks seadistage haavatavuste seire. Suunake oma SBOM-i andmed skannerisse, mis jälgib turvateateid ja teadaolevalt ärakasutatud haavatavuste katalooge, ning suunake hoiatused kanalisse, mida keegi loeb.

Neljandaks kirjutage intsidendi tegevusjuhend. Kes kuulutab välja, kes hindab, kes teatab, kes suhtleb. Nimetatud inimesed, asendajad ja kontaktid väljaspool tööaega. Seejärel harjutage seda korra võltsitud turvateatega. Harjutuse käigus avastate, et inimene, kellel on teavitusplatvormi kasutajatunnused, on puhkusel.

Viiendaks avaldage haavatavuste avalikustamise põhimõtted. security.txt-fail, jälgitav aadress ja väljaöeldud vastamisaeg. See on ühe pärastlõuna töö ja vahe selle vahel, kas kuulete probleemist uurijalt või ajakirjanikult.

Kuuendaks alustage 2027. aasta detsembri tööga. Turvalised vaikeseaded, uuendusmehhanismid, toetusperioodi otsused ja dokumentatsioon on arhitektuuriküsimused, mitte paberimajandus. Tooted, mille kavandate 2026. aastal, on turul ka 2028. aastal.

Kattuvus, mida keegi ei kasuta

Küberkerksuse määruse ja teiste korralduste vahel on märkimisväärne dubleerimine ning enamik ettevõtteid käsitleb igaüht eraldi, mis on raiskamine.

Küberkerksuse määruse jaoks ehitatud SBOM vastab enamikule NIS2 tarneahela küsimustest. Intsidendi tegevusjuhend kattub NIS2 24 tunni varajase hoiatusega ja isikuandmete kaitse üldmääruse (GDPR) 72 tunni rikkumisteatega. Haavatavuste käsitlemise protsessid toidavad otse klientide turvaküsimustikke ja suurettevõtete hankeid.

Ehitage need üks kord platvormi võimekusena. Alternatiiv on kolm meeskonda, kes ehitavad sama varainventuuri kolm versiooni.

Kust abi saada

Ehitame ja hooldame tarkvara ettevõtetele, kes müüvad ELi, mis tähendab üha enam tarneahela nähtavuse ja uuendustaristu ehitamist, mida küberkerksuse määrus eeldab. Kui selgitate välja, kas kuulute kohaldamisalasse, või teatamiskohustus juba kehtib teie suhtes ja keegi ei jälgi teie komponente, võtke ühendust aadressil office@c9group.dev.

Meie pärandsüsteemide hooldusteenus on sageli koht, kust see algab, sest kõige halvema sõltuvuste nähtavusega tooted on tavaliselt kõige vanemad. Laiem regulatiivne pilt on meie ELi digitaalsete nõuete juhendis 2026.

Oleme insenerid, mitte juristid. Kohaldamisala ja liigitamise otsused kuuluvad teie õigusnõustajale ning meie ehitame vastavalt nende vastusele.