Kibernetinio atsparumo aktas: pranešimų prievolė taikoma nuo 2026 m. rugsėjo 11 d.

Dauguma ES reglamentų nustato atitikties datą ir pereinamąjį laikotarpį, per kurį visi tyliai susitvarko. Kibernetinio atsparumo aktas elgiasi kitaip. Jo pirmoji griežta prievolė yra 24 valandų pranešimo terminas, ir ji taikoma nuo 2026 m. rugsėjo 11 d.

24 valandų termino negalima įvesti palaipsniui. Arba procesas veikia tada, kai išryškėja išnaudojamas pažeidžiamumas, arba terminą praleidžiate.

Kas yra Kibernetinio atsparumo aktas

Reglamentas (ES) 2024/2847 nustato kibernetinio saugumo reikalavimus ES rinkai pateikiamiems produktams su skaitmeniniais elementais. Ši sąvoka apima kur kas daugiau, nei iš pradžių manoma: bet kurį programinės ar aparatinės įrangos produktą ir jo nuotolinio duomenų tvarkymo sprendimus, kurių numatytas ar pagrįstai numatomas naudojimas apima tiesioginį ar netiesioginį duomenų ryšį.

Į taikymo sritį patenka prijungiamieji įrenginiai. Taip pat ir dauguma komercinės programinės įrangos, operacinės sistemos, naršyklės, mobiliosios programėlės, programinė aparatinė įranga (firmware) ir komponentai kitų produktų viduje.

Aktas paskelbtas 2024 m. lapkritį ir taikomas etapais:

• 2026 m. birželio 11 d.: prievolės atitikties vertinimo įstaigoms.
• 2026 m. rugsėjo 11 d.: prievolės pranešti apie aktyviai išnaudojamus pažeidžiamumus ir sunkius incidentus.
• 2027 m. gruodžio 11 d.: visapusiškas taikymas, įskaitant esminius kibernetinio saugumo reikalavimus, CE ženklinimą, techninę dokumentaciją ir programinės įrangos komponentų sąrašą (SBOM).

Vidurinė data jau galioja, o ji priklauso nuo gebėjimų, kurių jūs galbūt neturite.

Kas taikoma nuo 2026 m. rugsėjo 11 d.

Nuo tos dienos gamintojai privalo pranešti apie:

aktyviai išnaudojamus pažeidžiamumus savo produktuose su skaitmeniniais elementais ir

sunkius incidentus, darančius poveikį tų produktų saugumui.

Pranešimai teikiami per ENISA valdomą bendrą Kibernetinio atsparumo akto pranešimų teikimo platformą valstybės narės, kurioje yra gamintojo pagrindinė buveinė, paskirtam CSIRT, kuris toliau informaciją perduoda kitiems paveiktiems CSIRT ir ENISA. Pirmąją platformos versiją ENISA paleido 2026 m. rugsėjo 11 d., tą pačią dieną, kai prievolė pradėta taikyti, ir teigia, kad per ateinančius mėnesius pridės funkcijų.

Terminai:

• Per 24 valandas nuo sužinojimo: išankstinis įspėjimas.
• Per 72 valandas: išsamus pranešimas, įskaitant taikytas taisomąsias ar švelninimo priemones.
• Per 14 dienų nuo tada, kai tampa prieinama taisomoji priemonė: galutinė ataskaita apie aktyviai išnaudojamą pažeidžiamumą.
• Per vieną mėnesį: galutinė ataskaita apie sunkų incidentą.

Dvidešimt keturios valandos nuo sužinojimo, ne nuo patvirtinimo ir ne nuo ištaisymo. Jei jūsų produkto komponento pažeidžiamumas realiai išnaudojamas šeštadienį, terminas skaičiuojamas nuo šeštadienio.

Kodėl tai sunkiau, nei atrodo

Pati pranešimo prievolė yra formos pateikimas. Sunkumas slypi visame tame, ką turite turėti, kad galėtumėte ją užpildyti.

Turite žinoti, kas yra jūsų produkte

Kad praneštumėte, jog jūsų produkto pažeidžiamumas aktyviai išnaudojamas, turite žinoti, kad pažeidžiamas komponentas yra jūsų produkte. Šiuolaikinės programos su šimtais tranzityvinių priklausomybių atveju žmogus į tai iš atminties neatsakys.

Todėl komandos jau dabar, daugiau nei metais anksčiau už formalų SBOM reikalavimą 2027 m. gruodį, kuria programinės įrangos komponentų sąrašų generavimo procesus. SBOM nėra tikslas. Tikslas yra per kelias valandas atsakyti į klausimą „ar mus tai paveikė?“, o SBOM leidžia į jį atsakyti.

Nemaloniausia tai, kad prievolė taikoma ir prieš kelerius metus pateiktiems produktams. Jei naudotojai tebeturi jūsų prižiūrimų įrenginių su 2022 m. sukurta programine aparatine įranga, kurios priklausomybių medžio niekas neužfiksavo, jį atkurti yra tikras darbas.

Turite stebėti

Terminas pradedamas skaičiuoti nuo sužinojimo, o sužinoti tikimasi aktyviai, ne atsitiktinai. Tai reiškia pažeidžiamumų informacijos srautų stebėjimą, savo komponentų saugumo pranešimų prenumeratą, žinomų išnaudojamų pažeidžiamumų katalogų sekimą ir kanalą, per kurį saugumo tyrėjai gali su jumis susisiekti ir sulaukti atsakymo.

Turite turėti sprendimų priėmimo kelią

Kažkas turi galėti bet kurią paros valandą nuspręsti, ar incidentas pasiekia ribą ir ar terminas jau pradėtas skaičiuoti. Be įvardytos atsakomybės ir eskalavimo kelio pirmosios valandos sueina į aiškinimąsi, kas turi teisę priimti sprendimą.

Nebepalaikomos priklausomybės tampa įsipareigojimu

Jei jūsų produkto komponentas nebegauna saugumo atnaujinimų, jį išnaudojus pranešimo prievolė vis tiek tenka jums, o nurodyti į pirminio šaltinio pataisą negalite. Patikrinti, ar turite nebepalaikomų priklausomybių, yra vienas naudingesnių dalykų, kuriuos verta padaryti dabar, nes atsakymas kartais priverčia migruoti, o migracija turi savo trukmę.

Ką atneš visapusiškas taikymas 2027 m. gruodį

2027 m. gruodžio prievolės yra didesnė programa, ir ją reikia pradėti gerokai anksčiau.

Saugumas pagal projektą ir pagal numatytuosius nustatymus. Produktai turi būti suprojektuoti, sukurti ir pagaminti taip, kad užtikrintų tinkamą, rizika pagrįstą kibernetinio saugumo lygį. Jokių numatytųjų slaptažodžių. Saugi konfigūracija iš karto. Atakos paviršiaus mažinimas. Perduodamų ir saugomų duomenų apsauga.

Pažeidžiamumų valdymas. Dokumentuotas procesas, apimantis nustatymą, ištaisymą, testavimą, platinimą ir atskleidimą. Saugumo atnaujinimai turi būti teikiami nedelsiant ir nemokamai visą palaikymo laikotarpį, atspindintį numatomą produkto naudojimo trukmę; dažnas atskaitos taškas yra penkeri metai.

Programinės įrangos komponentų sąrašas. Kompiuterio skaitomu formatu, apimantis bent aukščiausio lygio priklausomybes ir nuolat atnaujinamas.

Techninė dokumentacija ir atitikties vertinimas. Daugumą produktų gamintojai vertina patys. Svarbiems ir ypatingos svarbos produktams, tarp kurių yra slaptažodžių tvarkytuvės, VPN, operacinės sistemos ir pramoninės valdymo sistemos, reikia trečiosios šalies dalyvavimo.

CE ženklinimas. Fizinio ženklo skaitmeninis atitikmuo, deklaruojantis atitiktį.

Koordinuoto pažeidžiamumų atskleidimo politika. Paskelbta, su veikiančiu kontaktiniu punktu.

Kas iš tikrųjų patenka į taikymo sritį

Keli ribiniai atvejai iškyla nuolat.

Laisvoji ir atvirojo kodo programinė įranga, kuriama ne vykdant komercinę veiklą, iš esmės nepatenka į taikymo sritį. Aktas įveda atvirojo kodo programinės įrangos administratoriaus sąvoką su lengvesnėmis prievolėmis. Tačiau jei atvirąjį kodą komercializuojate arba tiekiate jį parduodamame produkte, produkto prievolės tenka jums.

Programinė įranga kaip paslauga paprastai nepatenka į Kibernetinio atsparumo aktą, jai vietoj to taikoma NIS2, nors nuotolinio duomenų tvarkymo sprendimai, kurie yra neatsiejama produkto su skaitmeniniais elementais dalis, įtraukiami. Jei jūsų įrenginys negali veikti be jūsų debesijos sistemos, ta sistema keliauja kartu su produktu.

Importuotojams ir platintojams taip pat taikomos prievolės. Jei trečiosios šalies produktą pateikiate ES rinkai savo vardu ar prekių ženklu, esate laikomi gamintoju.

Kitur jau reglamentuojami produktai, pavyzdžiui, medicinos prietaisai, automobiliai ir aviacijos įranga, tvarkomi pagal jiems skirtas sistemas.

Taikymo srities klausimai tikrai nėra paprasti, ir tai vieta, kur valanda su teisininku sutaupo mėnesius klaidinga kryptimi nukreipto inžinerinio darbo.

Ką darytume dabar

Jei patenkate į taikymo sritį ir pradedate dabar, veikianti tvarka tokia:

Pirma, susidarykite produktų sąrašą. Ką iš tikrųjų turite ES rinkoje? Įskaitant senas versijas, kuriomis vis dar naudojamasi, baltojo ženklo variantus ir produktus, kuriuos platinate kitų vardu. Šis sąrašas paprastai būna ilgesnis, nei kas nors tikisi.

Antra, įtraukite SBOM generavimą į CI. Generuokite SBOM per kiekvieną surinkimą CycloneDX arba SPDX formatu, saugokite jį kartu su leidimo artefaktu ir palikite galimybę jame ieškoti. Esmė ta, kad paklausę „kuriuose iš mūsų išleistų leidimų yra ši biblioteka?“, atsakymą gautumėte per kelias minutes.

Trečia, prijunkite pažeidžiamumų stebėseną. Perduokite SBOM duomenis skeneriui, kuris stebi saugumo pranešimus ir žinomų išnaudojamų pažeidžiamumų katalogus, o įspėjimus nukreipkite į kanalą, kurį kas nors skaito.

Ketvirta, parašykite incidentų veiksmų planą. Kas skelbia, kas vertina, kas praneša, kas bendrauja. Įvardyti žmonės, jų pavaduotojai ir kontaktai ne darbo valandomis. Tada vieną kartą jį repetuokite su netikru saugumo pranešimu. Per repeticiją ir paaiškėja, kad žmogus, turintis prisijungimo prie pranešimų platformos duomenis, atostogauja.

Penkta, paskelbkite pažeidžiamumų atskleidimo politiką. security.txt failas, stebimas adresas ir nurodytas atsakymo laikas. Tai vienos popietės darbas, ir jis lemia, ar apie problemą sužinosite iš tyrėjo, ar iš žurnalisto.

Šešta, pradėkite 2027 m. gruodžio darbus. Saugūs numatytieji nustatymai, atnaujinimo mechanizmai, sprendimai dėl palaikymo laikotarpio ir dokumentacija yra architektūros klausimai, ne popierizmas. Produktai, kuriuos projektuojate 2026 m., rinkoje tebebus ir 2028 m.

Sąlyčio taškai, kuriais niekas nesinaudoja

Kibernetinio atsparumo aktas ir kitos tvarkos labai dubliuojasi, o dauguma įmonių kiekvieną tvarko atskirai, ir tai švaistymas.

Kibernetinio atsparumo aktui sukurtas SBOM atsako į daugumą tiekimo grandinės klausimų pagal NIS2. Incidentų veiksmų planas sutampa su NIS2 24 valandų išankstiniu įspėjimu ir su BDAR 72 valandų pranešimu apie pažeidimą. Pažeidžiamumų valdymo procesai tiesiogiai praverčia pildant klientų saugumo klausimynus ir dalyvaujant didelių įmonių pirkimuose.

Sukurkite tai vieną kartą kaip platformos gebėjimą. Kitaip trys komandos kurs tris to paties turto sąrašo versijas.

Kur gauti pagalbos

Kuriame ir prižiūrime programinę įrangą įmonėms, parduodančioms ES, o tai vis dažniau reiškia tiekimo grandinės matomumo ir atnaujinimų infrastruktūros, kurią numato Kibernetinio atsparumo aktas, kūrimą. Jei aiškinatės, ar patenkate į taikymo sritį, arba pranešimų prievolė jums jau taikoma, o jūsų komponentų niekas nestebi, rašykite adresu office@c9group.dev.

Dažnai viskas prasideda nuo mūsų senų sistemų priežiūros paslaugos, nes prasčiausią priklausomybių matomumą paprastai turi seniausi produktai. Platesnis reguliavimo vaizdas pateiktas mūsų 2026 m. ES skaitmeninės atitikties vadove.

Esame inžinieriai, ne teisininkai. Sprendimai dėl taikymo srities ir klasifikavimo priklauso jūsų teisininkams, o mes kuriame pagal bet kokį jų atsakymą.