Kibernoturības akts: ziņošanas pienākums ir spēkā kopš 2026. gada 11. septembra

Lielākā daļa ES regulu dod atbilstības datumu un pārejas periodu, kura laikā visi klusām sakārto savas lietas. Kibernoturības akts rīkojas citādi. Tā pirmais stingrais pienākums ir 24 stundu ziņošanas termiņš, un tas ir spēkā kopš 2026. gada 11. septembra.

24 stundu termiņu nevar ieviest pakāpeniski. Vai nu process ir izveidots brīdī, kad parādās izmantota ievainojamība, vai jūs termiņu nokavējat.

Kas ir Kibernoturības akts

Regula (ES) 2024/2847 nosaka kiberdrošības prasības produktiem ar digitāliem elementiem, kas tiek laisti ES tirgū. Šis jēdziens aptver daudz vairāk, nekā sākotnēji pieņem: jebkuru programmatūras vai aparatūras produktu un tā attālinātās datu apstrādes risinājumus, kura paredzētais vai saprātīgi paredzamais lietojums ietver tiešu vai netiešu datu savienojumu.

Tvērumā ir pieslēgtās ierīces. Tāpat arī lielākā daļa komerciālās programmatūras, operētājsistēmas, pārlūkprogrammas, mobilās lietotnes, programmaparatūra un komponenti citu produktu iekšienē.

Akts tika publicēts 2024. gada novembrī, un to piemēro posmos:

• 2026. gada 11. jūnijs: pienākumi atbilstības novērtēšanas struktūrām.
• 2026. gada 11. septembris: pienākums ziņot par aktīvi izmantotām ievainojamībām un smagiem incidentiem.
• 2027. gada 11. decembris: pilna piemērošana, ieskaitot būtiskās kiberdrošības prasības, CE zīmi, tehnisko dokumentāciju un programmatūras materiālu sarakstu.

Vidējais datums jau ir spēkā, un tas ir atkarīgs no spējām, kuru jums var nebūt.

Kas ir spēkā kopš 2026. gada 11. septembra

Kopš šī datuma ražotājiem ir jāziņo par:

aktīvi izmantotām ievainojamībām savos produktos ar digitāliem elementiem un

smagiem incidentiem, kas ietekmē šo produktu drošību.

Ziņojumi tiek iesniegti caur ENISA uzturēto Kibernoturības akta vienoto ziņošanas platformu tai datordrošības incidentu reaģēšanas vienībai (CSIRT), kas izraudzīta dalībvalstī, kurā atrodas ražotāja galvenā uzņēmējdarbības vieta, un tā informāciju tālāk nodod citām skartajām CSIRT un ENISA. ENISA pirmo platformas versiju palaida 2026. gada 11. septembrī, dienā, kad sākās pienākums, un norāda, ka tuvāko mēnešu laikā pievienos funkcijas.

Termiņi:

• 24 stundu laikā pēc tam, kad tas kļuvis zināms: agrīns brīdinājums.
• 72 stundu laikā: pilns paziņojums, ieskaitot veiktos korektīvos vai mazināšanas pasākumus.
• 14 dienu laikā pēc tam, kad pieejams korektīvs pasākums: noslēguma ziņojums par aktīvi izmantotu ievainojamību.
• Viena mēneša laikā: noslēguma ziņojums par smagu incidentu.

Divdesmit četras stundas no brīža, kad tas kļuvis zināms, nevis no apstiprināšanas un nevis no novēršanas. Ja ievainojamība kādā jūsu produkta komponentā sestdien tiek izmantota reālos uzbrukumos, termiņš sāk skaitīties sestdien.

Kāpēc tas ir grūtāk, nekā izskatās

Pats ziņošanas pienākums ir veidlapas iesniegšana. Grūtības slēpjas visā, kam jābūt gatavam, pirms to varat aizpildīt.

Jums jāzina, kas ir jūsu produktā

Lai ziņotu, ka ievainojamība jūsu produktā tiek aktīvi izmantota, jums jāzina, ka ievainojamais komponents ir jūsu produktā. Mūsdienu lietotnei ar simtiem tranzitīvu atkarību uz to cilvēks no galvas atbildēt nevar.

Tāpēc komandas jau tagad, vairāk nekā gadu pirms formālās SBOM prasības 2027. gada decembrī, izveido programmatūras materiālu saraksta (SBOM) ģenerēšanas procesus. SBOM nav mērķis. Mērķis ir dažu stundu laikā spēt atbildēt uz jautājumu „vai tas skar mūs?“, un SBOM ir tas, kas ļauj uz to atbildēt.

Neērtākais ir tas, ka tas attiecas arī uz produktiem, ko piegādājāt pirms gadiem. Ja jums lietošanā ir atbalstītas ierīces ar programmaparatūru, kas 2022. gadā būvēta no atkarību koka, ko neviens nepierakstīja, tā rekonstruēšana ir reāls darbs.

Jums jāuzrauga

Termiņu iedarbina brīdis, kad tas kļuvis zināms, un tiek sagaidīts, ka uzzināšana būs aktīva, nevis nejauša. Tas nozīmē ievainojamību plūsmu uzraudzību, abonētus drošības paziņojumus par jūsu komponentiem, zināmu izmantotu ievainojamību katalogu sekošanu un kanālu, pa kuru drošības pētnieki var ar jums sazināties un saņemt atbildi.

Jums vajadzīgs lēmumu pieņemšanas ceļš

Kādam jebkurā diennakts laikā jāspēj izlemt, vai incidents sasniedz slieksni un vai termiņš ir sācies. Bez nosauktas lomas un eskalācijas ceļa pirmās stundas aiziet, noskaidrojot, kam ir tiesības pieņemt lēmumu.

Atkarības, kuru atbalsts beidzies, kļūst par risku

Ja kāds jūsu produkta komponents vairs nesaņem drošības atjauninājumus, jums tik un tā ir ziņošanas pienākums, kad to izmanto uzbrukumā, un jums nav augšupējā labojuma, uz kuru norādīt. Atkarību pārbaude, vai to atbalsts nav beidzies, ir viena no noderīgākajām lietām, ko darīt tagad, jo atbilde dažkārt liek veikt migrāciju, kurai ir savs sagatavošanās laiks.

Ko nesīs pilna piemērošana 2027. gada decembrī

2027. gada decembra pienākumi ir lielākā programma, un tā jāsāk krietni pirms tam.

Drošs pēc projekta un pēc noklusējuma. Produkti jāprojektē, jāizstrādā un jāražo tā, lai, ņemot vērā riskus, nodrošinātu atbilstošu kiberdrošības līmeni. Nekādu noklusējuma paroļu. Droša konfigurācija jau no paša sākuma. Uzbrukuma virsmas minimizēšana. Datu aizsardzība pārsūtīšanas laikā un glabāšanā.

Ievainojamību apstrāde. Dokumentēts process, kas aptver identificēšanu, novēršanu, testēšanu, izplatīšanu un atklāšanu. Drošības atjauninājumi jānodrošina bez kavēšanās un bez maksas atbalsta periodā, kas atbilst paredzamajam produkta kalpošanas laikam, un kā ierasts atskaites punkts tiek minēti pieci gadi.

Programmatūras materiālu saraksts. Mašīnlasāmā formātā, aptverot vismaz augstākā līmeņa atkarības, un uzturēts aktuāls.

Tehniskā dokumentācija un atbilstības novērtēšana. Lielākā daļa produktu tiek novērtēti pašu spēkiem. Svarīgām un kritiskām kategorijām, kurās ietilpst, piemēram, paroļu pārvaldnieki, VPN, operētājsistēmas un rūpnieciskās vadības sistēmas, vajadzīga trešās personas iesaiste.

CE zīme. Fiziskās zīmes digitālais ekvivalents, kas apliecina atbilstību.

Koordinētas ievainojamību atklāšanas politika. Publicēta, ar kontaktpunktu, kas darbojas.

Kas patiesībā ir tvērumā

Daži robežgadījumi parādās nemitīgi.

Bezmaksas un atvērtā pirmkoda programmatūra, kas izstrādāta ārpus komercdarbības, lielākoties ir ārpus tvēruma. Akts ievieš atvērtā pirmkoda programmatūras pārvaldnieka jēdzienu ar vieglākiem pienākumiem. Bet, ja jūs atvērto pirmkodu komercializējat vai piegādājat to produkta sastāvā, ko pārdodat, produkta pienākumi ir jūsu.

Programmatūra kā pakalpojums parasti ir ārpus Kibernoturības akta un tā vietā ietilpst NIS2 tvērumā, lai gan attālinātās datu apstrādes risinājumi, kas ir neatņemama produkta ar digitāliem elementiem daļa, tiek ievilkti tvērumā. Ja jūsu ierīce bez jūsu mākoņa aizmugursistēmas nedarbojas, šī aizmugursistēma ceļo kopā ar produktu.

Importētājiem un izplatītājiem arī ir pienākumi. Ja trešās personas produktu laižat ES tirgū ar savu nosaukumu vai preču zīmi, jūs uzskata par ražotāju.

Produkti, kas jau regulēti citur, piemēram, medicīniskās ierīces, automobiļi un aviācijas iekārtas, tiek regulēti saskaņā ar saviem satvariem.

Tvēruma jautājumi patiešām nav triviāli, un šī ir vieta, kur stunda ar juriskonsultu ietaupa mēnešus nepareizi virzīta inženiertehniskā darba.

Ko mēs darītu tagad

Ja esat tvērumā un sākat tagad, darbojas šāda secība:

Pirmkārt, izveidojiet produktu uzskaiti. Kas jums patiesībā ir ES tirgū? Ieskaitot vecas versijas, kas joprojām tiek lietotas, produktus ar citu zīmolu un produktus, ko izplatāt kāda cita vārdā. Šis saraksts parasti ir garāks, nekā kāds gaida.

Otrkārt, iebūvējiet SBOM ģenerēšanu CI. Ģenerējiet SBOM katrā būvējumā CycloneDX vai SPDX formātā, glabājiet to kopā ar laidiena artefaktu un nodrošiniet, ka to var vaicāt. Jēga ir spēt pajautāt „kurā no mūsu piegādātajiem laidieniem ir šī bibliotēka?“ un saņemt atbildi dažās minūtēs.

Treškārt, pieslēdziet ievainojamību uzraudzību. Padodiet SBOM datus skenerim, kas seko drošības paziņojumiem un zināmu izmantotu ievainojamību katalogiem, un novirziet brīdinājumus uz kanālu, ko kāds lasa.

Ceturtkārt, uzrakstiet incidentu rokasgrāmatu. Kas izsludina, kas novērtē, kas ziņo, kas komunicē. Nosauktas personas, aizvietotāji un kontakti ārpus darba laika. Tad vienu reizi izmēģiniet to ar viltus drošības paziņojumu. Izmēģinājumā jūs uzzināsiet, ka persona, kurai ir ziņošanas platformas piekļuves dati, ir atvaļinājumā.

Piektkārt, publicējiet ievainojamību atklāšanas politiku. security.txt fails, uzraudzīta adrese un norādīts atbildes laiks. Tas ir vienas pēcpusdienas darbs, un tas ir atšķirība starp to, vai par problēmu uzzināt no pētnieka vai no žurnālista.

Sestkārt, sāciet 2027. gada decembra darbu. Droši noklusējuma iestatījumi, atjaunināšanas mehānismi, lēmumi par atbalsta periodu un dokumentācija ir arhitektūras jautājumi, nevis papīru darbs. Produkti, ko projektējat 2026. gadā, 2028. gadā joprojām būs tirgū.

Pārklāšanās, ko neviens neizmanto

Kibernoturības akts un citi režīmi ievērojami dublējas, un lielākā daļa uzņēmumu katru risina atsevišķi, kas ir izšķērdīgi.

Kibernoturības aktam izveidots SBOM atbild uz lielāko daļu piegādes ķēdes jautājumu NIS2 ietvaros. Incidentu rokasgrāmata pārklājas ar NIS2 24 stundu agrīno brīdinājumu un VDAR 72 stundu paziņojumu par datu aizsardzības pārkāpumu. Ievainojamību apstrādes procesi tieši noder klientu drošības anketām un lielo uzņēmumu iepirkumiem.

Izveidojiet tos vienreiz kā platformas spēju. Alternatīva ir trīs komandas, kas būvē trīs viena un tā paša aktīvu saraksta versijas.

Kur saņemt palīdzību

Mēs izstrādājam un uzturam programmatūru uzņēmumiem, kas pārdod ES tirgū, un arvien biežāk tas nozīmē izveidot piegādes ķēdes pārredzamību un atjaunināšanas infrastruktūru, ko Kibernoturības akts pieņem kā pašsaprotamu. Ja noskaidrojat, vai esat tvērumā, vai ziņošanas pienākums uz jums jau attiecas, bet neviens neuzrauga jūsu komponentus, sazinieties ar mums: office@c9group.dev.

Bieži tas sākas ar mūsu mantoto sistēmu uzturēšanas pakalpojumu, jo produkti ar vissliktāko atkarību pārredzamību parasti ir vecākie. Plašāka regulējuma aina ir mūsu ceļvedī par ES digitālo atbilstību 2026. gadā.

Mēs esam inženieri, nevis juristi. Lēmumi par tvērumu un klasifikāciju ir jūsu juriskonsulta ziņā, un mēs izstrādājam atbilstoši jebkurai atbildei, ko viņš sniedz.