No 11. septembra ražotājam ir 24 stundas, lai paziņotu par ievainojamību, kuru uzbrucēji jau izmanto. Termiņu nosaka ES Kibernoturības akta 14. pants. Tas sāk darboties gadu un trīs mēnešus pirms pārējās regulas.
Regula skar plašu loku. Produkts ar digitāliem elementiem ir gan maršrutētājs vai viedpulkstenis, gan atsevišķi pārdota programmatūra. Kibernoturības akts stājās spēkā 2024. gada 10. decembrī. Lielākā daļa prasību par produktu drošību, atbalsta periodiem un CE marķējumu sāksies tikai 2027. gada 11. decembrī. Ziņošanas pienākumam noteikts agrāks datums. Tas attiecas arī uz produktiem, kas ES tirgū nonāca jau pirms regulas pieņemšanas.
Trīs termiņi vienam notikumam
Pienākums iedarbojas divos gadījumos: ja ievainojamība produktā tiek aktīvi izmantota uzbrukumos vai ja noticis smags incidents, kas ietekmē produkta drošību. Tālāk sākas skaitītājs.
Pirmais brīdinājums jāiesniedz 24 stundu laikā pēc tam, kad ražotājs par notikušo uzzinājis. Nākamais solis ir paziņojums 72 stundu laikā ar sākotnējo novērtējumu un aprakstu, kas jau izdarīts. Galaziņojums par ievainojamību jāiesniedz 14 dienu laikā pēc tam, kad pieejams labojums vai apiešanas risinājums. Smagam incidentam galaziņojuma termiņš ir viens mēnesis pēc 72 stundu paziņojuma. Termiņus uzskaita Eiropas Komisijas lapa par ziņošanas pienākumu.
No 2026. gada 11. septembra ražotājiem ir jāziņo par aktīvi izmantotām ievainojamībām un smagiem incidentiem, kas ietekmē produktu ar digitāliem elementiem drošību. Tā to formulē Eiropas Komisija.
Viena platforma 27 valstu vietā
Ziņojumus pieņems ENISA veidotā vienotā ziņošanas platforma. Ražotājs iesniedz vienu paziņojumu, nevis raksta katras dalībvalsts iestādei atsevišķi. Ziņotājs izvēlas savu CSIRT pēc galvenās uzņēmējdarbības vietas. Latvijā tā ir CERT.LV. Saņēmējs pēc tam izplata informāciju pārējo dalībvalstu CSIRT un tirgus uzraudzības iestādēm. Izņēmuma apstākļos drošības apsvērumu dēļ izplatīšanu var aizkavēt.
Platformas tehniskā puse ir pieticīga. Pieteikšanās notiek ar EU Login kontu un divu faktoru autentifikāciju. ENISA iesaka reģistrēt konkrētu cilvēku kontus. Kopīgas funkcionālās pastkastes neder. Startā nav API. Formas jāaizpilda ar roku. Vienīgā pieejamā valoda ir angļu. Trijos ziņošanas posmos kopā ir vairāk nekā 25 lauki. Nevalidēts lietotājs var iesniegt līdz 20 paziņojumiem, pēc tam CSIRT apstiprinājums kļūst obligāts. Nosacījumus ENISA apraksta platformas biežāk uzdoto jautājumu sadaļā.
Naudas sodi un atvērtais kods
Par 13. un 14. panta pārkāpumiem regulas 64. pants paredz administratīvo naudas sodu līdz 15 miljoniem eiro vai 2,5 % no uzņēmuma pasaules apgrozījuma iepriekšējā gadā. Piemēro to summu, kura ir lielāka. Pārējiem pienākumiem griesti ir 10 miljoni eiro vai 2 %. Tirgus uzraudzības iestādes var arī pieprasīt produkta izņemšanu no tirgus.
Atvērtā koda uzturētājiem regula nošķir divas lomas. Nekomerciāla atvērtā koda projekts paliek ārpus regulas darbības jomas. Atvērtā koda pārvaldītājam, tas ir, fondam vai organizācijai, kas atbalsta komerciāli izmantotu programmatūru, 24. pants uzliek kiberdrošības politikas prasību, sadarbību ar tirgus uzraudzības iestādēm un to pašu ziņošanas pienākumu no 11. septembra. Administratīvos naudas sodus pārvaldītājiem 64. panta 10. punkts nepiemēro.
Uz produktu, kurā komerciāls ražotājs iebūvējis atvērtā koda bibliotēku, ziņošanas pienākums attiecas parastajā kārtībā. Ziņo tas, kurš produktu laiž tirgū.
Kāpēc termiņš sāp
Black Duck 2026. gada OSSRA pārskats saskaitīja vidēji 581 ievainojamību uz vienu auditēto kodu bāzi. Gadu iepriekš skaitlis bija uz pusi mazāks, pieaugums ir 107 %. Vismaz viena ievainojamība atrasta 87 % auditēto kodu bāzu, kritiska riska ievainojamība 44 %. Komponentu skaits vienā kodu bāzē gada laikā pieaudzis par 30 %. Datus publicējis Black Duck savā emuārā.
Slodze gulstas arī uz saņēmēju pusi. CERT.LV šā gada otrajā ceturksnī manuāli apstrādāja 673 kiberincidentus, par 20 % mazāk nekā ceturksni iepriekš. Tajā pašā laikā DNS ugunsmūris bloķēja vairāk nekā 5 miljonus mēģinājumu atvērt ļaunprātīgas vietnes, 6,5 reizes vairāk nekā gadu iepriekš. Jūnijā bloķēto mēģinājumu skaits sasniedza 1,1 miljonu. Skaitļi ir CERT.LV ceturkšņa pārskatā. Ražotāju paziņojumi par aktīvi izmantotām ievainojamībām šai plūsmai pienāks klāt.
Praktiskā problēma ir 24 stundu skaitītājs. Tas sākas brīdī, kad uzņēmums uzzina par aktīvu izmantošanu. Uzzināt var atbalsta dienests piektdienas vakarā, izstrādātājs no sveša kļūdu ziņojuma vai klients pa tālruni. Ja uzņēmumā nav noteikts, kurš pieņem lēmumu par ziņošanu, 24 stundas paiet sarakstē.
Kas jāizdara līdz nākamajai nedēļai
- Noskaidrot, kurš CSIRT saņems ziņojumu. Latvijā reģistrētam uzņēmumam tā ir CERT.LV.
- Izveidot EU Login kontus ar divu faktoru autentifikāciju tiem cilvēkiem, kuri iesniegs paziņojumus.
- Pierakstīt, kurš uzņēmumā izlemj, ka ievainojamība tiek aktīvi izmantota. Bez šī lēmuma skaitītājs neapstājas.
- Sagatavot atbildes uz platformas laukiem iepriekš: produkta versijas, skartās sistēmas, sākotnējais smaguma novērtējums.
- Pārskatīt vecos produktus, kuri joprojām ir ES tirgū. Uz tiem ziņošanas pienākums attiecas tāpat.
ENISA lietotāju rokasgrāmatas pilnvarotajiem pārstāvjiem pēdējoreiz atjaunināja šā gada augustā. Pati platforma līdz 11. septembrim publiski atvērta nav.
Komentāri
Šim rakstam vēl nav komentāru. Esi pirmais, kurš dalās ar savu viedokli.