Nuo rugsėjo 11 d. Europos Sąjungoje pradėta taikyti svarbi Kibernetinio atsparumo akto (Cyber Resilience Act, CRA) dalis – skaitmeninių produktų gamintojai privalo pranešti apie aktyviai išnaudojamas pažeidžiamumo spragas ir rimtus saugumo incidentus, turinčius įtakos jų produktų saugumui.
Pranešimams ENISA pradėjo eksploatuoti bendrą CRA pranešimų platformą (Single Reporting Platform). Tai reiškia, kad gamintojui nereikia atskirai informuoti kelių nacionalinių institucijų – pranešimas pateikiamas per vieną ES sistemą.
Terminai gana trumpi: apie nustatytą aktyviai išnaudojamą pažeidžiamumą ar rimtą incidentą pirmasis perspėjimas turi būti pateiktas per 24 valandas nuo tada, kai gamintojas apie jį sužino, o išsamesnis pranešimas – per 72 valandas.
Kodėl tai svarbu verslui? CRA apima produktus su skaitmeniniais elementais – programinę ir techninę įrangą, patenkančią į reglamento taikymo sritį. Todėl gamintojams jau dabar svarbu turėti ne tik pažeidžiamumų valdymo procesą, bet ir aiškią vidinę tvarką, kas organizacijoje vertina incidentą, kas priima sprendimą dėl pranešimo ir kas jį pateikia ENISA platformoje.
Praktinis žingsnis IT ir saugumo komandoms – patikrinti, ar organizacijos produktai patenka į CRA taikymo sritį, paskirti atsakingus asmenis ir įsitikinti, kad 24 bei 72 valandų terminai yra įtraukti į incidentų valdymo procedūras.
Šaltinis: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
ENISA platformos informacija: https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp