Nuo rugsėjo 11 d. Europos Sąjungoje įsigaliojo svarbi Kibernetinio atsparumo akto (CRA) dalis: skaitmeninių produktų gamintojams jau taikomos privalomos kibernetinio saugumo pranešimų taisyklės.
Gamintojai, sužinoję apie aktyviai išnaudojamą jų produkto pažeidžiamumą arba didelį saugumo incidentą, turi pateikti ankstyvąjį perspėjimą per 24 valandas, o išsamesnį pranešimą – per 72 valandas.
Tam ENISA pradėjo eksploatuoti bendrą CRA pranešimų platformą (Single Reporting Platform). Jos principas paprastas: organizacijai pakanka pateikti informaciją vienoje sistemoje, o ne atskirai informuoti kelias nacionalines institucijas.
Kodėl tai aktualu verslui? CRA apima produktus su skaitmeniniais elementais, todėl naujos pareigos svarbios ne vien tradicinės techninės įrangos gamintojams. Programinę įrangą ar kitus į ES rinką tiekiamus skaitmeninius produktus kuriančioms įmonėms verta jau dabar įsitikinti, kad incidentų valdymo procesai leidžia pažeidžiamumą įvertinti ir apie jį pranešti per nustatytus terminus.
Svarbu ir tai, kad visas CRA reikalavimų paketas bus pradėtas taikyti nuo 2027 m. gruodžio 11 d., tačiau pranešimo pareigos gamintojams galioja jau nuo 2026 m. rugsėjo 11 d.
Praktinis žingsnis organizacijoms – aiškiai nustatyti, kas įmonėje atsakingas už pažeidžiamumų registravimą, jų eskalavimą ir CRA pranešimų pateikimą. Kibernetinio incidento metu 24 valandos gali praeiti labai greitai.
Daugiau informacijos: https://www.enisa.europa.eu/news/the-cra-single-reporting-platform-is-launched
Europos Komisijos informacija lietuvių kalba: https://digital-strategy.ec.europa.eu/lt/policies/cra-reporting