ევროკავშირის კიბერმდგრადობის აქტით 24-საათიანი ვადა ამოქმედდა

ევროკავშირში ციფრული ელემენტების შემცველი პროდუქტების გამყიდველმა მწარმოებლებმა კიბერუსაფრთხოების უწყებებს გამოყენებული სისუსტეების შესახებ უნდა აცნობონ. კიბერმდგრადობის აქტის (Cyber Resilience Act, CRA) მე-14 მუხლით განსაზღვრული სავალდებულო შეტყობინების წესები დღეს ამოქმედდა. გამონაკლისების გარდა, წესები ყველა ასეთ მწარმოებელს ეხება, მიუხედავად მისი ადგილმდებარეობისა.

მწარმოებელმა აქტიურად გამოყენებული სისუსტის აღმოჩენიდან 24 საათში ადრეული გაფრთხილება უნდა წარადგინოს. უფრო დეტალური შეტყობინების ვადა 72 საათია. იგივე ვადები ციფრული ელემენტების შემცველი პროდუქტების უსაფრთხოებაზე მოქმედ მძიმე ინციდენტებზეც ვრცელდება.

საბოლოო ანგარიშის ვადები განსხვავებულია. სისუსტის აღმოფხვრის ან მისი ზემოქმედების შემამცირებელი ზომის შეთავაზებიდან 14 დღეში მწარმოებელმა საბოლოო ანგარიში უნდა წარადგინოს. მძიმე ინციდენტის შემთხვევაში ვადა პირველი ანგარიშიდან ერთი თვეა.

Netscout-ის უსაფრთხოების ტექნიკურმა დირექტორმა დარენ ენსტიმ განაცხადა, რომ ეს ვადები გლობალური კიბერმდგრადობის მისაღწევად საჭირო გადაუდებლობას ქმნის. მან თქვა: „ინფორმაციის უკეთ და უფრო სწრაფად გაზიარება ორგანიზაციებს თავდაცვითი და შემარბილებელი ზომების დანერგვაში ეხმარება, როდესაც გაზრდილი რისკის შესახებ იციან“.

ევროკავშირში და მის ფარგლებს გარეთ დაფუძნებულმა მწარმოებლებმა ანგარიშები ევროკავშირის კიბერუსაფრთხოების სააგენტოს (ENISA) ერთიანი შეტყობინების პლატფორმით (Single Reporting Platform, SRP) უნდა წარადგინონ. შეტყობინებას აქტის საფუძველზე განსაზღვრული, კომპიუტერული უსაფრთხოების ინციდენტებზე რეაგირების საკოორდინაციო ჯგუფი მიიღებს. ევროკავშირის მწარმოებლისთვის ეს, როგორც წესი, მისი მთავარი დაწესებულების წევრი სახელმწიფოს ჯგუფია. ბლოკის გარეთ დაფუძნებული მწარმოებლებისთვის ცალკე წესები მოქმედებს.

საჭიროების შემთხვევაში მწარმოებლებმა დაზარალებულ მომხმარებლებსაც უნდა აცნობონ გამოყენებული სისუსტეების ან მძიმე ინციდენტების შესახებ. მათ ხელმისაწვდომი შესწორებებისა და შემარბილებელი ზომების შესახებ გაუმართლებელი დაყოვნების გარეშე უნდა შეატყობინონ.

აქტის დარღვევა სხვადასხვა ოდენობის ჯარიმით ისჯება. ყველაზე მძიმე ჯარიმა 15 მილიონ ევროს (17,4 მილიონ დოლარს) ან დამრღვევის წლიური ბრუნვის 2,5%-ს აღწევს, იმის მიხედვით, რომელი თანხაა მეტი. დღეს ამოქმედებული ვალდებულებები ძირითად პასუხისმგებლობებადაა კლასიფიცირებული, ამიტომ მათი დარღვევა მაქსიმალურ ჯარიმას შეიძლება დაექვემდებაროს.

აქტის დარჩენილი დებულებების უმეტესობა 2027 წლის 11 დეკემბერს ამოქმედდება. მწარმოებლებს უსაფრთხოების პროექტირებისა და ნაგულისხმევი პარამეტრების ეტაპზევე დანერგვა მოეთხოვებათ. ნაგულისხმევი პაროლები აღარ დაიშვება, უსაფრთხოების განახლებები კი სავალდებულო გახდება. ბაზარზე განთავსებამდე პროდუქტებმა შესაბამისობის შეფასებაც უნდა გაიარონ და CE ნიშანი მიიღონ.