ევროკავშირის კიბერმდგრადობის აქტით 24-საათიანი ვადა ამოქმედდა

მწარმოებელმა აქტიურად გამოყენებული სისუსტის აღმოჩენიდან 24 საათში ადრეული გაფრთხილება უნდა წარადგინოს. უფრო დეტალური შეტყობინების ვადა 72 საათია. იგივე ვადები ციფრული ელემენტების შემცველი პროდუქტების უსაფრთხოებაზე მოქმედ მძიმე ინციდენტებზეც ვრცელდება.

საბოლოო ანგარიშის ვადები განსხვავებულია. სისუსტის აღმოფხვრის ან მისი ზემოქმედების შემამცირებელი ზომის შეთავაზებიდან 14 დღეში მწარმოებელმა საბოლოო ანგარიში უნდა წარადგინოს. მძიმე ინციდენტის შემთხვევაში ვადა პირველი ანგარიშიდან ერთი თვეა.

Netscout-ის უსაფრთხოების ტექნიკურმა დირექტორმა დარენ ენსტიმ განაცხადა, რომ ეს ვადები გლობალური კიბერმდგრადობის მისაღწევად საჭირო გადაუდებლობას ქმნის. მან თქვა: „ინფორმაციის უკეთ და უფრო სწრაფად გაზიარება ორგანიზაციებს თავდაცვითი და შემარბილებელი ზომების დანერგვაში ეხმარება, როდესაც გაზრდილი რისკის შესახებ იციან“.

ევროკავშირში და მის ფარგლებს გარეთ დაფუძნებულმა მწარმოებლებმა ანგარიშები ევროკავშირის კიბერუსაფრთხოების სააგენტოს (ENISA) ერთიანი შეტყობინების პლატფორმით (Single Reporting Platform, SRP) უნდა წარადგინონ. შეტყობინებას აქტის საფუძველზე განსაზღვრული, კომპიუტერული უსაფრთხოების ინციდენტებზე რეაგირების საკოორდინაციო ჯგუფი მიიღებს. ევროკავშირის მწარმოებლისთვის ეს, როგორც წესი, მისი მთავარი დაწესებულების წევრი სახელმწიფოს ჯგუფია. ბლოკის გარეთ დაფუძნებული მწარმოებლებისთვის ცალკე წესები მოქმედებს.

საჭიროების შემთხვევაში მწარმოებლებმა დაზარალებულ მომხმარებლებსაც უნდა აცნობონ გამოყენებული სისუსტეების ან მძიმე ინციდენტების შესახებ. მათ ხელმისაწვდომი შესწორებებისა და შემარბილებელი ზომების შესახებ გაუმართლებელი დაყოვნების გარეშე უნდა შეატყობინონ.

აქტის დარღვევა სხვადასხვა ოდენობის ჯარიმით ისჯება. ყველაზე მძიმე ჯარიმა 15 მილიონ ევროს (17,4 მილიონ დოლარს) ან დამრღვევის წლიური ბრუნვის 2,5%-ს აღწევს, იმის მიხედვით, რომელი თანხაა მეტი. დღეს ამოქმედებული ვალდებულებები ძირითად პასუხისმგებლობებადაა კლასიფიცირებული, ამიტომ მათი დარღვევა მაქსიმალურ ჯარიმას შეიძლება დაექვემდებაროს.

აქტის დარჩენილი დებულებების უმეტესობა 2027 წლის 11 დეკემბერს ამოქმედდება. მწარმოებლებს უსაფრთხოების პროექტირებისა და ნაგულისხმევი პარამეტრების ეტაპზევე დანერგვა მოეთხოვებათ. ნაგულისხმევი პაროლები აღარ დაიშვება, უსაფრთხოების განახლებები კი სავალდებულო გახდება. ბაზარზე განთავსებამდე პროდუქტებმა შესაბამისობის შეფასებაც უნდა გაიარონ და CE ნიშანი მიიღონ.

წესები მწარმოებლების რეაგირების დაჩქარებასთან ერთად კომპანიებისთვის პროგრამული უზრუნველყოფის მიწოდების ჯაჭვის უკეთ გაცნობასაც ემსახურება. შეტყობინების ვადა პრობლემის აღმოჩენისთანავე იწყება. ამიტომ ინციდენტის შემდეგ დაზარალებული პროდუქტის შესწავლა საკმარისი არ იქნება. მწარმოებლებს პროდუქტისა და იმ დაკავშირებული პროდუქტების სრული სურათი სჭირდებათ, რომლებიც შესაძლოა იმავე სისუსტეს შეიცავდეს. ეს ინფორმაცია პროდუქტის მთელი სასიცოცხლო ციკლის განმავლობაში უნდა განახლდეს.