تقرير عن الثغرات خلال 24 ساعة (المادة 14 من CRA)

• Regulation (EU) 2024/2847 — Cyber Resilience Act, Article 14
• Directive (EU) 2022/2555 — NIS2, for entities also in its scope
• Regulation (EU) 2016/679 — GDPR Article 33, where personal data is affected

من يجب أن يعيّن

كل شركة مصنعة لمنتج يحتوي على عناصر رقمية تم طرحه في السوق الأوروبية، اعتبارًا من 11 سبتمبر 2026، بغض النظر عن الحجم أو القطاع. تقع المسؤولية على عاتق الشركة المصنعة، وليس المستورد أو الموزع، ولكن الشركة المصنعة خارج الاتحاد ستقوم عادةً بتفريغها من خلال ممثلها المعتمد أو مكتب يعمل بناءً على تعليماتها. يتحمل القائمون على المصادر المفتوحة واجبًا أخف، منفصل.

الحدود والإعفاءات

لا يوجد حد أدنى للحجم. ما يحفز الالتزام هو واقعي: ثغرة في منتجك يتم استغلالها بنشاط، أو حادث خطير يؤثر على أمان المنتج. 'يتم استغلاله بنشاط' يعني أن هناك دليل موثوق على أن شخصًا ما قد نفذ كودًا أو أثر على المنتج دون إذن. الشك ليس هو المحفز، ولكن المعيار هو الوعي بالأدلة، وليس تأكيد الصورة الكاملة.

ما يجب أن يظهر على الملصق

ليس هناك التزام بالوسم. ما يجب نشره هو نقطة اتصال واحدة للإبلاغ عن الثغرات، سهلة العثور عليها على موقعك الإلكتروني، جنبًا إلى جنب مع سياسة إفصاح منسقة عن الثغرات تحدد كيفية استلام التقارير، وتصنيفها، والرد عليها.

حقول المنصات

غير قابل للتطبيق كحقل سوق. يظهر بدلاً من ذلك في استبيانات الشراء المؤسسي والأمان، حيث يسأل المشترون الآن عن نقطة الاتصال الخاصة بالثغرات، وسياسة الإفصاح، وأدلة على وجود عملية للإبلاغ قبل التوقيع.

المستندات الواجب الاحتفاظ بها

إجراء داخلي للتعامل يحدد من يعلن عن الوعي، من يقوم بالصياغة، من يوافق ومن يقوم بالتسجيل، مع نائب مسمى لساعات العمل خارج الدوام. سجل للثغرات مع طوابع زمنية لكل مرحلة. سياسة الإفصاح المنسقة عن الثغرات. دليل على التدبير التصحيحي وتاريخ توفره. سجلات إشعارات المستخدمين، حيث تتطلب المادة 14 أيضًا إبلاغ المستخدمين المتأثرين بالحادث، وحيثما كان ذلك ضروريًا، عن التدابير التصحيحية التي يجب عليهم تطبيقها.

المعايير والاختبارات

غير قابل للتطبيق. ما يتم فحصه بعد الواقعة هو الجدول الزمني: متى أصبحت الشركة المصنعة على علم، متى تم تقديم التحذير المبكر، وما إذا تم الالتزام بالفترات الزمنية.

المتطلبات اللغوية

يتم تقديم التقارير من خلال منصة الإبلاغ الموحدة، التي تقبل اللغة الإنجليزية. يمكن إجراء الاتصالات مع CSIRT الوطني باللغة الخاصة بتلك الدولة العضو، ويجب أن تكون إشعارات المستخدمين باللغة الخاصة بالمستخدمين المعنيين.

متى ينطبق

ثلاث مواعيد نهائية، جميعها تبدأ من الوعي بدلاً من التأكيد. تحذير مبكر خلال 24 ساعة، يقول إن هناك ثغرة يتم استغلالها بنشاط أو حادث خطير، سواء كانت الدول الأعضاء الأخرى متأثرة، وحتى بدون تفاصيل كاملة، يكفي لـ CSIRT للتحرك. إشعار بالثغرة أو الحادث خلال 72 ساعة، مع معلومات عامة عن المنتج، وطبيعة الاستغلال وأي تدابير تصحيحية تم اتخاذها أو نصح بها. تقرير نهائي خلال 14 يومًا من توفر التدبير التصحيحي، أو خلال شهر واحد من إشعار الـ 72 ساعة لحادث خطير، يصف الثغرة، شدتها، الاستغلال والإصلاح.

مدة حفظ المستندات

سجل الثغرات، والإشعارات المقدمة وطوابعها الزمنية، لمدة فترة الدعم على الأقل. هذه هي الأدلة التي تحدد قضية التنفيذ، لأن السؤال سيكون متى كنت تعرف.

عند عدم الامتثال

حتى 15 مليون يورو أو 2.5% من إجمالي الإيرادات السنوية العالمية للشركة المصنعة بسبب انتهاك التزامات الشركة المصنعة، والتي تشمل المادة 14. التعرض غير عادي لأنه لا يعتمد على كون الثغرة نفسها خطأك: اعتماد لم تكتبه، تم استغلاله في البرية، لا يزال يبدأ الساعة لمدة 24 ساعة. يمكن للسلطات أيضًا أن تأمر بسحب المنتج بينما لا يزال المشكلة غير محلولة.

من ينفّذ

CSIRT المعين كمنسق في الدولة العضو لمؤسستك الرئيسية، أو حيث لا يوجد لديك أي في الاتحاد، المعين لممثلها المعتمد. تتلقى ENISA الإشعارات بالتوازي من خلال منصة الإبلاغ الموحدة. تفرض سلطات مراقبة السوق.

أين يقع الحد الفاصل

هذا الالتزام يبدأ قبل أكثر من عام من بقية CRA، وهذه الفجوة هي ما يفوت معظم الشركات المصنعة. إنه يتماشى مع تقارير NIS2، التي لها مواعيد نهائية مماثلة ولكن محفز مختلف - حادث يؤثر على خدمتك ككيان، بدلاً من ثغرة في منتج تبيعه - ومع إشعار انتهاك المادة 33 من GDPR حيث تتعلق البيانات الشخصية. يمكن أن يتطلب حدث واحد جميع الثلاثة، لثلاث سلطات مختلفة، على ثلاث أسس قانونية مختلفة.

أسئلة تُطرح علينا

من يقرر ما إذا كانت الثغرة يتم استغلالها بنشاط؟

أنت، بناءً على الأدلة التي لديك. المسار الآمن هو تقديم التحذير المبكر وتحسينه في إشعار الـ 72 ساعة. تقديمه متأخرًا لأنك كنت لا تزال تؤكد هو وضع الفشل الذي أشارت السلطات إلى أنها لن تقبله.

ماذا لو علمنا بذلك من باحث يوم السبت؟

تبدأ الساعة من الوعي، وليس من يوم العمل التالي. لهذا السبب يحتاج الإجراء إلى نائب مسمى وطريق خارج ساعات العمل: الـ 24 ساعة هي ساعات تقويمية.

هل الإبلاغ يعرضنا للمسؤولية؟

تذهب التقارير إلى CSIRTs وENISA، وليس إلى الجمهور، وينظم التنظيم استخدامهم. ما يخلق التعرض ليس الإبلاغ: ثغرة مستغلة لم يتم الإبلاغ عنها تصبح لاحقًا عامة هي انتهاك ودليل على ذلك.

نستخدم مكونًا من طرف ثالث به العيب - هل لا يزال تقريرنا؟

نعم، إذا كان المنتج الذي طرحته في السوق متأثرًا. قد تحتاج أيضًا إلى إبلاغ صيانة المكون، ولكن ذلك لا يعفيك من واجبك الخاص.