24-godzinne zgłaszanie luk (Artykuł 14 CRA)

• Regulation (EU) 2024/2847 — Cyber Resilience Act, Article 14
• Directive (EU) 2022/2555 — NIS2, for entities also in its scope
• Regulation (EU) 2016/679 — GDPR Article 33, where personal data is affected

Kto musi wyznaczyć

Każdy producent produktu z elementami cyfrowymi wprowadzonego na rynek UE, od 11 września 2026 roku, niezależnie od wielkości czy sektora. Obowiązek spoczywa na producencie, a nie na importerze czy dystrybutorze, ale producent spoza Unii zazwyczaj wywiązuje się z niego poprzez swojego przedstawiciela upoważnionego lub biuro działające na jego polecenie. Opiekunowie oprogramowania open-source mają lżejszy, oddzielny obowiązek zgłaszania.

Progi i wyłączenia

Brak progu wielkości. Obowiązek zgłoszenia wywołuje fakt: luka w twoim produkcie, która jest aktywnie wykorzystywana, lub poważne zdarzenie mające wpływ na bezpieczeństwo produktu. 'Aktywnie wykorzystywana' oznacza, że istnieją wiarygodne dowody, że ktoś wykonał kod lub wpłynął na produkt bez autoryzacji. Podejrzenie nie jest wyzwalaczem, ale standardem jest świadomość dowodów, a nie potwierdzenie pełnego obrazu.

Co musi być na etykiecie

Nie jest to obowiązek etykietowania. To, co musi być opublikowane, to jeden punkt kontaktowy do zgłaszania luk, łatwy do znalezienia na twojej stronie internetowej, wraz z koordynowaną polityką ujawniania luk, określającą, jak zgłoszenia są przyjmowane, klasyfikowane i odpowiadane.

Pola na platformach

Nie dotyczy jako pole rynku. Pojawia się zamiast tego w przetargach przedsiębiorstw i kwestionariuszach bezpieczeństwa, gdzie nabywcy teraz pytają o punkt kontaktowy do zgłaszania luk, politykę ujawniania i dowody procesu zgłaszania przed podpisaniem.

Dokumentacja do przechowywania

Wewnętrzna procedura obsługi definiująca, kto zgłasza świadomość, kto sporządza, kto zatwierdza i kto archiwizuje, z wyznaczonym zastępcą na godziny poza standardowymi. Rejestr luk z znacznikami czasowymi dla każdego etapu. Koordynowana polityka ujawniania luk. Dowody na podjęte środki zaradcze i datę ich udostępnienia. Rejestry powiadomień użytkowników, ponieważ Artykuł 14 wymaga również informowania dotkniętych użytkowników o incydencie i, w razie potrzeby, o środkach zaradczych, które powinni zastosować.

Normy i badania

Nie dotyczy. To, co jest badane po fakcie, to harmonogram: kiedy producent stał się świadomy, kiedy zgłoszenie wczesnego ostrzeżenia zostało złożone i czy terminy zostały dotrzymane.

Wymogi językowe

Zgłoszenia są składane za pośrednictwem jedynej platformy zgłoszeniowej, która akceptuje język angielski. Komunikacja z krajowym CSIRT może być prowadzona w języku danego państwa członkowskiego, a powiadomienia użytkowników powinny być w języku zainteresowanych użytkowników.

Od kiedy obowiązuje

Trzy terminy, wszystkie liczone od świadomości, a nie od potwierdzenia. Wczesne ostrzeżenie w ciągu 24 godzin, informujące, że istnieje aktywnie wykorzystywana luka lub poważne zdarzenie, czy inne państwa członkowskie są dotknięte, i — nawet bez pełnych szczegółów — wystarczająco, aby CSIRT mógł działać. Powiadomienie o luce lub incydencie w ciągu 72 godzin, z ogólnymi informacjami o produkcie, naturze eksploatacji i wszelkich podjętych lub zalecanych środkach zaradczych. Ostateczny raport w ciągu 14 dni od udostępnienia środka zaradczego lub w ciągu jednego miesiąca od powiadomienia 72-godzinnego w przypadku poważnego incydentu, opisujący lukę, jej powagę, eksploatację i naprawę.

Jak długo przechowywać

Rejestr luk, zgłoszenia złożone i ich znaczniki czasowe, przez co najmniej czas trwania okresu wsparcia. To jest dowód, który decyduje o sprawie egzekucyjnej, ponieważ pytanie brzmi, kiedy wiedziałeś.

Co grozi za brak zgodności

Do 15 milionów euro lub 2,5% całkowitego rocznego obrotu na całym świecie za naruszenie obowiązków producenta, które obejmują Artykuł 14. Ekspozycja jest nietypowa, ponieważ nie zależy od tego, czy luka sama w sobie jest twoją winą: zależność, której nie napisałeś, wykorzystywana w terenie, nadal uruchamia 24-godzinny zegar. Władze mogą również nakazać wycofanie produktu, dopóki problem nie zostanie rozwiązany.

Kto egzekwuje

CSIRT wyznaczony jako koordynator w państwie członkowskim twojego głównego zakładu, lub jeśli nie masz takiego w Unii, ten wyznaczony dla twojego przedstawiciela upoważnionego. ENISA otrzymuje zgłoszenia równolegle za pośrednictwem jedynej platformy zgłoszeniowej. Organy nadzoru rynku egzekwują.

Gdzie przebiega granica

Ten obowiązek obowiązuje ponad rok przed resztą CRA, a ta luka jest tym, co większość producentów przegapia. Występuje obok zgłaszania NIS2, które ma podobne terminy, ale inny wyzwalacz — incydent wpływający na twoją usługę jako podmiot, a nie luka w produkcie, który sprzedajesz — oraz obok powiadomienia o naruszeniu Artykułu 33 RODO, gdzie zaangażowane są dane osobowe. Jedno zdarzenie może wymagać wszystkich trzech, do trzech różnych organów, na trzech różnych podstawach prawnych.

Najczęstsze pytania

Kto decyduje, czy luka jest aktywnie wykorzystywana?

Ty decydujesz, na podstawie posiadanych dowodów. Bezpiecznym rozwiązaniem jest złożenie wczesnego ostrzeżenia i doprecyzowanie go w powiadomieniu 72-godzinnym. Złożenie zgłoszenia z opóźnieniem, ponieważ nadal potwierdzałeś, to tryb awaryjny, który władze sygnalizowały, że nie zaakceptują.

Co jeśli dowiemy się o tym od badacza w sobotę?

Czas biegnie od świadomości, a nie od następnego dnia roboczego. Dlatego procedura wymaga wyznaczonego zastępcy i drogi kontaktowej poza godzinami pracy: 24 godziny to godziny kalendarzowe.

Czy zgłaszanie naraża nas na odpowiedzialność?

Zgłoszenia trafiają do CSIRT i ENISA, a nie do publiczności, a Rozporządzenie ogranicza ich wykorzystanie. To, co stwarza ryzyko, to brak zgłoszenia: niezgłoszona luka, która później staje się publiczna, jest zarówno naruszeniem, jak i dowodem na to.

Używamy komponentu z błędem — czy to nadal nasze zgłoszenie?

Tak, jeśli produkt, który wprowadziłeś na rynek, jest dotknięty. Możesz również potrzebować powiadomić konserwatora komponentu, ale to nie zwalnia cię z własnego obowiązku.