24 saatlik zafiyet raporlama (CRA Madde 14)

• Regulation (EU) 2024/2847 — Cyber Resilience Act, Article 14
• Directive (EU) 2022/2555 — NIS2, for entities also in its scope
• Regulation (EU) 2016/679 — GDPR Article 33, where personal data is affected

Kimin ataması gerekir

11 Eylül 2026'dan itibaren AB pazarında dijital unsurlar içeren bir ürünün her üreticisi, boyut veya sektörden bağımsız olarak. Sorumluluk üreticide, ithalatçı veya dağıtımcıda değil, ancak Birlik dışındaki bir üretici genellikle yetkili temsilcisi veya talimatları doğrultusunda hareket eden bir masa aracılığıyla bunu yerine getirir. Açık kaynak yöneticilerinin daha hafif, ayrı bir raporlama yükümlülüğü vardır.

Eşikler ve muafiyetler

Hiçbir boyut eşiği yoktur. Yükümlülüğü tetikleyen durum gerçektir: ürününüzde aktif olarak istismar edilen bir zafiyet veya ürünün güvenliğini etkileyen ciddi bir olay. 'Aktif olarak istismar edilen' demek, birinin yetkisiz olarak kod çalıştırdığına veya ürünü etkilediğine dair güvenilir kanıt olduğu anlamına gelir. Şüphe tetikleyici değildir, ancak standart, kanıtın farkında olmaktır, tam resmin onaylanması değildir.

Etikette ne bulunmalı

Bir etiketleme yükümlülüğü yoktur. Yayınlanması gereken, zafiyetleri raporlamak için kolayca bulunabilen tek bir iletişim noktasıdır; bu, raporların nasıl alındığını, önceliklendirildiğini ve yanıtlandığını belirten koordine edilmiş bir zafiyet ifşa politikası ile birlikte olmalıdır.

Pazar yeri alanları

Bir pazar alanı olarak geçerli değildir. Bunun yerine, alıcıların artık zafiyet iletişim noktasını, ifşa politikasını ve imza atmadan önce bir raporlama sürecinin kanıtını talep ettiği kurumsal satın alma ve güvenlik anketlerinde ortaya çıkar.

Saklamanız gereken belgeler

Kimlerin farkında olduğunu, kimlerin taslak hazırladığını, kimlerin onayladığını ve kimlerin dosyaladığını tanımlayan bir iç işleme prosedürü, mesai saatleri dışında bir yedek ile birlikte. Her aşama için zaman damgaları ile bir zafiyet kaydı. Koordine edilmiş zafiyet ifşa politikası. Düzeltici önlemin kanıtı ve ne zaman mevcut hale geldiği. Kullanıcı bildirimlerinin kayıtları, çünkü Madde 14 ayrıca etkilenen kullanıcıların olayı ve gerektiğinde uygulamaları gereken düzeltici önlemler hakkında bilgilendirilmesini gerektirir.

Standartlar ve testler

Geçerli değildir. Olaydan sonra incelenen şey zaman çizelgesidir: üreticinin ne zaman farkına vardığı, erken uyarının ne zaman yapıldığı ve aralıkların karşılanıp karşılanmadığı.

Dil gereklilikleri

Raporlar, İngilizceyi kabul eden tek raporlama platformu aracılığıyla sunulur. Ulusal CSIRT ile iletişim, o üye devletin dilinde gerçekleştirilebilir ve kullanıcı bildirimleri, ilgili kullanıcıların dilinde olmalıdır.

Ne zamandan itibaren

Üç son tarih, onaydan değil, farkındalıktan itibaren işlemektedir. Aktif olarak istismar edilen bir zafiyet veya ciddi bir olayın var olduğunu belirten bir erken uyarı 24 saat içinde, diğer üye devletlerin etkilenip etkilenmediği ve — tam detay olmadan bile — CSIRT'in harekete geçmesi için yeterli bilgi. Ürün hakkında genel bilgi, istismarın doğası ve alınan veya önerilen düzeltici önlemlerle birlikte 72 saat içinde bir zafiyet veya olay bildirimi. Düzeltici önlemin mevcut hale gelmesinden itibaren 14 gün içinde veya ciddi bir olay için 72 saatlik bildirimin ardından bir ay içinde, zafiyeti, ciddiyetini, istismarı ve düzeltmeyi tanımlayan bir nihai rapor.

Belgeler ne kadar saklanır

Zafiyet kaydı, dosyalanan bildirimler ve zaman damgaları, en azından destek süresi boyunca saklanmalıdır. Bu, bir yaptırım davasını belirleyen kanıttır, çünkü soru, ne zaman bildiğiniz olacaktır.

Uymazsanız ne olur

Üreticinin yükümlülüklerini ihlal etmesi durumunda, 14. Maddeyi de içeren toplam dünya çapında yıllık cirosunun %2,5'ine veya 15 milyon €'ya kadar ceza. Maruz kalma, zafiyetin kendisinin sizin hatanız olmasına bağlı olmaması açısından alışılmadık bir durumdur: yazmadığınız bir bağımlılık, doğada istismar edildiğinde, 24 saatlik saati başlatır. Yetkililer ayrıca, sorun çözülene kadar ürünün geri çekilmesini de talep edebilir.

Kim denetler

Ana kuruluşunuzun bulunduğu üye devletin koordinatörü olarak atanan CSIRT veya Birlik'te bir kuruluşunuz yoksa, yetkili temsilciniz için atanan. ENISA, bildirimleri tek raporlama platformu aracılığıyla paralel olarak alır. Pazar gözetim otoriteleri uygulama yapar.

Sınır nerede

Bu yükümlülük, CRA'nın geri kalanından bir yıldan fazla bir süre önce devreye giriyor ve bu boşluk çoğu üreticinin gözden kaçırdığı bir durumdur. NIS2 raporlaması ile birlikte yer alır; bu, benzer son tarihlere sahip ancak farklı bir tetikleyiciye sahiptir — bir olayın hizmetinizi etkilemesi, sattığınız bir üründeki bir zafiyet yerine — ve kişisel verilerin dahil olduğu GDPR Madde 33 ihlal bildirimine paralel olarak. Bir olay, üç farklı otoriteye, üç farklı yasal temele dayanarak tüm üçünü gerektirebilir.

Bize sorulan sorular

Bir zafiyetin aktif olarak istismar edilip edilmediğine kim karar verir?

Siz, elinizdeki kanıtlara dayanarak. Güvenli yol, erken uyarıyı dosyalamak ve 72 saatlik bildirimi detaylandırmaktır. Hala onaylıyordunuz diye geç dosyalamak, yetkililerin kabul etmeyecekleri bir başarısızlık modudur.

Bir araştırmacıdan Cumartesi günü öğrenirsek ne olur?

Saat, farkındalıktan başlar, bir sonraki iş gününden değil. Bu nedenle, prosedürün bir yedek ismi ve mesai saatleri dışı bir yolu olması gerekir: 24 saat takvim saatleridir.

Raporlama bizi sorumluluğa maruz bırakır mı?

Raporlar CSIRT'lere ve ENISA'ya gider, kamuya değil ve Yönetmelik bunların kullanımını kısıtlar. Maruz kalmayı yaratan, raporlama değil: rapor edilmemiş bir istismar edilen zafiyetin daha sonra kamuya açıklanması hem bir ihlal hem de bunun kanıtıdır.

Hatalı bir üçüncü taraf bileşeni kullanıyoruz — bu hala bizim raporumuz mu?

Evet, eğer piyasaya sürdüğünüz ürün etkileniyorsa. Bileşenin bakımını yapan kişiyi de bilgilendirmeniz gerekebilir, ancak bu kendi yükümlülüğünüzü yerine getirmediğiniz anlamına gelmez.