Ascunderea unui atac cibernetic a devenit ilegală în Europa — producătorii au 24 de ore să raporteze

Vânzarea unui dispozitiv conectat în Europa implică acum o obligație care nu exista săptămâna trecută: descoperirea unei breșe sau a unui incident grav de securitate trebuie notificată autorităților în termen de 24 de ore. Cyber Resilience Act a Uniunii Europene a trecut în această săptămână de primul prag major de aplicare, iar lanțul este specific – o notificare mai detaliată urmează în 72 de ore, cu un raport final datorat la 14 zile după ce o remediere devine disponibilă, sau în termen de o lună pentru incidente mai ample.

Obligația acoperă ceea ce legea numește ‘produse cu elemente digitale’ – o categorie suficient de largă pentru a include telefoane inteligente, termostate inteligente, routere conectate, aplicații de fitness și platforme cloud. În mod critic, se aplică produselor deja aflate pe piața UE, nu doar noilor lansări. Un dispozitiv livrat acum doi ani și încă în uz intră în sfera de aplicare dacă are funcționalitate conectată. Software-ul distribuit gratuit în scop comercial intră sub aceleași reguli.

Înainte de 11 septembrie, relația dintre un producător și un incident de securitate era guvernată în mare măsură de politica internă. Companiile dezvăluiau breșele atunci când alegeau, adesea după săptămâni de analiză internă, consultanță juridică și evaluare a riscului de brand. Unele nu au dezvăluit niciodată. Această libertate de decizie a dispărut acum în Europa. Rapoartele sunt trimise echipei naționale de răspuns la incidente de securitate cibernetică (CSIRT) a statului membru UE în care se află sediul principal al producătorului, cu copii către Agenția UE pentru Securitate Cibernetică, ENISA, printr-o Platformă Unică de Raportare dedicată.

Întrebarea privind pregătirea este serioasă. Când obligațiile de raportare au fost finalizate, producătorii au avut aproximativ trei luni pentru a construi infrastructura internă – un inventar al produselor afectate, protocoale clare de escaladare și integrarea tehnică cu Platforma Unică de Raportare. Consilierii juridici care lucrează cu producătorii avertizează că ferestrele de timp nu lasă aproape deloc timp pentru a construi procesul după ce un incident a început. O companie care descoperă o breșă la miezul nopții într-o vineri trebuie să transmită raportul inițial înainte de miezul nopții de sâmbătă, indiferent de weekend sau sărbători legale.

Beneficiul pentru consumator este real, dar indirect. Producătorii trebuie, de asemenea, să notifice utilizatorii afectați cu privire la incidentele de securitate și la măsurile de atenuare disponibile. Dacă o companie nu îi notifică pe utilizatori într-un termen rezonabil, autoritățile naționale de securitate cibernetică pot interveni și emite ele însele alerta. Acesta nu este un regim de notificare pe care utilizatorul obișnuit îl va vedea pe telefon – funcționează prin canale de reglementare – dar creează o obligație executabilă ca breșele să nu poată fi pur și simplu absorbite în tăcere de o echipă juridică.

11 septembrie este partea cea mai restrânsă a obligației. Corpusul mai amplu al Cyber Resilience Act – care impune ca produsele conectate să fie concepute cu securitate integrată, mandatează procese de gestionare a vulnerabilităților și impune evaluări de conformitate pentru categoriile de produse cu cel mai mare risc – nu se aplică până la 11 decembrie 2027. Acest termen necesită modificări de design, protocoale de testare și procese de certificare care pur și simplu nu pot fi adăugate liniilor de produse existente în câteva luni. Industria are mai mult de un an, dar munca tehnică este deja în desfășurare la marii producători.

Abordarea UE face din Europa primul mare bloc de reglementare care impune termene obligatorii de dezvăluire a vulnerabilităților pe întreaga piață a tehnologiei de consum, nu doar pentru infrastructura critică. Cât de rapid vor dezvolta CSIRT-urile naționale capacitatea de a procesa aceste rapoarte – și dacă aplicarea legii va urma eșecurilor de dezvăluire în primele luni – va determina dacă 11 septembrie marchează o schimbare reală sau un termen pe hârtie.

Etichete: știri, securitate cibernetică, breach de date, Comisia Europeană, Cyber Resilience Act, dispozitive conectate