Производителите на софтуер вече докладват киберрискове до 24 часа

Какво вече е в сила

Регламент (ЕС) 2024/2847 — Актът за киберустойчивост, известен като CRA — въведе общи правила за киберсигурността на хардуерни и софтуерни продукти, предлагани на пазара на Европейския съюз. Макар основните изисквания към проектирането, поддръжката и оценяването на съответствието да започват да се прилагат от 11 декември 2027 г., задължението за докладване по чл. 14 действа от 11 септември 2026 г.

Това е пряко приложимо задължение по европейски регламент. За производителите не е необходимо да се изчаква отделен български закон, за да организират подаването на уведомленията.

Кои софтуерни компании са засегнати

По CRA „производител“ е физическо или юридическо лице, което разработва или произвежда продукт с цифрови елементи, възлага неговото разработване или производство и го предлага под собственото си име или търговска марка. Понятието може да обхване не само големи технологични дружества, но и по-малки разработчици, които пускат собствено приложение, програма, операционна система, компонент или свързан продукт на пазара на ЕС.

Продукт с цифрови елементи може да бъде софтуер или хардуер, включително отделно предлаган компонент и определени решения за отдалечена обработка на данни, когато продуктът е предназначен да се свързва пряко или косвено с устройство или мрежа.

Безплатното разпространение не изключва автоматично приложението на регламента, когато е част от търговска дейност. За свободния софтуер с отворен код, който се разработва и предоставя извън търговска дейност, е предвиден различен подход; отделните задължения на организациите, които устойчиво поддържат търговски ориентирани open-source проекти, започват по-късно.

Какво трябва да се докладва

Задължението се задейства в две основни хипотези:

• активно използвана уязвимост — има надеждни доказателства, че злонамерен субект я е използвал в система без разрешение на нейния собственик;
• тежък инцидент, който засяга сигурността на продукта — например засяга или може да засегне защитата на важни данни или функции, или води или може да доведе до въвеждане или изпълнение на зловреден код.

Следователно не всяка слабост, сигнал от клиент или технически дефект поражда задължение за докладване. Компанията обаче трябва да има вътрешен процес, чрез който бързо да установи дали конкретният случай преминава законовия праг.

Сроковете: 24 часа, 72 часа и финален доклад

• до 24 часа от узнаването — ранно предупреждение за уязвимостта или тежкия инцидент;
• до 72 часа от узнаването — основно уведомление с наличната информация за продукта, характера и първоначалната оценка на случая и предприетите или възможните защитни мерки;
• при активно използвана уязвимост — финален доклад не по-късно от 14 дни след като стане налична коригираща или смекчаваща мярка;
• при тежък инцидент — финален доклад до един месец след уведомлението, подадено в 72-часовия срок.

Сроковете започват да текат от момента, в който производителят е узнал за уязвимостта или инцидента, а не от приключването на вътрешното разследване. Затова първият сигнал е предварителен и може да бъде допълван с последваща информация.

Къде се подава уведомлението

Уведомленията се подават еднократно чрез Единната платформа за докладване на ENISA. Те са адресирани до координиращия екип за реагиране при инциденти с компютърната сигурност — CSIRT — в държавата членка, в която производителят има основно място на установяване, и едновременно са достъпни за ENISA.

Платформата е действаща от 11 септември 2026 г. и позволява компанията да определи свои представители, които да регистрират и актуализират уведомленията.

Отнася ли се и за вече предлагани продукти

Да. Изключението за продукти, пуснати на пазара преди пълното прилагане на CRA, не освобождава от докладването по чл. 14. Задължението се прилага и за продукти с цифрови елементи, които вече са били предложени на пазара преди 11 декември 2027 г., ако попадат в предметния обхват на регламента.

Освен уведомяването на органите, производителят трябва без неоправдано забавяне да информира засегнатите ползватели, а когато е необходимо — и за мерките, които те могат да предприемат, за да ограничат последиците.

Какво трябва да организира бизнесът сега

• да определи кои негови продукти и компоненти попадат в обхвата на CRA и кое дружество е техен производител;
• да създаде вътрешен ред за приемане, проверка и ескалиране на сигнали за уязвимости и инциденти;
• да определи кой може да вземе решение и да подаде ранното предупреждение в 24-часовия срок;
• да регистрира необходимите представители в платформата на ENISA и да поддържа актуални данните за контакт;
• да пази техническа следа за момента на узнаване, оценката на риска, предприетите мерки и комуникацията с ползвателите.

Практическият риск е не само да бъде пропуснат срокът, а компанията да установи твърде късно кой носи отговорността за продукта. В договорите с външни разработчици и доставчици на компоненти е разумно ясно да се уредят уведомяването, съдействието и предоставянето на техническа информация при инцидент.