Gotowość do zgłoszeń na podstawie art. 14 CRA

Gotowość przed zgłoszeniem

Zanim dojdzie do incydentu, producent powinien wiedzieć, które produkty wchodzą w zakres regulacji, kto może składać zgłoszenia, który CSIRT pełniący rolę koordynatora je otrzymuje oraz w których państwach członkowskich udostępniono produkty.

Koordynujący CSIRT

Zgłoszenia dokonuje się za pomocą elektronicznego punktu zgłoszeń CSIRT wyznaczonego jako koordynator przez państwo członkowskie, w którym producent ma główne miejsce prowadzenia działalności w Unii; zgłoszenie musi być jednocześnie dostępne dla ENISA.

Rozporządzenie (UE) 2024/2847, art. 14 ust. 7

W przypadku producenta z Unii głównym miejscem prowadzenia działalności jest państwo członkowskie, w którym podejmowane są przede wszystkim decyzje dotyczące cyberbezpieczeństwa produktu. Jeżeli nie można tego ustalić, stosuje się kryterium zastępcze: państwem tym jest państwo członkowskie, w którym znajduje się unijne miejsce prowadzenia działalności producenta zatrudniające największą liczbę pracowników.

Jeżeli producent nie ma głównego miejsca prowadzenia działalności w Unii, art. 14 ust. 7 nakazuje ustalić państwo członkowskie koordynującego CSIRT w poniższej kolejności, na podstawie informacji dostępnych producentowi:

1. Państwo członkowskie, w którym ustanowiono upoważnionego przedstawiciela działającego w odniesieniu do największej liczby produktów tego producenta.
2. Państwo członkowskie, w którym ma siedzibę importer wprowadzający do obrotu największą liczbę produktów tego producenta.
3. Państwo członkowskie, w którym ma siedzibę dystrybutor udostępniający na rynku największą liczbę produktów tego producenta.
4. Państwo członkowskie, w którym znajduje się największa liczba użytkowników produktów tego producenta.

Produkty udostępnione w poszczególnych państwach członkowskich

Wczesne ostrzeżenie przekazywane w ciągu 24 godzin wymaga wskazania państw członkowskich, w których — według wiedzy producenta — udostępniono produkt, którego dotyczy problem. Platforma przekazuje również informacje innym CSIRT z państw członkowskich, w których produkt jest dostępny.

• sprzedaż bezpośrednia i kanały dystrybucji w UE;
• platformy handlowe, sklepy z aplikacjami i kanały pobierania używane przez użytkowników z UE;
• importerzy i dystrybutorzy, którzy wprowadzają produkt do obrotu lub udostępniają go w poszczególnych państwach członkowskich;
• wersje produktu, wydania oprogramowania układowego, funkcje zależne od chmury lub warianty modelu mające znaczenie dla zgłoszenia.

Gotowość danych do zgłoszenia

ENISA opisuje Jednolitą Platformę Zgłoszeniową jako jeden punkt wejścia. Producent składa zgłoszenie jednokrotnie, a platforma przekazuje je koordynującemu CSIRT i ENISA. Zgłoszenie nadal zależy od gotowości wewnętrznych danych o produkcie i bezpieczeństwie.

• kto jest upoważniony do złożenia zgłoszenia;
• którego produktu, wersji, komponentu lub funkcji usługi dotyczy problem;
• czy zdarzenie jest traktowane jako aktywnie wykorzystywana podatność czy poważny incydent;
• co jest wiadome, co jest nadal badane i jakie środki zaradcze są dostępne;
• których użytkowników lub państw członkowskich może dotyczyć problem;
• w jaki sposób producent poinformuje użytkowników, których problem dotyczy, gdy wymaga tego art. 14.

Rozpoznawanie zdarzeń podlegających zgłoszeniu

Warunki powodujące obowiązek zgłoszenia wyjaśniono w Zgłaszanie podatności. Producent musi rozpoznać takie zdarzenia wystarczająco szybko, aby dotrzymać terminów 24 i 72 godzin.