Zgłaszanie podatności na podstawie unijnego Aktu w sprawie cyberodporności

Kiedy zgłoszenie jest wymagane

Przesłanką nie jest kategoria produktu, wynik CVSS ani sam fakt istnienia podatności. Artykuł 14 dotyczy sytuacji, w której producent uzyskał wiedzę o zdarzeniu podlegającym zgłoszeniu w produkcie z elementami cyfrowymi.

Inne podatności, zagrożenia cybernetyczne, zdarzenia potencjalnie wypadkowe i incydenty o mniejszym wpływie mogą nadal mieć znaczenie dla obsługi podatności lub zgłoszeń dobrowolnych. Nie powodują automatycznie obowiązku zgłoszenia na podstawie art. 14.

Aktywnie wykorzystywana podatność

„aktywnie wykorzystywana podatność” oznacza podatność, w odniesieniu do której istnieją wiarygodne dowody, że szkodliwy podmiot wykorzystał ją w systemie bez zezwolenia właściciela tego systemu;

Rozporządzenie (UE) 2024/2847, art. 3 pkt 42

Definicja obejmuje trzy elementy. Musi istnieć podatność, wiarygodny dowód jej wykorzystania oraz złośliwy i nieuprawniony charakter tego działania. Sama teoretyczna ścieżka wykorzystania lub wynik skanera nie wystarczą.

Podatność typu zero-day może podlegać zgłoszeniu, ale tylko jeśli producent ma wiarygodne dowody, że wykorzystał ją szkodliwy podmiot. Zgłoszenie do programu bug bounty dokonane w dobrej wierze lub wynik badania laboratoryjnego bez dowodów wcześniejszego złośliwego wykorzystania nie spełniają obowiązkowej przesłanki z art. 14, choć nadal może być możliwe zgłoszenie dobrowolne.

Wiedza oparta na wiarygodnych informacjach może pochodzić z kilku źródeł:

• klient lub partner zgłasza naruszenie i przedstawia dowody wykorzystania podatności produktu;
• organ rządowy, badacz bezpieczeństwa lub raport wywiadu o zagrożeniach wskazuje na wykorzystanie podatności w produkcie;
• telemetria, monitoring lub własne dochodzenie producenta ujawniają dowody wykorzystania podatności.

Podatność musi być również zawarta w produkcie z elementami cyfrowymi. Jeśli podatności zintegrowanego komponentu nie można wykorzystać w produkcie producenta, sam fakt, że komponent jest podatny w innym środowisku, nie oznacza, że podatność jest aktywnie wykorzystywana w tym produkcie.

Poważny incydent wpływający na bezpieczeństwo produktu

Poważny incydent również dotyczy konkretnego produktu. Sam incydent w ogólnym środowisku IT przedsiębiorstwa nie wystarczy. Incydent musi wpływać na bezpieczeństwo produktu z elementami cyfrowymi.

Zgodnie z art. 14 incydent jest poważny, gdy:

• negatywnie wpływa lub może negatywnie wpłynąć na zdolność produktu do ochrony dostępności, autentyczności, integralności lub poufności wrażliwych lub istotnych danych albo funkcji;
• doprowadził lub może doprowadzić do wprowadzenia albo wykonania złośliwego kodu w produkcie lub w sieci i systemach informatycznych użytkownika.

Terminy 24 godziny, 72 godziny i raport końcowy

Artykuł 14 przewiduje etapowe zgłaszanie. Pierwsze zgłoszenie jest wczesnym ostrzeżeniem i nie musi zawierać pełnej dokumentacji technicznej. Kolejne etapy uzupełnia się o informacje uzyskane przez producenta podczas badania zdarzenia i ograniczania jego skutków.

1. Wczesne ostrzeżenie: bez zbędnej zwłoki, nie później niż 24 godziny od chwili uzyskania wiedzy przez producenta.
2. Główne zgłoszenie: bez zbędnej zwłoki, nie później niż 72 godziny od chwili uzyskania wiedzy, chyba że odpowiednie informacje już przekazano.
3. Raport końcowy dotyczący aktywnie wykorzystywanej podatności: najpóźniej 14 dni od udostępnienia środka naprawczego lub ograniczającego skutki.
4. Raport końcowy dotyczący poważnego incydentu: w ciągu miesiąca od zgłoszenia incydentu w terminie 72 godzin.

Terminy 24 i 72 godzin liczy się od chwili uzyskania wiedzy o zdarzeniu podlegającym zgłoszeniu. Są to terminy graniczne, a nie okresy oczekiwania: zgłoszeń należy dokonywać bez zbędnej zwłoki. Terminy raportu końcowego rozpoczynają się w różnych momentach: z chwilą udostępnienia środka naprawczego lub ograniczającego skutki podatności oraz z chwilą złożenia zgłoszenia poważnego incydentu.

Jednolita Platforma Zgłoszeniowa

W celu składania zgłoszeń, o których mowa w art. 14 ust. 1 i 3 oraz art. 15 ust. 1 i 2, i uproszczenia obowiązków sprawozdawczych producentów ENISA ustanawia jednolitą platformę zgłoszeniową. Bieżącym działaniem tej platformy zarządza ENISA i utrzymuje ją. Architektura jednolitej platformy zgłoszeniowej umożliwia państwom członkowskim i ENISA utworzenie własnych elektronicznych punktów zgłoszeń.

Rozporządzenie (UE) 2024/2847, art. 16 ust. 1

Zgłoszenia z art. 14 składa się za pośrednictwem Jednolitej Platformy Zgłoszeniowej. ENISA uruchomiła jej początkowe zdolności operacyjne 11 września 2026 r.; platforma jest już dostępna do zgłoszeń obowiązkowych.

Gotowość do zgłaszania

Aby składać zgłoszenia w terminie, producenci potrzebują kanału zgłoszeń SRP, koordynującego CSIRT, informacji o państwach członkowskich, w których produkt jest dostarczany, oraz dostępnych wewnętrznych danych o produkcie. Strona dotycząca gotowości do zgłaszania wyjaśnia te przygotowania.

Przeczytaj Gotowość do zgłaszania na podstawie art. 14 po zapoznaniu się z przesłankami zgłoszeń.

Przypadki graniczne