Producenci sprzedający w Unii Europejskiej produkty cyfrowe mają od dzisiaj obowiązek zgłaszać orgonom ds. cyberbezpieczeństwa aktywnie wykorzystywane luki w zabezpieczeniach, zgodnie z nowymi wymogami unijnego aktu o cyberodporności (CRA). Obowiązki sprawozdawcze określone w artykule 14 rozporządzenia weszły w życie dzisiaj. Z uwzględnieniem wyjątków przewidzianych w przepisach dotyczą one wszystkich producentów produktów cyfrowych udostępnianych na unijnym rynku, niezależnie od tego, w jakim kraju mają swoją siedzibę. Producenci muszą przesłać wstępne ostrzeżenie w ciągu 24 godzin od powzięcia informacji o aktywnie wyzyskiwanej luce, a w ciągu 72 godzin bardziej szczegółowe zawiadomienie.

Identyczne terminy obowiązują w przypadku poważnych incydentów godzących w bezpieczeństwo produktów cyfrowych. Jedyna różnica dotyczy raportu końcowego. W przypadku aktywnie wykorzystywanych luk producent musi dostarczyć końcowy raport w ciągu 14 dni od udostępnienia poprawki lub środka zaradczego. Przy poważnych incydentach ostateczny dokument należy złożyć w ciągu miesiąca od przekazania pierwszego zgłoszenia.

Producenci zarówno unijni, jak i spoza UE muszą składać te raporty za pośrednictwem Single Reporting Platform (SRP) agencji ENISA. Powiadomienia trafiają do koordynującego zespołu ds. reakcji na incydenty komputerowe (CSIRT) wyznaczonego na mocy rozporządzenia CRA. W przypadku producenta z UE jest to zazwyczaj zespół CSIRT państwa członkowskiego, w którym znajduje się jego główna siedziba; dla podmiotów spoza wspólnoty obowiązują odrębne zasady wyznaczania koordynatora.

Zaniechania w tym zakresie są zagrożone zróżnicowanymi karami finansowymi. Najcięższe z nich mogą sięgnąć 15 milionów euro (17,4 miliona dolarów) lub 2,5 procent rocznego obrotu sprawcy, w zależności od tego, która kwota jest wyższa. Obowiązki sprawozdawcze są klasyfikowane jako kluczowe zadania w ramach aktu, co oznacza, że ich zignorowanie może skutkować nałożeniem maksymalnych kar.

Większość pozostałych przepisów CRA zacznie obowiązywać 11 grudnia 2027 roku, wówczas na producentów nałożony zostanie wymóg projektowania systemów z uwzględnieniem bezpieczeństwa już w fazie koncepcyjnej. Oznacza to m.in. zakaz stosowania domyślnych haseł, a aktualizacje bezpieczeństwa przestaną być opcjonalne.