Storitev
Ste pripravljeni na 24-urno uro CRA?
Od 11. septembra 2026 morajo proizvajalci o aktivno izrabljenih ranljivostih in resnih incidentih, ki vplivajo na varnost njihovih izdelkov, obvestiti skupino CSIRT, imenovano za koordinatorja, in agencijo ENISA, prek enotne platforme za poročanje. Zgodnje opozorilo je treba poslati v 24 urah po seznanitvi.
Zakaj je to pomembno zaradi CRA
Člen 14 Uredbe (EU) 2024/2847 se uporablja od 11. septembra 2026. Proizvajalec mora o aktivno izrabljeni ranljivosti ali resnem incidentu, ki vpliva na varnost izdelka, sočasno obvestiti skupino CSIRT, imenovano za koordinatorja, in agencijo ENISA, prek enotne platforme za poročanje iz člena 16.
Za oboje proizvajalec predloži zgodnje opozorilo brez nepotrebnega odlašanja in v vsakem primeru v 24 urah po seznanitvi, obvestilo v 72 urah in končno poročilo. Pri aktivno izrabljeni ranljivosti je končno poročilo treba predložiti najpozneje 14 dni po tem, ko so na voljo popravni ali blažilni ukrepi. Pri resnem incidentu v enem mesecu po 72-urnem obvestilu o incidentu.
Proizvajalec mora obvestiti tudi prizadete uporabnike, skupina CSIRT pa lahko zahteva vmesno poročilo.
Težava, ki jo vidimo
- Nihče ni določil, kdo odloča, da je nekaj aktivno izrabljena ranljivost ali resni incident.
- Prvi, ki zaslišijo za izrabo, so podpora ali prodaja, informacija pa do razvoja potuje dan.
- Podjetje ni ugotovilo, katera skupina CSIRT je njegov koordinator, in se ni registriralo za platformo za poročanje.
- Dokazila se zbirajo med incidentom, namesto da bi bila del procesa.
- 01Seznanitev
- 02Zgodnje opozorilo v 24 h
- 03Obvestilo v 72 h
- 04Končno poročilo
- 05Obveščanje uporabnikov
Kaj naredimo
Zaznavanje in seznanitev
Kateri signali štejejo, kdo jih vidi in kako možen primer pride do odločevalca. Čas seznanitve mora biti zabeležen.
Merila odločanja
Preprosti testi za aktivno izrabljeno ranljivost in resni incident, z uporabo opredelitev iz člena 3 in člena 14(5).
Potek in vloge
RACI, matrika stopnjevanja, namestniki, pokritost izven delovnega časa in povezava z vašimi procesi za ranljivosti in incidente.
Pripravljenost na platformo in CSIRT
Ugotovite koordinatorja CSIRT za vaš glavni sedež po členu 14(7) ter pripravite račune in ljudi za enotno platformo za poročanje.
Predloge in dokazila
Predloge za zgodnje opozorilo, obvestilo in končno poročilo ter kontrolni seznam dokazil, zbranih med potekom primera.
Namizna vaja
Realističen scenarij za vaš izdelek, izveden z razvojem, varnostjo, pravno službo in vodstvom.
Kaj prejmete
- Potek poročanja po CRA, 24 h, 72 h in končno poročilo
- RACI in matrika stopnjevanja
- Merila za incidente in izrabljene ranljivosti
- Kontrolni seznam dokazil
- Predloge za poročanje
- Namizni scenarij in poročilo o vaji
- Predloge za obveščanje uporabnikov, vključno s strojno berljivimi možnostmi
Dokazila, ki nastanejo
- Odobren postopek poročanja z imenovanimi vlogami
- Zapisi o seznanitvi in odločitvah z časovnimi žigi za vsak primer
- Poslana obvestila in poročila
- Rezultati vaj in korektivni ukrepi
Kaj zahteva ura
| Korak | Aktivno izrabljena ranljivost | Resni incident |
|---|---|---|
| Zgodnje opozorilo | V 24 urah po seznanitvi | V 24 urah; navede, ali so domnevna nezakonita ali zlonamerna dejanja |
| Obvestilo | V 72 urah, razen če so informacije že predložene | V 72 urah, razen če so informacije že predložene |
| Končno poročilo | Najpozneje 14 dni po tem, ko so na voljo popravni ali blažilni ukrepi | V enem mesecu po 72-urnem obvestilu |
Poročanje velja za kvalificirane dogodke. Vsaka ranljivost ali incident ga ne sproži. Ali ga vaš primer, je odvisno od opredelitev v členih 3 in 14 ter od dejstev. Naš dokument z merili to pretvori v odločitve, ki jih vaša ekipa sprejme hitro. Ni pravno svetovanje.
Čakati na platformo ali na gotovost. Roki tečejo od trenutka, ko se proizvajalec seznani, zgodnje opozorilo pa je namenjeno kratkemu sporočilu. Proces pripravite pred prvim primerom.
Kaj sledi
- Kratek pogovorPotrdimo izdelek, vlogo na trgu in cilj.
- Ponudba z določenim obsegomFiksen obseg, izdelki in časovnica.
- Delo z vašimi inženirjiDelavnice in pregledi, ne predaja dokumentov.
Bo vaš izdelek pripravljen na CRA?
Obveznosti poročanja po CRA veljajo od 11. septembra 2026. Večina zahtev CRA se uporablja od 11. decembra 2027. Začnite z razumevanjem, kaj velja za vaš izdelek, kje so vrzeli in katera dokazila boste potrebovali.