Правила звітності EU CRA уже діють
Із 11 вересня 2026 року виробники мають повідомляти ENISA про активно експлуатовані вразливості протягом 24 годин. Що має зробити продавець ПЗ в ЄС уже зараз.
11 вересня 2026 року почали діяти вимоги щодо звітності за Законом ЄС про кіберстійкість (CRA). Виробники продуктів із цифровими елементами, до яких належить багато програмного й апаратного забезпечення, що продається в ЄС, тепер мусять повідомляти про активно експлуатовані вразливості та серйозні інциденти безпеки. Перше попередження має надійти протягом 24 годин після того, як ви про проблему дізналися. Це загальна інформація, а не юридична порада.
Що саме вимагається?
За сторінкою Єврокомісії про звітність CRA, для активно експлуатованої вразливості виробники мають надіслати:
- раннє попередження протягом 24 годин після того, як дізналися;
- повідомлення з деталями протягом 72 годин;
- фінальний звіт не пізніше ніж за 14 днів після того, як з'явиться коригувальний захід.
Для серйозних інцидентів юридичні коментарі описують фінальний звіт як такий, що має бути поданий протягом місяця. Уточніть формулювання статті 14 Регламенту (ЄС) 2024/2847 з вашим консультантом.
Звіти подаються через єдину платформу, якою керує ENISA, агентство ЄС з кібербезпеки. Вона передає їх CSIRT (національній групі реагування на інциденти), призначеній координатором, і ENISA. Help Net Security повідомляла, що платформа запустилася в середині вересня 2026 року. Деякі коментарі кажуть, що уповноважені представники мають зареєструватися заздалегідь, тож не чекайте інциденту, щоб дізнатися, як це працює.
Кого це стосується?
Кожного, хто створює продукти з цифровими елементами для ринку ЄС. Для стартапу це може бути завантажуваний застосунок, образ прошивки, SDK для розробників або підключений пристрій. Чисті онлайн-сервіси здебільшого поза головним обсягом CRA, але ваш консультант має перевірити, чи якийсь компонент, який ви постачаєте, вважається продуктом.
Більшість інших обов'язків CRA, як-от оцінка відповідності та вимоги безпеки до дизайну, діють пізніше. Бріф McCann FitzGerald відносить більшість із них до 11 грудня 2027 року.
Що має зробити мала команда цього місяця?
- Призначте відповідальну особу, яка може вирішити, що вразливість активно експлуатується.
- Напишіть runbook на 24 години: кого викликають, у кого є логін до платформи, хто готує звіт.
- Ведіть software bill of materials, щоб швидко зрозуміти, чи стороння вада стосується вас.
- Опублікуйте контакт для безпеки і політику розкриття вразливостей.
- Проведіть тренування один раз. Настільна вправа займає годину і показує відсутні логіни.
Для допомоги зі скануванням і моніторингом перегляньте хаб безпеки, приватності та комплаєнсу на Woodander.
Часті запитання
Чи починаються 24 години з моменту публікації CVE?
Джерела формулюють це по-різному. Поширене трактування: відлік починається, коли ви дізналися про активно експлуатовану вразливість, а не тоді, коли з'явився номер CVE.
Чи треба повідомляти про кожну помилку?
Ні. Обов'язок стосується активно експлуатованих вразливостей і серйозних інцидентів.
