Kibernetinė realybė: apie spragas pranešti per 24 valandas arba rizikuoti milijoninėmis baudomis

Kibernetinė realybė: apie spragas pranešti per 24 valandas arba rizikuoti milijoninėmis baudomis

ES Kibernetinio atsparumo akto (angl. Cyber Resilience Act, CRA) taikymas įsibėgėja. Nuo 2026 m. rugsėjo 11 d. pradėtos taikyti jo 14 straipsnyje nustatytos pranešimo pareigos. Gamintojai privalo pranešti apie jiems žinomus aktyviai išnaudojamus produktų su skaitmeniniais elementais pažeidžiamumus, taip pat apie didelius incidentus, turinčius įtakos tokių produktų saugumui.

Pranešimai teikiami per ENISA administruojamą bendrąją pranešimų teikimo platformą (Single Reporting Platform). Informacija perduodama paskirtajai koordinuojančiajai CSIRT ir ENISA.

Terminai trumpi:

– Per 24 valandas nuo sužinojimo apie aktyviai išnaudojamą pažeidžiamumą turi būti pateiktas ankstyvasis perspėjimas.
– Per 72 valandas nuo sužinojimo apie pažeidžiamumą turi būti pateiktas išsamesnis pranešimas. Jame nurodoma bendro pobūdžio informacija apie pažeidžiamumą ir, jei tokios informacijos turima, apie jo išnaudojimą.
– Ne vėliau kaip per 14 dienų nuo taisomosios ar rizikos mažinimo priemonės prieinamumo turi būti pateikta galutinė ataskaita.

Šių pareigų nesilaikymas gamintojams gali kainuoti itin brangiai. Už 13 ir 14 straipsniuose nustatytų pareigų pažeidimus gali būti skiriamos administracinės baudos iki 15 mln. eurų, o įmonėms – iki 2,5 proc. visos praėjusių finansinių metų pasaulinės metinės apyvartos, atsižvelgiant į tai, kuri suma yra didesnė.

Tačiau labai mažoms ir mažosioms įmonėms numatyta svarbi išimtis: joms administracinės baudos netaikomos už 24 valandų ankstyvojo perspėjimo termino nesilaikymą. Svarbu: ši išimtis taikoma baudai, o ne pačiai pareigai pranešti. Pareiga pateikti ankstyvąjį perspėjimą per 24 valandas šioms įmonėms išlieka.

ES Kibernetinio atsparumo aktas: https://eur-lex.europa.eu/legal-content/LT/TXT/HTML/?uri=OJ:L_202402847
Single Reporting Platform: https://portal.cra-srp.enisa.europa.eu/