Rozporządzenie obowiązuje
Od tego dnia rozporządzenie (UE) 2024/2847 obowiązuje. Pozostałe obowiązki stosuje się w późniejszych terminach.
Art. 14, rozporządzenie (UE) 2024/2847
Tu nie ma miejsca na ręczną pracę znaną z RODO
Audyt warto zrobić teraz, a szkolenie umówić, zanim od publikacji podatności zacznie biec doba na zgłoszenie. Przy aktywnie wykorzystywanej podatności zespół nie ma trzech dni na ręczne ustalenie, czy produkt jest narażony.
Podatność w 24 godziny
Od tej daty aktywnie wykorzystywaną podatność i poważny incydent zgłasza się do ENISA oraz właściwego CSIRT.
Wymagania i znak CE
Zasadnicze wymagania bezpieczeństwa i oznakowanie CE stosują się do większości produktów z elementami cyfrowymi.
Doba nie wystarcza na ręczne szukanie
Joe Brinkley, dyrektor badań nad bezpieczeństwem ofensywnym i społeczności w Cobalt, ujmuje to tak: zegar 24 godzin sprawia, że ręczna selekcja zgłoszeń przestaje być użyteczna. Analityk nie zdąży przyjąć alertu z wykazu aktywnie wykorzystywanych podatności, ręcznie przeszukać statycznego spisu składników i jeszcze przejrzeć dzienniki, żeby stwierdzić, czy maszyna jest atakowana.
W chwili publikacji podatności środowisko ma zapytać spis składników, wskazać dotknięte zasoby i sprawdzić bieżącą telemetrię pod kątem wykorzystania. Bez tego zespół spędza 23 godziny na szukaniu faktów w pięciu panelach, zamiast wysłać poprawkę. Rozporządzenie przenosi zgłoszenie z działu prawnego do operacji bezpieczeństwa. Bez bieżącego obrazu łańcucha dostaw oprogramowania obowiązek 24 godzin nie zostaje dotrzymany.
Trzy dni na ustalenie, czy firma jest narażona na nowo ujawnioną podatność, nie są już do dyspozycji. Spis składników i lista zasobów, które istnieją tylko jako PDF do kwartalnego odhaczenia, nie dadzą się zapytać. Muszą być danymi, o które może zapytać potok inżynieryjny, żeby poprawka ruszyła od razu.
Fakty leżą w kilku systemach naraz
To, co trzeba wpisać do zgłoszenia, siedzi zwykle w pięciu albo sześciu miejscach jednocześnie: w dziennikach bezpieczeństwa, w źródłach informacji o zagrożeniach, w wykazie aktywnie wykorzystywanych podatności, w wynikach skanera, w inwentarzu zasobów i w spisie składników oprogramowania. Te systemy nie powstały po to, by odpowiadać sobie nawzajem w ciągu doby. Połączenie ich jest częścią pracy pod rozporządzeniem, a nie osobnym projektem na później.
Pierwszy sprawdzian jest operacyjny
Louise Horton, szefowa spraw rządowych Wielkiej Brytanii w NCC Group, wskazuje, że obowiązki zgłaszania są pierwszym realnym sprawdzianem, czy organizacja naprawdę to potrafi. Liczy się postępowanie z podatnościami, widok na produkty i zależności oraz zdolność szybkiego i dokładnego ustalenia, oceny i zgłoszenia. Firmy, które są gotowe, wbudowały bezpieczeństwo w projekt i prowadzą łańcuch dostaw oprogramowania. To jedna strategia odporności, nie stos osobnych obowiązków.
Proces w zwykłej praktyce
Heigor Freitas, szef regionu (Wielka Brytania i Europa) w CREST, mówi, że rozporządzenie skłania producentów oprogramowania i sprzętu objętych zakresem do zacieśnienia procesu, rozliczalności i bezpieczeństwa w zwykłej praktyce oraz wzmacnia podstawę ekosystemu cyfrowego. To jest opis kierunku, nie obietnica wyniku.
Dla producenta produktu z elementami cyfrowymi wniosek jest operacyjny. Aktywnie wykorzystywana podatność i poważny incydent mają swoje terminy od 11 września 2026 r. Ręczna praca, którą firma zna ze zgłoszeń RODO, nie mieści się w tej dobie. Audyt pokazuje, czy spis składników i telemetria w ogóle dadzą się zapytać. Szkolenie jest po to, żeby osoby na sali umiały ten obieg nazwać, zanim termin zacznie biec.