Ο Cyber Resilience Act περνά από τον σχεδιασμό στην καθημερινή διαχείριση της κυβερνοασφάλειας: από τις 11 Σεπτεμβρίου 2026, οι κατασκευαστές προϊόντων με ψηφιακά στοιχεία οφείλουν να αναφέρουν ευπάθειες που αξιοποιούνται ενεργά σε επιθέσεις και σοβαρά περιστατικά που επηρεάζουν την ασφάλεια των προϊόντων τους. Η ενιαία πλατφόρμα αναφορών του ENISA αναβαθμίστηκε στις 4 Νοεμβρίου στην έκδοση 1.3, σύμφωνα με τον οργανισμό, υπογραμμίζοντας ότι η εφαρμογή του νέου ευρωπαϊκού πλαισίου βρίσκεται ήδη σε εξέλιξη.
Με μια ματιά
- Η αρχική προειδοποίηση υποβάλλεται μέσα σε 24 ώρες από τη στιγμή που ο κατασκευαστής λαμβάνει γνώση.
- Η πληρέστερη γνωστοποίηση ακολουθεί μέσα σε 72 ώρες από το ίδιο χρονικό σημείο.
- Οι αναφορές υποβάλλονται μέσω της ενιαίας πλατφόρμας SRP του ENISA.
- Οι βασικές, ευρύτερες υποχρεώσεις του κανονισμού εφαρμόζονται από τις 11 Δεκεμβρίου 2027.
Τι αλλάζει για συσκευές και λογισμικό
Ο κανονισμός αφορά την κυβερνοασφάλεια προϊόντων με ψηφιακά στοιχεία και όχι μόνο την προστασία ενός εταιρικού δικτύου. Η Ευρωπαϊκή Επιτροπή χρησιμοποιεί παραδείγματα από την καθημερινότητα, όπως συσκευές παρακολούθησης μωρών, έξυπνα ρολόγια και προγράμματα υπολογιστών, για να εξηγήσει το πρόβλημα: ένα συνδεδεμένο προϊόν μπορεί να δημιουργεί κινδύνους όταν έχει αδυναμίες ασφαλείας ή δεν λαμβάνει έγκαιρες διορθώσεις.
Η λογική του Cyber Resilience Act είναι να ενσωματώνεται η ασφάλεια στον σχεδιασμό, την ανάπτυξη και τη συντήρηση των προϊόντων. Ωστόσο, χρειάζεται σαφής διάκριση ανάμεσα στις υποχρεώσεις που ήδη εφαρμόζονται και σε εκείνες που ακολουθούν. Η σημερινή φάση επικεντρώνεται στις συγκεκριμένες αναφορές ευπαθειών και περιστατικών· δεν σημαίνει ότι έχει αρχίσει η εφαρμογή όλων των απαιτήσεων του πλαισίου.
Το χρονόμετρο των 24 και 72 ωρών
Σύμφωνα με την επίσημη ενημέρωση της Επιτροπής, ο κατασκευαστής πρέπει να υποβάλει αρχική προειδοποίηση εντός 24 ωρών από τη στιγμή που λαμβάνει γνώση μιας ενεργά εκμεταλλευόμενης ευπάθειας ή ενός σοβαρού περιστατικού που επηρεάζει την ασφάλεια του προϊόντος. Η πληρέστερη γνωστοποίηση πρέπει να γίνει εντός 72 ωρών από τη γνώση του συμβάντος, όχι 72 ώρες μετά την πρώτη προειδοποίηση.
Οι προθεσμίες για την τελική αναφορά διαφέρουν. Στην περίπτωση ενεργά εκμεταλλευόμενης ευπάθειας, η τελική έκθεση υποβάλλεται το αργότερο 14 ημέρες αφότου καταστεί διαθέσιμο διορθωτικό μέτρο. Για σοβαρό περιστατικό, το όριο είναι ένας μήνας από τη γνωστοποίηση των 72 ωρών. Επομένως, η αναφορά δεν εξαντλείται σε μια αρχική ειδοποίηση: απαιτεί συνέχεια και τεκμηρίωση της εξέλιξης.
Εξίσου σημαντικό είναι τι ακριβώς ενεργοποιεί τη διαδικασία. Η υποχρεωτική αναφορά που περιγράφουν οι επίσημες πηγές δεν ταυτίζεται με κάθε συνηθισμένο σφάλμα λογισμικού. Αφορά τις παραπάνω κατηγορίες ευπαθειών και σοβαρών περιστατικών, κάτι που καθιστά κρίσιμη την έγκαιρη τεχνική αξιολόγηση.
Μία πλατφόρμα, ενημέρωση των αρμόδιων αρχών
Η Single Reporting Platform, ή SRP, αναπτύσσεται, λειτουργεί και συντηρείται από τον ENISA. Ο κατασκευαστής υποβάλλει την αναφορά μία φορά μέσω της πλατφόρμας. Η γνωστοποίηση απευθύνεται στην αρμόδια ομάδα αντιμετώπισης συμβάντων ασφάλειας υπολογιστών, γνωστή ως CSIRT, της χώρας όπου βρίσκεται η κύρια εγκατάστασή του και, εκτός ιδιαίτερα εξαιρετικών περιστάσεων, οι πληροφορίες γίνονται ταυτόχρονα διαθέσιμες στον ENISA.
Η Επιτροπή διευκρινίζει ότι η CSIRT που παραλαμβάνει πρώτη τη γνωστοποίηση τη διαβιβάζει χωρίς καθυστέρηση στις αντίστοιχες ομάδες των άλλων χωρών όπου διατίθεται το προϊόν. Στόχος είναι η συντονισμένη διαχείριση κινδύνων που δεν περιορίζονται στα σύνορα μιας αγοράς. Αυτό δεν πρέπει να συγχέεται με αυτόματη δημόσια ανάρτηση όλων των τεχνικών λεπτομερειών.
Τι χρειάζεται να προσέξουν οι επιχειρήσεις
Σε πρακτικό επίπεδο, οι στενές προθεσμίες αναδεικνύουν την ανάγκη για σαφή εσωτερική διαδικασία: ποιος αξιολογεί μια προειδοποίηση ασφαλείας, ποιος συγκεντρώνει τα τεχνικά δεδομένα και ποιος υποβάλλει την αναφορά. Μια εταιρεία που διαθέτει ψηφιακό προϊόν χρειάζεται να συνδέει την τεχνική ομάδα με τους υπευθύνους συμμόρφωσης, ώστε η αντίδραση να μη σταματά στην πρώτη ειδοποίηση.
Ο ENISA διαθέτει οδηγούς, συχνές ερωτήσεις και εκπαιδευτικό υλικό για τη χρήση της SRP. Μετά την αναβάθμιση της 4ης Νοεμβρίου, σημειώνει ότι η τεκμηρίωση ενημερώνεται και συνιστά έλεγχο της ημερομηνίας έκδοσης. Για τις ομάδες που χρησιμοποιούν την πλατφόρμα, αυτό σημαίνει ότι ένα παλαιότερο εγχειρίδιο μπορεί να μην αποτυπώνει όλες τις τρέχουσες αλλαγές.
Ο επόμενος σταθμός είναι ο Δεκέμβριος του 2027
Ο κανονισμός τέθηκε σε ισχύ στις 10 Δεκεμβρίου 2024, αλλά οι βασικές υποχρεώσεις του εφαρμόζονται από τις 11 Δεκεμβρίου 2027. Την ίδια ημερομηνία αρχίζουν, σύμφωνα με την Επιτροπή, και οι υποχρεώσεις αναφοράς για τους φορείς υποστήριξης λογισμικού ανοικτού κώδικα που ο κανονισμός ορίζει ως open-source software stewards.
Για τον καταναλωτή, η ουσία βρίσκεται στη σταδιακή μετατόπιση από την ασφάλεια ως πρόσθετο χαρακτηριστικό προς την ασφάλεια ως ευθύνη σε όλο τον κύκλο ζωής του προϊόντος. Το νέο σύστημα αναφορών αποτελεί ένα συγκεκριμένο βήμα προς αυτή την κατεύθυνση, χωρίς να σημαίνει ότι οι ψηφιακές συσκευές γίνονται αυτομάτως απρόσβλητες από επιθέσεις.
