Groźna luka? Producent musi ją zgłosić
Bezpieczeństwo 16:45

Groźna luka? Producent musi ją zgłosić

Od 11 września 2026 roku zaczyna obowiązywać kolejny ważny element unijnego Cyber Resilience Act. Producenci produktów z elementami cyfrowymi muszą zgłaszać aktywnie wykorzystywane podatności oraz poważne incydenty bezpieczeństwa. W tym celu uruchomiona została specjalna unijna platforma. Producent nie może już przemilczeć groźnej podatności Cyber Resilience Act, czyli unijny akt o cyberodporności, obejmuje szeroką grupę produktów zawierających elementy cyfrowe. Chodzi zarówno o oprogramowanie, jak i urządzenia oraz ich cyfrowe komponenty. Regulacja ma uporządkować kwestie bezpieczeństwa takich produktów i wymusić na producentach sprawniejsze reagowanie na odkrywane problemy. Od 11 września szczególne znaczenie ma art. 14 CRA. Producent, który dowie się o aktywnie wykorzystywanej podatności w swoim produkcie, musi ją zgłosić. To samo dotyczy poważnego incydentu mającego wpływ na bezpieczeństwo produktu. Za taki incydent uznawane jest między innymi zdarzenie mogące zagrozić dostępności, autentyczności, integralności lub poufności ważnych danych albo funkcji. Nie chodzi więc o każdą znalezioną lukę. Obowiązek obejmuje podatności, w przypadku których istnieją wiarygodne dowody wykorzystania ich przez cyberprzestępców. Źródłem informacji może być zarówno sam producent, jak i użytkownik, klient czy niezależny badacz bezpieczeństwa. CERT Polska zwraca uwagę, że producent powinien mieć odpowiedni proces wykrywania, weryfikowania i usuwania takich problemów. Najpierw 24 godziny, potem kolejne zgłoszenia Nowe przepisy wprowadzają też ważne terminy. W przypadku aktywnie wykorzystywanej podatności pierwsze ostrzeżenie musi trafić do systemu bez zbędnej zwłoki, a najpóźniej w ciągu 24 godzin od momentu, gdy producent dowiedział się o problemie. W ciągu 72 godzin trzeba przekazać bardziej szczegółowe informacje dotyczące produktu, podatności oraz podjętych działań. Później pojawia się jeszcze raport końcowy, przygotowywany po udostępnieniu rozwiązania problemu. Podobny mechanizm obowiązuje przy poważnych incydentach. Najpierw producent ma 24 godziny na wczesne ostrzeżenie, a następnie 72 godziny na właściwe zgłoszenie. Raport końcowy dotyczący incydentu powinien zostać przekazany w ciągu miesiąca od zgłoszenia incydentu. Producent musi również informować użytkowników, których problem może dotyczyć, oraz wskazać dostępne sposoby ograniczenia ryzyka. Wszystko trafia do jednej platformy Zgłoszenia obsługuje Single Reporting Platform (SRP), przygotowana i prowadzona przez ENISA. Zamiast kontaktować się osobno z wieloma instytucjami, producent przekazuje informacje za pośrednictwem jednego systemu, który następnie kieruje je do właściwych podmiotów. Platforma została uruchomiona 11 września 2026 roku, razem z rozpoczęciem stosowania obowiązków wynikających z art. 14 CRA. W Polsce ważną rolę odgrywa CERT Polska, działający jako CSIRT NASK i pełniący funkcję koordynatora procesu skoordynowanego ujawniania podatności. Wybór odpowiedniego CSIRT-u koordynującego jest powiązany między innymi z państwem, w którym producent ma przedstawiciela, importera lub dystrybutora, a także z miejscem, gdzie znajduje się największa liczba użytkowników jego produktów. To jednak nie koniec zmian. Pozostałe przepisy CRA będą stosowane etapami, a większość wymagań dotyczących produktów zacznie obowiązywać od 11 grudnia 2027 roku. CERT Polska przygotował już poradnik dotyczący dobrych praktyk zarządzania bezpieczeństwem oprogramowania, który ma pomóc producentom przygotować się do nowych wymagań. Dla użytkowników znaczenie zmian może być bardzo praktyczne. CRA przewiduje między innymi obowiązek zapewnienia procesu obsługi podatności przez cały cykl życia produktu, a domyślnym rozwiązaniem mają być automatyczne aktualizacje bezpieczeństwa. Co do zasady wsparcie produktu powinno być zapewniane przez co najmniej pięć lat, chyba że przewidywany okres jego użytkowania jest krótszy.

0
MARIAN SZUTIAK
1.

Tech

Więcej nowości

Carrefour ma wózki sklepowe niczym kasa samoobsługowa. Ruszyły testy
Sprzęt 14:05

Carrefour ma wózki sklepowe niczym kasa samoobsługowa. Ruszyły testy

0
PAWEł MARETYCZ
1.
Apple iPhone Duo zaliczył wpadkę. Pokazali to na żywo
Sprzęt 13:41

Apple iPhone Duo zaliczył wpadkę. Pokazali to na żywo

0
DAMIAN JAROSZEWSKI
1.
Gemini trafia na Windows. Koniec z otwieraniem przeglądarki
Aplikacje 12:41

Gemini trafia na Windows. Koniec z otwieraniem przeglądarki

0
MARIAN SZUTIAK
1.
Przy tym średniaku nie potrzebujesz flagowca. Dziś jest 400 zł taniej
Telepolis.pl
Sprzęt 12:17

Przy tym średniaku nie potrzebujesz flagowca. Dziś jest 400 zł taniej

0
PAWEł MARETYCZ
1.
x-kom wciąż wyprzedaje. Z tym kodem kupisz go za grosze
Telepolis.pl
Sprzęt 10:59

x-kom wciąż wyprzedaje. Z tym kodem kupisz go za grosze

0
PAWEł MARETYCZ
1.
Google ci wysprząta. W końcu ktoś się za to zabrał
Aplikacje 10:32

Google ci wysprząta. W końcu ktoś się za to zabrał

0
DAMIAN JAROSZEWSKI
1.
Polacy nagminnie robią tak na telefonie. Proszą się o kłopoty
Aplikacje 09:03

Polacy nagminnie robią tak na telefonie. Proszą się o kłopoty

5
DAMIAN JAROSZEWSKI
1.
Apple A20 Pro przetestowany. Procesory z PC mogą się schować
Sprzęt 10 WRZ 2026

Apple A20 Pro przetestowany. Procesory z PC mogą się schować

5
PRZEMYSłAW BANASIAK
1.
Philips uderza w graczy. Duży ekran i 200 Hz w dobrej cenie
Sprzęt 10 WRZ 2026

Philips uderza w graczy. Duży ekran i 200 Hz w dobrej cenie

0
PRZEMYSłAW BANASIAK
1.
Nintendo naprawia duży brak Switcha 2. Gracze czekali od premiery
Oprogramowanie 10 WRZ 2026

Nintendo naprawia duży brak Switcha 2. Gracze czekali od premiery

0
PRZEMYSłAW BANASIAK
1.
Audio-Technica łączy ogień z wodą. Audiofile już biegną po te słuchawki
Sprzęt 10 WRZ 2026

Audio-Technica łączy ogień z wodą. Audiofile już biegną po te słuchawki

5
MIESZKO ZAGAńCZYK
1.
W końcu tańsza pamięć. Nowy gracz znalazł sposób
Tech 10 WRZ 2026

W końcu tańsza pamięć. Nowy gracz znalazł sposób

0
PRZEMYSłAW BANASIAK
1.
Oto Vivo X500. Nowy król zdjęć lada chwila w sprzedaży
Sprzęt 10 WRZ 2026

Oto Vivo X500. Nowy król zdjęć lada chwila w sprzedaży

1
MARIAN SZUTIAK
1.
Gracze uciekają ze Steam. Nie chcą się legitymować
Aplikacje 10 WRZ 2026

Gracze uciekają ze Steam. Nie chcą się legitymować

4
PAWEł MARETYCZ
1.
Telefon Trumpa drożeje aż o 50%. Stary dziad nieodporny na kryzys
Sprzęt 10 WRZ 2026

Telefon Trumpa drożeje aż o 50%. Stary dziad nieodporny na kryzys

1
PRZEMYSłAW BANASIAK
1.
Telepolis - gif