Zgłoszenia w Cyber Resilience Act: o co pytać dostawców oprogramowania

Przepisy Cyber Resilience Act o zgłaszaniu nakładają nowe obowiązki na producentów. Nie na małe firmy, które kupują ich produkty. Dają jednak Tobie, kupującemu, dobry pretekst, żeby każdemu dostawcy zadać jedno pytanie: jak informacja o luce i o poprawce faktycznie do nas dotrze? Poniżej znajdziesz tę sprawę opisaną z perspektywy klienta, prostym językiem - praktyczną listę pytań i nawyków, a nie poradę prawną.

Co zmieniło się we wrześniu na mocy Cyber Resilience Act?

Od 11 września 2026 r. producenci muszą zgłaszać aktywnie wykorzystywane podatności i poważne incydenty dotyczące ich produktów z elementami cyfrowymi. Aktywnie wykorzystywana podatność? To po prostu luka, z której atakujący już korzystają. Według przeglądu CRA przygotowanego przez Komisję akt wszedł w życie 10 grudnia 2024 r., a jego główne obowiązki stosuje się od 11 grudnia 2027 r.

Jak wyjaśnia strona Komisji o zgłoszeniach CRA, producent musi przekazać wczesne ostrzeżenie w ciągu 24 godzin od chwili, gdy dowiedział się o problemie, a pełne zgłoszenie w ciągu 72 godzin.

Czy obowiązki zgłaszania z CRA dotyczą małej firmy, która kupuje?

Nie. Obowiązki spoczywają na producentach, a nie na małej firmie, która kupuje oprogramowanie, routery czy inne urządzenia podłączone do sieci. Zgłoszenia trafiają do organów i nic tu nie gwarantuje, że klient automatycznie dostanie kopię. Czy konkretne narzędzie albo usługa online podlega przepisom? Nie zgaduj. Sprawdź to u każdego dostawcy.

Wniosek dla małych firm jest prostszy. Dostawcy muszą teraz śledzić wykorzystywane luki w krótkim terminie, więc można uczciwie zapytać, jak ta sama informacja trafia do ludzi, którzy z produktu korzystają.

Pytania o bezpieczeństwo do dostawców oprogramowania, które warto wysłać w tym miesiącu

Wyślij krótką pisemną listę do każdego dostawcy oprogramowania i urządzeń, a będziesz wiedzieć, jak szybko usłyszysz o problemie. Niech będzie na tyle zwięzła, żeby dział wsparcia mógł odpowiedzieć w jednej wiadomości:

• Czy Państwa zdaniem ten produkt podlega pod Cyber Resilience Act?
• Jak informują Państwo klientów o aktywnie wykorzystywanych podatnościach?
• Jakim kanałem przychodzą te powiadomienia i na który adres po naszej stronie?
• Jak dostarczane są aktualizacje bezpieczeństwa od dostawców takich jak Państwo - automatycznie czy instalujemy je ręcznie?
• Do kiedy ten produkt będzie otrzymywał aktualizacje?
• Z kim się kontaktować, gdy powiadomienie jest niejasne?

Odpowiedzi przechowuj na piśmie, obok umowy albo karty dostawcy. Mglista odpowiedź to też informacja. Brak odpowiedzi również.

Prowadź jedną listę oprogramowania, urządzeń i kontaktów do dostawców

Nikt nie zareaguje na powiadomienie od dostawcy, jeśli nikt nie wie, że dany produkt jest w użyciu. Zacznij więc od inwentaryzacji. Przy każdej pozycji zapisz produkt, dostawcę, jego kontakt w sprawach bezpieczeństwa, osobę w Twojej firmie, która za niego odpowiada, oraz sposób instalowania aktualizacji. Arkusz kalkulacyjny wystarczy, o ile ktoś go aktualizuje.

Z mojego doświadczenia wynika, że najbardziej bolą rzeczy zapomniane: routery, drukarki, kamery, wtyczki do przeglądarek i stron internetowych. Przejrzyj listę podczas corocznych porządków w narzędziach, a się nie zdezaktualizuje. Kontakty do dostawców i umowy z przypomnieniami o wygaśnięciu można też trzymać w CRM, takim jak EpicCRM, żeby karta dostawcy i data odnowienia były w jednym miejscu.

Kto odbiera powiadomienia od dostawców i jak szybko instalujesz aktualizacje?

Każde powiadomienie potrzebuje wskazanego z imienia odbiorcy, osoby zastępującej i ustalonego czasu na reakcję. Pomiń to, a ostrzeżenie wyląduje w skrzynce kogoś, kto jest na urlopie. I będzie czekać. Wystarczy prosta rutyna:

1. Kieruj powiadomienia na wspólną skrzynkę, a nie na skrzynkę jednej osoby.
2. Wyznacz właściciela i zastępcę dla każdego produktu.
3. Ustal, jak szybko aktualizacje są instalowane w kluczowych narzędziach.
4. Określ, co się dzieje, gdy poprawki jeszcze nie ma, na przykład ograniczenie dostępu albo wyłączenie funkcji.
5. Zapisuj, co zostało zrobione i kiedy.

Pracownicy, którzy zauważą ostrzeżenie, potrzebują też jasnej ścieżki eskalacji, żeby decyzja o załataniu albo wstrzymaniu narzędzia trafiła do kogoś, kto ma prawo ją podjąć.

Kopie zapasowe, które naprawdę przetestowałeś

Kopia zapasowa liczy się dopiero wtedy, gdy udało Ci się z niej odtworzyć dane. Wykorzystana luka może kosztować Cię dane, zanim pojawi się poprawka. Zapytaj każdego dostawcę, co jest objęte kopią, jak często i jak zgłasza się prośbę o odtworzenie. Tam, gdzie narzędzie na to pozwala, trzymaj własny eksport kluczowych danych.

W przypadku danych klientów testowanie odtwarzania kopii CRM według harmonogramu pokazuje, czy kopia nadaje się do użytku i ile trwa przywrócenie. EpicCRM działa na serwerach w UE, z szyfrowaniem, automatycznymi kopiami zapasowymi, rolami i uprawnieniami oraz eksportem danych, więc masz zarówno kopię po stronie dostawcy, jak i własną.

Cyber Resilience Act nakłada zgłaszanie na producentów. Zadanie kupującego jest mniejsze i w pełni wykonalne: inwentaryzacja, wskazany odbiorca powiadomień, nawyk szybkiego instalowania aktualizacji i kopie zapasowe, które sprawdziły się w praktyce.

FAQ