Pranešimo prievolės jau galioja: ką privalote padaryti per 24 valandas

Dauguma įmonių galvoja apie CRA kaip apie 2027 metų problemą. Tai klaida. Nuo 2026 m. rugsėjo 11 d. jau galioja konkreti, praktiška pareiga — pranešti apie aktyviai išnaudojamus pažeidžiamumus ir rimtus incidentus. Ir ji taikoma ne tik naujiems, bet ir jau rinkoje esantiems produktams.

Kada pareiga suveikia: terminas skaičiuojamas nuo momento, kai gamintojas „sužino“ apie aktyviai išnaudojamą pažeidžiamumą savo produkte arba apie rimtą incidentą, turintį įtakos produkto saugumui. Tai gali būti jūsų pačių stebėsenos sistemos aptikimas, saugumo tyrėjo pranešimas, kliento skundas ar viešai paskelbta informacija. „Nežinojimas“ nėra pateisinimas, jei pagrįstai turėjote galimybę sužinoti — pavyzdžiui, turėdami veikiantį stebėsenos procesą, bet jo nenaudodami.

24 valandos — išankstinis įspėjimas. Tai pirminis, trumpas pranešimas ENISA arba nacionaliniam CSIRT, nurodantis pagrindinę informaciją ir tai, ar pažeidžiamumas galėtų būti išnaudotas per trečiąją šalį. Tai nėra pilna ataskaita — tai signalas „mes žinome ir dirbame“.

72 valandos — išsamesnis pranešimas. Papildoma informacija apie pažeidžiamumo pobūdį, sunkumą ir žinomas išnaudojimo detales, jei tokių yra tuo metu.

14 dienų — galutinė ataskaita (arba pažangos ataskaita, jei darbas dar nebaigtas). Pilnas incidento ar pažeidžiamumo aprašymas, taikytos ar planuojamos priemonės, rekomendacijos naudotojams.

Kodėl tai svarbu dabar, o ne 2027 metais: ši pranešimo pareiga neturi pereinamojo laikotarpio lengvatos, kokią turi pilnas atitikties reikalavimas — ji jau veikia. Įmonė be aiškaus vidinio proceso (kas atsakingas, kaip greitai informacija pasiekia tą žmogų, kaip parengiamas pranešimas) rizikuoja praleisti 24 valandų terminą vien dėl vidinės komunikacijos vėlavimo, ne dėl paties vertinimo sudėtingumo.

Praktinis patarimas: nelaukite pirmo incidento, kad sužinotumėte, ar turite procesą. Paskirkite atsakingą asmenį ar komandą ir aiškų kontaktinį tašką dabar, prieš jo realiai prireikiant — tada 24 valandų terminas tampa vykdomo plano klausimu, ne paniškos improvizacijos.