Alates tänasest, 11. septembrist, peavad tarkvara ja nutiseadmete tootjad teatama turvanõrkustest, mida ründajad juba ära kasutavad. Nii nõuab Euroopa Liidu küberkerksuse määrus. Kohustus puudutab ka neid Eesti väikeettevõtteid, kes müüvad tarkvara või seadmeid oma nime all.
Mis juhtus?
Euroopa Liidu Küberturvalisuse Amet ENISA avas 11. septembril ühtse teatamisplatvormi, mille kaudu esitavad tootjad küberkerksuse määruse nõutud teated. Määruse põhilised turvanõuded hakkavad kehtima alles 11. detsembril 2027, kuid teatamiskohustus kehtib juba praegu.
Määrus puudutab digielemente sisaldavaid tooteid ehk tarkvara ja riistvara, mis ühendub teiste seadmete või võrguga. Tootja peab teatama kahest asjast: aktiivselt ärakasutatavast nõrkusest ja tõsisest intsidendist, mis mõjutab toote turvalisust. Tõsine on intsident näiteks siis, kui see seab ohtu tundlikud andmed või laseb tootes käivitada pahatahtlikku koodi.
Teade jõuab korraga ENISA-ni ja koordinaatoriks määratud küberintsidentidele reageerimise üksuseni (CSIRT). Teade esitatakse selle riigi üksusele, kus tootja teeb oma peamised küberturbe otsused. ENISA koordinaatorite nimekirjas on Eesti kohta märgitud Riigi Infosüsteemi Ameti (RIA) juures tegutsev CERT-EE.
ENISA juht Juhan Lepassaar tuletas platvormi avamisel meelde, et ründajad kasutavad digitoodete turvanõrkusi sageli selleks, et õõnestada kriitilisi teenuseid, näiteks tervishoidu, energeetikat, transporti ja telekommunikatsiooni.
Millised on tähtajad?
Artikkel 14 seab nii nõrkuse kui ka tõsise intsidendi kohta kolm tähtaega, mis hakkavad jooksma hetkest, kui tootja probleemist teada saab.
| Tähtaeg | Mida esitada |
|---|---|
| 24 tunni jooksul | Eelhoiatus; võimaluse korral märgitakse, millistes ELi riikides toode tootja teada müügil on |
| 72 tunni jooksul | Teavitus: üldine teave toote, nõrkuse või intsidendi ja võetud meetmete kohta |
| hiljemalt 14 päeva pärast seda, kui parandus või leevendusmeede on kättesaadav | Nõrkuse lõpparuanne |
| ühe kuu jooksul pärast 72 tunni teavitust | Tõsise intsidendi lõpparuanne |
Kohustus kehtib ka toodete kohta, mis on juba turul, nagu sätestab artikli 69 lõige 3 ja kinnitab Euroopa Komisjon. Teatada tuleb seega ka varem müüdud seadmete ja tarkvaraversioonide kohta.
Asjakohasel juhul peab tootja ka mõjutatud kasutajaid teavitama, et nõrkus või intsident on olemas, ning vajaduse korral ütlema, kuidas nad saavad kahju vähendada. Nii nõuab artikli 14 lõige 8.
Mikro- ja väikeettevõtetele ei saa määrata trahvi ainult 24 tunni tähtaja ületamise eest. See ei tähenda, et teatamata võiks jätta, sest ülejäänud kohustused kehtivad neile samamoodi.
Kas teie ettevõte on tootja?
Määruse järgi on tootja see, kes arendab või valmistab digielemente sisaldavat toodet või laseb seda teha ning turustab seda oma nime või kaubamärgi all. Pole vahet, kas toodet müüakse või antakse tasuta, kui see on osa äritegevusest.
Eesti väikeettevõtete seas on tootjaid rohkem, kui esmapilgul tundub. Tootja on näiteks:
- tarkvarafirma, mis müüb oma programmi või mobiilirakendust;
- ettevõte, mis laseb nutipistiku või anduri valmistada mujal ja müüb seda oma kaubamärgi all;
- seadmetootja, kelle toode suhtleb ettevõtte enda rakenduse või serveriga.
Raamatupidamisbüroo või kauplus, mis kasutab ainult teiste tarkvara, ei ole üldjuhul tootja ja puutub määrusega kokku pigem kaudselt, tarnijate kaudu. Piiri tõmbamine ei ole alati lihtne. See postitus ei ole õigusnõu, nii et kui te pole kindel, küsige juristilt.
Mida teha?
- Selgitage välja, kas olete tootja. Pange kirja kõik tooted, mida turustate oma nime all, sealhulgas vanemad versioonid ja tasuta rakendused.
- Määrake, kes teatab. Eelhoiatus tuleb esitada 24 tunni jooksul, ka nädalavahetusel. Leppige kokku vastutaja ja asendaja ning tutvuge ENISA platvormiga enne, kui seda päriselt vaja läheb.
- Valmistage ette teade kasutajatele. Mõelge läbi, kuidas jõuate kiiresti oma klientideni ja mida neile nõrkuse ja leevendusmeetmete kohta ütlete.
- Koostage toote komponentide nimekiri. Kui teate, milliseid teeke ja komponente toode kasutab, saate kiiresti öelda, kas uus nõrkus teid puudutab. Sellist nimekirja nimetatakse tarkvara koostisosade loendiks (SBOM).
- Otsige nõrkusi enne ründajaid. Mida vähem auke ründajad leiavad, seda harvem tuleb teatada. ENISA on väikeettevõtetele koostanud küberkerksuse küpsusmudeli ja turvalise disaini juhendi. Rakenduste ja veebilehe nõrkusi aitab leida turvakontroll.
Allikad
- EUR-Lex: Euroopa Parlamendi ja nõukogu määrus (EL) 2024/2847 (küberkerksuse määrus)
- ENISA: The CRA Single Reporting Platform is launched
- Euroopa Komisjon: Ohutumad ja turvalisemad digitooted
- ENISA: List of CSIRTs Designated as Coordinators
Postituse koostamisel kasutasime tehisintellekti. Faktid põhinevad allpool loetletud allikatel ja on kirjutatud uudise ilmumise päeva teadmiste põhjal. Kuidas me tehisintellekti kasutame.
