Nuo rugsėjo – nauja pareiga daliai verslo: apie tokius incidentus reikės pranešti per 24 valandas

Naujoji pareiga bus aktuali ne tik programinės įrangos kūrėjams ar technologijų bendrovėms, bet ir savo vardu išmaniuosius įrenginius, programėles, prie interneto prijungtą buitinę ar pramoninę įrangą bei kitus skaitmeninių elementų turinčius produktus ES rinkai pateikiančioms įmonėms. Ankstyvajam perspėjimui jos turės 24 valandas nuo tada, kai sužinos apie praneštiną pažeidžiamumą ar incidentą. Per 72 valandas privalės pateikti išsamesnę informaciją ir pirminį vertinimą.

Tai nereiškia, kad per pirmąją parą įmonė privalės pašalinti pažeidžiamumą ar išspręsti incidentą. Tačiau ji turės operatyviai įvertinti, ar problema atitinka Kibernetinio atsparumo akte nustatytus pranešimo kriterijus. Terminas bus skaičiuojamas nuo sužinojimo apie problemą, o ne nuo vidinio tyrimo pabaigos, pataisymo parengimo ar vadovybės sprendimo.

Asmeninio archyvo nuotr./Rokas Venslauskas

Nuo rugsėjo 11 d. pradedamos taikyti reglamento 14 straipsnyje nustatytos pranešimo pareigos, nors didžioji dalis kitų jo reikalavimų bus taikoma nuo 2027 m. gruodžio 11 d. Praktinį požiūrį į tai, kaip verslas turėtų vertinti reglamento taikymo sritį ir organizuoti pranešimus, pateikia ir liepos 27 d. paskelbtos neprivalomos Europos Komisijos gairės.

Pareiga palies ne tik technologijų bendroves

Norint suprasti, kurioms įmonėms atsiras naujoji pareiga, svarbu vertinti ne jų veiklos sektorių, o tai, kas pagal Kibernetinio atsparumo aktą laikomas produkto gamintoju. Juo laikomas asmuo, kuris kuria ar gamina produktus su skaitmeniniais elementais arba organizuoja jų kūrimą ar gamybą ir pateikia juos rinkai savo vardu ar su savo prekių ženklu. Tai apima ne tik parduodamus, bet ir kitu būdu monetizuojamus ar tam tikrais atvejais nemokamai komercinėje veikloje platinamus produktus.

Todėl gamintoju gali būti laikoma ne vien programavimo bendrovė ar elektronikos gamykla. Į reguliavimo sritį gali patekti ir prekybos, pramonės, energetikos ar vartojimo prekių įmonė, savo vardu platinanti išmanųjį įrenginį, programėlę ar kitą skaitmeninių elementų turintį produktą. Tai gali būti programos, maršrutizatoriai, kameros, išmanieji laikrodžiai, žaislai, buitinė technika ar prie interneto prijungta pramoninė įranga.

Svarbiausia, kas produktą pateikia ES rinkai savo vardu ar su savo prekių ženklu. Vien tai, kad įmonė naudoja įsigytą programą ar kitą skaitmeninį produktą, jos gamintoja nepadaro. Tačiau pranešimo režimas gali apimti ir anksčiau rinkai pateiktus produktus, jeigu apie jų aktyviai išnaudojamą pažeidžiamumą ar sunkų incidentą gamintojas sužinos jau pradėjus taikyti naująsias pareigas.

Ne kiekviena saugumo spraga turės būti pranešama

Ne kiekviena programos klaida, sistemos sutrikimas ar pažeidžiamumas turės būti pranešamas. Kibernetinio atsparumo aktas numato du konkrečius pagrindus.

Pirmasis – aktyviai išnaudojamas pažeidžiamumas. Turi būti patikimų duomenų, kad piktavališkas veikėjas jį jau išnaudojo sistemoje be jos savininko leidimo. Todėl vien teorinė spraga, laboratorinis bandymas, viešai paskelbtas pažeidžiamumo numeris ar techninis spragos demonstravimas dar nebūtinai reiškia aktyvų jos išnaudojimą.

Antrasis pagrindas – sunkus incidentas, turintis poveikį produkto saugumui. Jis laikomas praneštinu, jeigu neigiamai paveikia arba gali paveikti produkto gebėjimą apsaugoti svarbių duomenų ar funkcijų prieinamumą, autentiškumą, vientisumą ar konfidencialumą. Pareiga gali atsirasti ir tada, kai incidentas sudarė ar gali sudaryti sąlygas produkte arba jo naudotojo sistemose paleisti kenkėjišką kodą. Mechaninis gedimas, funkcijos neveikimas ar veiklos sulėtėjimas be kibernetinio saugumo elemento savaime nėra praneštinas incidentas.

Per 24 valandas turės būti pateiktas ankstyvasis perspėjimas, per 72 valandas – išsamesnė informacija ir pirminis vertinimas. Galutinė pažeidžiamumo ataskaita turės būti pateikta ne vėliau kaip per 14 dienų nuo taisomosios ar riziką mažinančios priemonės atsiradimo, o sunkaus incidento ataskaita – per mėnesį nuo 72 valandų pranešimo.

Bandyti problemą pirmiausia „susitvarkyti tyliai“ – rizikinga

Sprendimo, ar reikia pranešti, negalima palikti vien IT specialistui, tačiau būtų pavojinga ir laukti valdybos posėdžio ar vadovo parašo. Reglamentas nenustato konkretaus sprendimą priimančio asmens, todėl vidinį modelį įmonė turi susikurti iš anksto.

Techninius faktus turėtų nustatyti už produkto ar kibernetinį saugumą atsakingas specialistas, teisinius kriterijus – teisininkas arba atitikties funkcija, o paskirtas vadovas turėtų galėti nedelsdamas patvirtinti pranešimą. Prireikus į procesą įtraukiami duomenų apsaugos ir komunikacijos specialistai. Taip pat būtina paskirti pavaduojantį darbuotoją, nustatyti visą parą veikiančią reagavimo tvarką ir fiksuoti, kada bei kokią informaciją įmonė gavo.

Vidinė organizacinė painiava 24 valandų termino nesustabdys. Todėl problemos šalinimas ir pranešimas turės vykti lygiagrečiai. Ankstyvasis perspėjimas galės būti pateiktas dar neturint visų atsakymų, o išsamesnė informacija – vėliau. Įmonė neturės teisės savarankiškai nutylėti incidento ar atidėti pranešimo.

Už 14 straipsnyje nustatytų pareigų pažeidimą administracinė bauda gali siekti iki 15 mln. eurų arba 2,5 proc. įmonės praėjusių finansinių metų bendros pasaulinės metinės apyvartos, taikant didesnę ribą. Tai maksimalios, o ne automatiškai skiriamos baudos. Mikroįmonėms ir mažoms įmonėms numatyta siaura išimtis dėl baudos už 24 valandų termino praleidimą, tačiau pati pranešimo pareiga, 72 valandų etapas ir galutinė ataskaita išlieka.

Teisiniu požiūriu pavojingiausia ne tai, kad įmonė per pirmąją parą dar nežinos visų faktų, o tai, kad negalės parodyti, kada apie problemą sužinojo, kas ją vertino ir kodėl buvo nuspręsta nepranešti.

Pasirengimą lems sutartys, o pokyčius pajus ir vartotojai

Jeigu produktą kuria išorinis programuotojas, tačiau rinkai savo vardu jį pateikia užsakovas, tiesioginė pranešimo pareiga paprastai teks užsakovui kaip gamintojui. Todėl sutartyse su kūrėjais turėtų būti numatytas ne kelių dienų, o kelių valandų informacijos perdavimo ir bendradarbiavimo mechanizmas. Priešingu atveju įmonė gali nespėti įvykdyti 24 valandų pareigos.

Pokyčius pajus ir vartotojai, nors jiems patiems apie incidentus institucijoms pranešti nereikės. Gamintojas turės informuoti paveiktus produkto naudotojus ir prireikus nurodyti taisomąsias ar riziką mažinančias priemones. Tai gali reikšti skubius programinės įrangos atnaujinimus, raginimus pakeisti nustatymus ar slaptažodžius, laikinai išjungti pažeidžiamą funkciją, o sunkesniais atvejais – pakeisti produktą.

Gavę saugumo pranešimą vartotojai neturėtų atidėti atnaujinimo kelioms savaitėms. Naujoji sistema bus veiksminga tik tada, jeigu gamintojas greitai perspės, o naudotojas greitai įdiegs pataisymą.