Cyber Resilience Act: od 11 września producenci zgłaszają podatności w 24 godziny

Rozporządzenie (UE) 2024/2847, nazywane Cyber Resilience Act, obejmuje sprzęt i oprogramowanie, które łączą się z urządzeniem lub siecią. Większość wymogów stosuje się od 11 grudnia 2027 roku, ale obowiązki zgłoszeniowe zaczynają się 11 września 2026 roku i dotyczą także produktów, które są już na rynku

Terminy zgłoszeń

Gdy producent dowie się o aktywnie wykorzystywanej podatności albo poważnym incydencie, w ciągu 24 godzin wysyła wczesne ostrzeżenie, w ciągu 72 godzin zgłoszenie, a potem raport końcowy: 14 dni od udostępnienia poprawki przy podatności albo miesiąc od zgłoszenia przy incydencie. Zgłoszenia trafiają jednocześnie do zespołu CSIRT wyznaczonego jako koordynator i do ENISA, przez jednolitą platformę zgłoszeniową. Producent musi też poinformować użytkowników, których to dotyczy. 27 lipca Komisja Europejska opublikowała wytyczne do stosowania rozporządzenia

Gdzie tu AI

Aplikacja z modułem AI instalowana u klienta, urządzenie z wbudowanym modelem czy komercyjna biblioteka do budowy agentów to produkty z elementami cyfrowymi. Od 11 grudnia 2027 roku produkt z elementami cyfrowymi, który jest systemem AI wysokiego ryzyka i spełnia zasadnicze wymagania z CRA, uważa się za zgodny z wymogami cyberbezpieczeństwa z art. 15 AI Act, jeśli wykazuje to deklaracja zgodności UE (art. 12 CRA). Nie dotyczy to wymogów dokładności i solidności. Usługi świadczone wyłącznie w chmurze co do zasady nie są objęte CRA, chyba że stanowią rozwiązanie zdalnego przetwarzania danych dla produktu

Co radzę kupującym

W umowach na oprogramowanie z AI warto zapisać, jak producent będzie informował o podatnościach i poprawkach, kto po stronie klienta przyjmuje takie informacje i w jakim czasie trzeba wdrożyć aktualizację. Od 11 grudnia 2027 roku producent będzie musiał zapewniać aktualizacje bezpieczeństwa przez okres wsparcia, co do zasady co najmniej pięć lat. Do tego czasu warto mieć to w umowie

Aleksandra Albera

Prawniczka specjalizująca się w prawie nowych technologii: AI Act, systemy zarządzania AI według ISO/IEC 42001, cyberbezpieczeństwo i ochrona danych. Audytor wiodący ISO/IEC 42001. Czuwa nad prawną stroną zamówień, umów i dokumentacji AI