Az Európai Parlament és a Tanács (EU) 2024/2847 rendeletének (Kiberrezilienciáról szóló rendelet, továbbiakban: CRA) 14. cikke az alábbi kötelezettségeket írja elő:
A gyártónak – amennyiben ilyen a tudomására jut – a digitális elemeket tartalmazó termékben található bármely aktívan kihasznált sérülékenységről és a termék biztonságát érintő súlyos eseményről egyidejűleg értesítenie kell a koordinátorként kijelölt Incidenskezelő Központot (CSIRT) és az ENISA-t.
A gyártók, valamint más természetes vagy jogi személyek önkéntes alapon is tehetnek bejelentést.
A gyártónak a CRA 16. cikk alapján, az ENISA által létrehozott egységes jelentéstételi platformon (Single Reporting Platform – SRP) keresztül kell az értesítést megtennie az említett aktívan kihasznált sérülékenységről, vagy súlyos incidensről.
Az értesítés benyújtását követően a koordináló CSIRT, haladéktalanul továbbítja az információt az EU azon tagállamaiban működő egyéb érintett CSIRT-eknek, ahol a termék szintén forgalomban van. Az értesítést egyidejűleg az ENISA rendelkezésére bocsátják.
A Magyarország kiberbiztonságáról szóló törvény végrehajtásáról szóló 418/2024. (XII.23.) Korm. rendelet 65.§ (1) bekezdés értelmében a Kormány nemzeti kiberbiztonsági incidenskezelő központként a Nemzetbiztonsági Szakszolgálatot jelölte ki.
A fenti Korm. rendelet 67.§ (1) bekezdés 4. c) pontja értelmében a nemzeti incidenskezelő központ (CSIRT) a sérülékenységeket, sebezhetőségeket érintő feladatkörében látja el az európai uniós jogi aktusban meghatározott koordinátor CSIRT-feladatokat.
Milyen eseményeket kell bejelenteni?
- Aktívan kihasznált sérülékenységek: A CRA 3. cikkének 42. pontjával összhangban azok a digitális elemeket tartalmazó termékekben fellelhető sérülékenységek, melyekre vonatkozóan megbízható bizonyíték van arra, hogy azokat jelenleg egy rosszakaratú szereplő kihasználja.
- Súlyos események: A 3. cikk 44. pontja szerint olyan események, amelyek negatív hatással vannak a digitális elemeket tartalmazó termék azon képességére, hogy megvédje az adatok vagy funkciók rendelkezésre állását, hitelességét, integritását vagy bizalmas jellegét; a súlyosság kritériumait a 14. cikk (5) bekezdése határozza meg.
Mikor kell bejelenteni az ilyen eseményeket?
A bejelentés folyamata akkor kezdődik, amikor Ön gyártóként vagy nyílt forráskódú szoftverek támogatójaként tudomást szerez egy bizonyos sérülékenység aktív kihasználásáról vagy egy súlyos eseményről. A következő határidőket kell betartani:
- Korai előrejelzés: 24 órán belül a sérülékenységről vagy az eseményről történő tudomásszerzést követően.
- Aktívan kihasznált sérülékenységre/súlyos eseményre vonatkozó értesítés: 72 órán belül a tudomásszerzést követően, általános információkat és egy kezdeti értékelést megadva.
- Zárójelentés:
- Sérülékenységek esetében: Legkésőbb 14 nappal azt követően, hogy a korrekciós intézkedés (javítócsomag) rendelkezésre áll.
- Súlyos események esetében: 1 hónapon belül a 72 órás, aktívan kihasznált sérülékenységre/súlyos eseményre vonatkozó értesítés benyújtását követően
Az oldalra előzetes regisztráció szükséges, az EU Login rendszeren keresztül. Az első belépéskor a felhasználónak ki kell választania a szerepkörét és a kijelölt CSIRT-et, el kell fogadnia a jogi megállapodást, majd ellenőriznie kell az előre kitöltött személyes adatokat. Ezt követően meg kell adnia a gyártó nevét, címét és további adatait, amellyel létrejön a gyártói szervezet a platformon.
A rendszer két meghatalmazott képviselői (Assigned Representative – AR) szerepkört különböztet meg: az elsődleges (Primary) és a másodlagos (Secondary) képviselőt. A másodlagos képviselő e-mailes meghívóval csatlakozhat, és helyettesítő szerepet tölt be. A meghívó hét napig érvényes, ezt követően a rendszer „Invitation Expired”, azaz „Lejárt meghívó” státuszt jelenít meg.
Fontos, hogy az ENISA útmutatójában szereplő „Assigned Representative” (AR), vagyis kijelölt képviselő kizárólag a platformon belüli felhasználói szerepkört jelöli. Ez nem azonos a CRA 18. cikke szerinti „meghatalmazott képviselővel” (authorised representative).
ENISA bővebb útmutatója a felülethez:
https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp
Regisztráció folyamata:
Amennyiben kérdésük van a CRA szerinti jelentéstételi kötelezettség kapcsán, kérjük, vegye fel velünk a kapcsolatot az alábbi email címen: cra-reporting@nki.gov.hu