Zestaw Cyber Resilience Act: procedura zgłaszania w 24 godziny, polityka ujawniania podatności, security.txt i SBOM

Tak. Artykuł 14 obowiązuje od 11 września 2026 r. i obejmuje produkty wprowadzone do obrotu przed rozpoczęciem stosowania pozostałych przepisów rozporządzenia 11 grudnia 2027 r. ENISA uruchomiła jednolitą platformę zgłoszeniową 11 września 2026 r.

W przypadku aktywnie wykorzystywanej podatności: wczesne ostrzeżenie w ciągu 24 godzin od uzyskania informacji o niej, powiadomienie w ciągu 72 godzin oraz raport końcowy nie później niż 14 dni po udostępnieniu poprawki lub środka zaradczego. W przypadku poważnego incydentu: te same terminy 24 i 72 godzin oraz raport końcowy w ciągu miesiąca od powiadomienia.

Sama strona internetowa lub usługa w chmurze nie podlega rozporządzeniu. Oprogramowanie przekazywane użytkownikom, takie jak aplikacja na komputer lub urządzenie mobilne, jest na jego gruncie produktem. Produktem są też funkcje w chmurze, które są potrzebne do działania produktu, na przykład usługa pozwalająca użytkownikom sterować inteligentnym urządzeniem zdalnie.

Nie. Zgłoszenia trafiają przez jednolitą platformę zgłoszeniową ENISA od wskazanej przez ciebie osoby, która loguje się kontem EU Login. Procedura określa, kto to jest, a szablony zawierają to, co musi znaleźć się w każdym zgłoszeniu, więc dyżurna osoba je wypełnia i wysyła.

Plików zależności produktu, takich jak package-lock.json, poetry.lock, go.sum czy Cargo.lock, a w przypadku firmware'u listy komponentów z ich wersjami. SBOM tworzymy na podstawie tych plików, więc nie potrzebujemy dostępu do twojego repozytorium ani systemów.

Procedura, polityka i security.txt obejmują całą twoją firmę. Cena zawiera SBOM dla jednego produktu: pozostałe wymień w kwestionariuszu, a wycenimy ich SBOM-y przed rozpoczęciem prac. Jeśli nie dostarczymy tego, co wymienia ta strona, otrzymasz pełny zwrot pieniędzy.