Twórcy portfeli kryptowalutowych mają teraz tylko 24 godziny na powiadomienie regulatorów o wykorzystaniu luk

Producenci komercyjni, których połączone portfele sprzętowe lub oprogramowanie portfela spełniają testy produktów Unii Europejskiej, muszą teraz ostrzec władze cybernetyczne w ciągu 24 godzin od odkrycia aktywnie wykorzystywanej luki lub poważnego incydentu bezpieczeństwa.

Wymóg ten wszedł w życie 11 września 2026 roku na mocy Ustawy UE o odporności cybernetycznej (CRA). Wytyczne Komisji Europejskiej dotyczące raportowania wskazują, że zegar dotyczy producentów produktów z elementami cyfrowymi.

CRA jest poziomą ustawą produktową. FAQ dotyczące wdrożenia Komisji wskazuje, że dotyczy ona sprzętu i oprogramowania udostępnianego na rynku UE. Test prawny wymaga również, aby zamierzony lub rozsądnie przewidywalny sposób użycia produktu obejmował bezpośrednie lub pośrednie połączenie danych z urządzeniem lub siecią.

Komercyjnie dostarczany połączony portfel sprzętowy lub aplikacja portfela do pobrania mogą spełniać ten test. Jednak wytyczne UE nie wymieniają marek portfeli ani nie deklarują, że każda usługa lub projekt portfela są objęte tym wymogiem. Zakres zależy od konkretnego produktu, sposobu jego dostarczenia oraz wszelkich stosownych wyłączeń.

Co muszą zgłaszać producenci

Pierwsze zgłoszenie to wczesne ostrzeżenie, które należy złożyć bez zbędnej zwłoki, nie później niż 24 godziny po tym, jak producent dowie się o luce lub incydencie. Musi ono wskazywać, tam gdzie to możliwe, państwa członkowskie, w których produkt jest znany jako dostępny. W przypadku poważnego incydentu ostrzeżenie musi również wskazywać, czy podejrzewane są nielegalne lub złośliwe działania.

Pełniejsze powiadomienie należy złożyć w ciągu 72 godzin, chyba że odpowiednie informacje zostały już dostarczone. W przypadku aktywnie wykorzystywanej luki, to zgłoszenie dodaje ogólne informacje o produkcie, wykorzystaniu i luce, a także środki korygujące lub łagodzące. W przypadku poważnego incydentu dodaje charakter incydentu, wstępną ocenę i dostępne informacje o łagodzeniu.

Ostateczny termin różni się w zależności od zdarzenia. Raport o luce należy złożyć nie później niż 14 dni po tym, jak dostępne stanie się środki korygujące lub łagodzące. CRA ustala ostateczny termin raportu o poważnym incydencie na miesiąc po 72-godzinnym powiadomieniu, jak szczegółowo opisano w regulacji.

Producenci składają zgłoszenia raz poprzez Jednolity Portal Zgłoszeniowy uruchomiony przez ENISA, agencję cyberbezpieczeństwa UE. Portal przesyła powiadomienie do wyznaczonego koordynującego Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego i udostępnia informacje ENISA, a następnie wspiera dystrybucję do innych odpowiednich krajowych zespołów. Producenci muszą również informować użytkowników, których to dotyczy, a tam, gdzie to stosowne, wszystkich użytkowników, gdy konieczne są działania, w tym środki, które mogą podjąć.

Zasada raportowania dotyczy produktów objętych zakresem, które zostały wprowadzone na rynek przed 11 grudnia 2027 roku. To sprawia, że nowy zegar jest istotny dla istniejących linii produktów, a nie tylko dla portfeli sprzedawanych po wejściu w życie szerszej ustawy.

Licencjonowanie open-source nie tworzy ogólnego zwolnienia. Wytyczne Komisji dotyczące open-source wskazują, że komercyjnie dostarczane darmowe i otwarte produkty mogą podlegać obowiązkom producentów. Oprogramowanie nienaładowane dostarczone przez jego producenta nie powinno być traktowane jako działalność komercyjna, podczas gdy indywidualni współtwórcy nie są traktowani jako producenci dla oprogramowania poza ich odpowiedzialnością.

Opiekunowie oprogramowania open-source to osobna kategoria prawna, a ich obowiązki raportowe zaczynają się 11 grudnia 2027 roku. To również wtedy wchodzą w życie główne wymagania dotyczące bezpieczeństwa produktów CRA. Zmiana z 11 września rozpoczyna reżim szybkiego raportowania, a nie szerszą ramę projektowania bezpiecznego i cyklu życia produktu.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.