Создатели криптовалютных кошельков теперь имеют всего 24 часа, чтобы уведомить регуляторов о выявленных уязвимостях

Коммерческие производители, чьи подключенные аппаратные кошельки или программное обеспечение для кошельков соответствуют требованиям тестирования продуктов Европейского Союза, теперь обязаны предупреждать кибернетические власти в течение 24 часов после обнаружения активно эксплуатируемой уязвимости или серьезного инцидента безопасности.

Это требование вступило в силу 11 сентября 2026 года в рамках Закона ЕС о киберустойчивости (CRA). Руководство Европейской комиссии по отчетности указывает, что отсчет времени начинается для производителей продуктов с цифровыми элементами.

CRA является горизонтальным законом о продуктах. Часто задаваемые вопросы по реализации Комиссии сообщают, что он применяется к аппаратному и программному обеспечению, доступному на рынке ЕС. Юридический тест также требует, чтобы предполагаемое или разумно предсказуемое использование продукта включало прямое или косвенное подключение к устройству или сети.

Коммерчески поставляемый подключенный аппаратный кошелек или загружаемое приложение для кошелька могут соответствовать этому тесту. Однако руководство ЕС не называет бренды кошельков и не объявляет, что каждая служба или проект кошелька охвачены. Охват зависит от конкретного продукта, способа его поставки и любых применимых исключений.

Что должны сообщать производители

Первый отчет является ранним предупреждением, которое должно быть предоставлено без неоправданной задержки и не позднее 24 часов после того, как производитель узнал о уязвимости или инциденте. Он должен указывать, где это применимо, государства-члены, в которых продукт, как известно, был доступен. Для серьезного инцидента предупреждение также должно указывать, подозреваются ли незаконные или злонамеренные действия.

Более полное уведомление должно быть предоставлено в течение 72 часов, если соответствующая информация еще не была предоставлена. Для активно эксплуатируемой уязвимости этот отчет добавляет общую информацию о продукте, эксплуатации и уязвимости, а также корректирующие или смягчающие меры. Для серьезного инцидента он добавляет характер инцидента, первоначальную оценку и доступную информацию о смягчении.

Конечный срок отличается в зависимости от события. Отчет о уязвимости должен быть предоставлен не позднее 14 дней после того, как корректирующая или смягчающая мера станет доступной. CRA устанавливает конечный срок для окончательного отчета о серьезном инциденте в один месяц после уведомления в течение 72 часов, как указано в регламенте.

Производители подают отчеты через Единую платформу отчетности, запущенную ENISA, агентством кибербезопасности ЕС. Портал отправляет уведомление назначенной координирующей команде по реагированию на инциденты в области компьютерной безопасности и делает информацию доступной для ENISA, а затем поддерживает распределение другим соответствующим национальным командам. Производители также должны информировать пострадавших пользователей и, где это уместно, всех пользователей, когда необходимо предпринять действия, включая меры, которые они могут предпринять.

Правило отчетности охватывает продукты, попадающие под действие закона, которые были выведены на рынок до 11 декабря 2027 года. Это делает новый отсчет актуальным для существующих продуктовых линий, а не только для кошельков, впервые проданных после вступления в силу более широкого закона.

Лицензирование с открытым исходным кодом не создает всеобъемлющего исключения. Руководство Комиссии по открытым исходным кодам указывает, что коммерчески поставляемые бесплатные и открытые продукты могут подлежать обязательствам производителей. Невозмездное программное обеспечение, предоставляемое его производителем, не должно считаться коммерческой деятельностью, в то время как отдельные участники не рассматриваются как производители программного обеспечения вне их ответственности.

Опекуны программного обеспечения с открытым исходным кодом являются отдельной юридической категорией, и их обязанности по отчетности начинаются 11 декабря 2027 года. Это также дата, когда вступают в силу основные требования CRA к безопасности продуктов. Изменение от 11 сентября запускает режим быстрого отчетности, а не более широкую структуру безопасного проектирования и жизненного цикла продукта закона.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.