Творці криптовалютних гаманців тепер мають лише 24 години, щоб сповістити регуляторів про експлуатацію вразливостей

Комерційні виробники, чиї підключені апаратні гаманці або програмне забезпечення для гаманців відповідають вимогам тестування продуктів Європейського Союзу, тепер повинні попереджати кібернетичні органи протягом 24 годин після виявлення активно експлуатованої вразливості або серйозного інциденту безпеки.

Ця вимога набула чинності 11 вересня 2026 року відповідно до Закону ЄС про кіберстійкість (CRA). Вказівки Європейської комісії щодо звітності зазначають, що годинник починає відлік для виробників продуктів з цифровими елементами.

CRA є горизонтальним законом про продукти. Часто задавані питання щодо реалізації Комісії вказують, що він стосується апаратного та програмного забезпечення, доступного на ринку ЄС. Юридичний тест також вимагає, щоб передбачуване або розумно передбачуване використання продукту включало пряме або непряме з'єднання з пристроєм або мережею.

Комерційно постачений підключений апаратний гаманець або завантажуваний додаток для гаманця можуть відповідати цьому тесту. Однак вказівки ЄС не називають бренди гаманців або оголошують, що кожна служба або проект гаманців охоплені. Охоплення залежить від конкретного продукту, способу його постачання та будь-яких застосовних виключень.

Що повинні звітувати виробники

Перше подання є раннім попередженням, яке має бути надане без затримки і не пізніше ніж через 24 години після того, як виробник дізнається про вразливість або інцидент. Воно повинно вказувати, де це можливо, держави-члени, де продукт відомий як доступний. Для серйозного інциденту попередження також повинно вказувати, чи підозрюються незаконні або зловмисні дії.

Повніше повідомлення має бути надане протягом 72 годин, якщо відповідна інформація вже не була надана. Для активно експлуатованої вразливості це подання додає загальну інформацію про продукт, експлуатацію та вразливість, а також коригувальні або пом'якшувальні заходи. Для серйозного інциденту воно додає природу інциденту, первісну оцінку та доступну інформацію про пом'якшення.

Остаточний термін відрізняється в залежності від події. Звіт про вразливість має бути наданий не пізніше ніж через 14 днів після того, як коригувальний або пом'якшувальний захід стане доступним. CRA встановлює остаточний термін звіту про серйозний інцидент на один місяць після 72-годинного повідомлення, як зазначено в регламенті.

Виробники подають звіт один раз через Єдину платформу звітності, запущену ENISA, агентством кібербезпеки ЄС. Портал надсилає повідомлення до призначеної координуючої команди реагування на комп'ютерні інциденти безпеки та робить інформацію доступною для ENISA, а потім підтримує розповсюдження до інших відповідних національних команд. Виробники також повинні інформувати постраждалих користувачів і, де це доречно, всіх користувачів, коли потрібні дії, включаючи заходи, які вони можуть вжити.

Правило звітності стосується продуктів, які були виведені на ринок до 11 грудня 2027 року. Це робить новий термін актуальним для існуючих ліній продуктів, а не лише для гаманців, які вперше продаватимуться після набрання чинності більш широкого закону.

Ліцензування з відкритим кодом не створює загального виключення. Вказівки Комісії щодо відкритого коду зазначають, що комерційно постачані безкоштовні та відкриті продукти можуть підпадати під зобов'язання виробника. Невигідне програмне забезпечення, що постачається його виробником, не повинно вважатися комерційною діяльністю, тоді як окремі учасники не розглядаються як виробники для програмного забезпечення поза їхньою відповідальністю.

Керуючі програмним забезпеченням з відкритим кодом є окремою юридичною категорією, і їхні обов'язки щодо звітності починаються 11 грудня 2027 року. Саме тоді набирають чинності основні вимоги CRA щодо безпеки продуктів. Зміна 11 вересня розпочинає режим швидкого звітування, а не більш широкої рамки безпечного дизайну та життєвого циклу продукту.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.