Виробники зобов’язані забезпечити проектування, розробку та виробництво продукції відповідно до основних вимог кібербезпеки, викладених у Законі про кіберстійкість (Cyber Resilience Act, CRA). Ці вимоги охоплюють як технічні характеристики продукції, так і обов’язки виробника щодо управління вразливостями та надання оновлень безпеки протягом усього життєвого циклу продукту.
Стаття 14 Регламенту 2024/2847 про кібербезпеку зобов’язує виробників повідомляти органи влади про вразливості, що активно використовуються, та серйозні відхилення, які впливають на безпеку їхньої продукції. Обов’язок повідомлення поширюється на всю продукцію, що підпадає під дію Закону про кібербезпеку.
Обов’язок повідомлення виникає з моменту, коли виробник дізнається про проблему. Повідомлення про ранню вразливість або серйозне відхилення має бути надіслане протягом 24 годин після виявлення активно використовуваної вразливості або серйозного відхилення. Після цього має бути надіслане повідомлення про вразливість або відхилення, що містить більш детальну інформацію, протягом 72 годин після виявлення. Додатковий остаточний звіт про вразливість та відхилення подається пізніше.
Повідомлення надсилаються через Єдину платформу звітності (SRP) — центральну платформу звітності Європейського агентства з кібербезпеки ENISA.
Виробник зобов’язаний негайно повідомити користувачів, яких це стосується, та, у відповідних випадках, усіх користувачів продукту про будь-яку виявлену вразливість або серйозну аномалію, яка активно використовується зловмисниками. Повідомлення також має містити, у відповідних випадках, заходи, яких користувачі можуть вжити для зниження ризику або обмеження наслідків вразливості чи аномалії. У відповідних випадках інформація має бути надана у машиночитаному форматі.
Якщо виробник не повідомить користувачів достатньо швидко, призначений координатор CSIRT може в певних ситуаціях самостійно повідомити інформацію користувачам, якщо це є пропорційним та необхідним для запобігання або пом’якшення наслідків уразливості чи аномалії.
Виробник зобов’язаний відстежувати вразливості, пов’язані з продуктом, та надавати необхідні оновлення безпеки протягом усього життєвого циклу продукту.
