Benvenuto su Hackerpunk — news su videogiochi, industria gaming, sicurezza nei server di gioco, exploit, DDoS e tecnologia ludica. Dal retrogaming alle ultime uscite, con occhio cyber.
In base alle norme di segnalazione obbligatoria previste dal Cyber Resilience Act, i produttori che vendono prodotti con elementi digitali nell'UE sono ora tenuti a segnalare alle autorità di cybersicurezza le vulnerabilità attivamente sfruttate.
Gli obblighi di segnalazione previsti dall'articolo 14 del CRA sono entrati in vigore oggi. Fatte salve le esenzioni previste dal regolamento, si applicano ai produttori di dispositivi con elementi digitali immessi sul mercato nell'UE, indipendentemente dal luogo di residenza di tali produttori.
I produttori devono inviare un avviso tempestivo entro 24 ore dalla scoperta di una vulnerabilità attivamente sfruttata, seguito da una notifica più dettagliata entro 72 ore.
Le stesse scadenze si applicano agli incidenti gravi che compromettono la sicurezza dei prodotti con elementi digitali.
L'unica differenza in termini di tempistica riguarda la relazione finale. I produttori devono fornire una relazione finale su una vulnerabilità attivamente sfruttata entro 14 giorni dalla messa a disposizione di una misura correttiva o di mitigazione. Per gli incidenti gravi, la relazione finale deve essere presentata entro un mese dalla prima segnalazione.
Darren Anstee, CTO per la sicurezza di Netscout, ha affermato che le scadenze per la presentazione dei report introducono la necessaria urgenza nel percorso verso la resilienza informatica globale.
"Il lasso di tempo di 24 ore entro il quale deve essere segnalato un allarme iniziale crea un senso di urgenza, e le scadenze successive garantiscono che la raccolta e la diffusione di ulteriori informazioni siano tempestive", ha affermato.
"Una condivisione delle informazioni migliore e più rapida aiuta le organizzazioni a mettere in atto difese e controlli di mitigazione quando sanno che esiste un rischio elevato."
I produttori dell'UE e dei paesi extra-UE devono presentare queste segnalazioni tramite la Piattaforma unica di segnalazione (SRP) dell'ENISA.
Le notifiche sono indirizzate al team di coordinamento per la risposta agli incidenti di sicurezza informatica (CSIRT) designato ai sensi del CRA. Per un fabbricante UE, si tratta generalmente del CSIRT dello Stato membro in cui ha la sua sede principale; norme separate determinano il coordinatore per i fabbricanti con sede al di fuori del blocco.
I produttori devono inoltre informare gli utenti interessati, ove opportuno, in merito a vulnerabilità attivamente sfruttate o incidenti gravi. Il CRA stabilisce che gli utenti devono essere informati delle correzioni o delle misure di mitigazione disponibili senza indebito ritardo.
In generale, le violazioni della normativa CRA sono punibili con sanzioni pecuniarie di diversa entità, le più gravi delle quali possono raggiungere i 15 milioni di euro (17,4 milioni di dollari) o il 2,5% del fatturato annuo del trasgressore, a seconda di quale dei due importi sia maggiore.
Gli obblighi di segnalazione entrati in vigore oggi sono classificati come responsabilità fondamentali ai sensi della legge, il che significa che la mancata osservanza di tali obblighi potrebbe comportare l'applicazione delle sanzioni massime previste.
Rappresentano l'ultimo passo del piano dell'UE per introdurre gradualmente normative di sicurezza più rigorose per le aziende che operano nel blocco.
La maggior parte delle restanti disposizioni del CRA entrerà in vigore l'11 dicembre 2027, data a partire dalla quale i produttori saranno tenuti a integrare la sicurezza fin dalla progettazione e per impostazione predefinita. Ciò significa che non saranno più consentite password predefinite e gli aggiornamenti di sicurezza non saranno più facoltativi.