الزامات گزارش‌دهی قانون تاب‌آوری سایبری اتحادیه اروپا برای آسیب‌پذیری‌های فعال اجرایی شد

فروشندگان نرم‌افزارهای سازمانی و تولیدکنندگان سخت‌افزار تا حد زیادی قانون تاب‌آوری سایبری اتحادیه اروپا (CRA) را به چشم یک دردسر انطباقی برای سال ۲۰۲۷ می‌دیدند. اما این زمان‌بندی دیگر معتبر نیست. از ۱۱ سپتامبر ۲۰۲۶، الزامات گزارش‌دهی ماده ۱۴ این قانون رسماً لازم‌الاجرا شده است؛ به این معنی که هر تولیدکننده‌ای که محصول دیجیتالی در بازار اتحادیه اروپا دارد، باید آسیب‌پذیری‌های در حال سوءاستفاده را ظرف ۲۴ ساعت پس از کشف به نهادهای نظارتی گزارش دهد. آژانس امنیت سایبری اتحادیه اروپا (ENISA) صبح چهارشنبه پلتفرم گزارش‌دهی واحد خود را فعال کرد و این قانون را از یک چارچوب تئوریک روی کاغذ، به یک سازوکار نظارتی فعال تبدیل کرد.[1][3][4]

قانون CRA در اصل برای مقابله با مشکل مزمنِ کمبود به‌روزرسانی‌های امنیتی در دستگاه‌های متصل به شبکه تصویب شد، اما اجرای آن مرحله‌به‌مرحله است. در حالی که الزامات هسته‌ای «امنیت سایبری از مرحله طراحی» و دریافت نشان CE تا ۱۱ دسامبر ۲۰۲۷ اعمال نمی‌شوند، پنجره زمانی افشای آسیب‌پذیری‌ها ۱۵ ماه زودتر به جریان افتاده است. این قوانین برای هر محصول سخت‌افزاری یا نرم‌افزاری دارای عناصر دیجیتال که در اتحادیه اروپا فروخته می‌شود، صرف‌نظر از اینکه دفتر مرکزی تولیدکننده کجاست، اعمال می‌شود.[2][4]

این سازوکار گزارش‌دهی، یکی از فشرده‌ترین پنجره‌های افشا را در مقررات امنیت سایبری جهان تحمیل می‌کند. وقتی تولیدکننده‌ای متوجه یک آسیب‌پذیری در حال سوءاستفاده یا یک حادثه جدی در محصول خود می‌شود، باید ظرف ۲۴ ساعت یک هشدار اولیه را از طریق پلتفرم گزارش‌دهی واحد ENISA ثبت کند. یک اعلان فنی کامل نیز باید ظرف ۷۲ ساعت ارائه شود. در نهایت، تولیدکننده موظف است حداکثر ۱۴ روز پس از در دسترس قرار گرفتن یک اقدام اصلاحی (مانند یک وصله نرم‌افزاری)، گزارش نهایی و قطعی خود را ارسال کند.[1][3]

البته این الزام عطف به ماسبق نمی‌شود؛ یعنی شرکت‌ها نیازی ندارند سوءاستفاده‌هایی را که قبل از این ضرب‌الاجل از آن‌ها مطلع بوده‌اند، گزارش کنند. همان‌طور که تحلیلگران حقوقی در موسسه گودوین (Goodwin) اشاره کرده‌اند: «اگر تولیدکننده‌ای پیش از ۱۱ سپتامبر ۲۰۲۶ از یک سوءاستفاده فعال یا حادثه مطلع بوده باشد، نیازی به گزارش آن رویداد ندارد.» با این حال، این تعهد برای هر کشف جدیدی بلافاصله اعمال می‌شود، حتی اگر نقص زمینه‌ای سال‌ها در محصول وجود داشته باشد.[2]

نادیده گرفتن این ضرب‌الاجل‌ها عواقب مالی سنگینی در پی دارد. طبق چارچوب نظارتی، عدم رعایت الزامات گزارش‌دهی می‌تواند جریمه‌های اداری تا سقف ۱۵ میلیون یورو یا ۲.۵ درصد از کل گردش مالی سالانه شرکت در سطح جهانی در سال مالی قبل (هر کدام که بیشتر باشد) را به همراه داشته باشد. تیم‌های ملی واکنش به حوادث امنیت رایانه‌ای (CSIRTs) در کشورهای عضو، دریافت گزارش‌ها و اجرای قانون را در کنار ENISA هماهنگ خواهند کرد.[2][4]

این اجرای فوری، خط فاصلی پررنگ میان تولیدکنندگان تجاری و جامعه متن‌باز ایجاد کرده است. در حالی که شمارش معکوس برای نهادهای تجاری آغاز شده، متولیان نرم‌افزارهای متن‌باز صراحتاً از ضرب‌الاجل سپتامبر ۲۰۲۶ معاف شده‌اند و فعلاً از این پنجره‌های گزارش‌دهی سخت‌گیرانه در امان هستند.[1]

چارچوب کمیسیون اروپا روشن می‌کند که متولیان نرم‌افزارهای متن‌باز تا ۱۱ دسامبر ۲۰۲۷ هیچ بار حقوقی برای گزارش‌دهی بر دوش ندارند. اما این الزام برای نهادهای تجاری مطلق است. نشریه دارک ریدینگ (Dark Reading) با تاکید بر اینکه شرکت‌ها برای مواجهه با این پنجره‌های گزارش‌دهی جدید نیازی به حضور فیزیکی در اروپا ندارند، خاطرنشان کرد: «به عنوان یک قاعده، اگر سازمانی محصولات خود را در هر کجای اتحادیه اروپا توزیع کند و اگر محصولاتش هر نوع اتصال شبکه‌ای داشته باشند، آن سازمان مشمول قانون CRA می‌شود.»[1][4]

فروشندگان محصولات امنیتی از همین حالا در حال استفاده از این ضرب‌الاجل به عنوان اهرمی برای بازاریابی و کاتالیزوری جهت بازسازی مدیریت آسیب‌پذیری در شرکت‌ها هستند. چالش عملی برای تیم‌های سازمانی دیگر تدوین سیاست‌نامه نیست، بلکه ایجاد یک دیده‌بانی مستمر است تا بتوانند خطرات تئوریک را از سوءاستفاده‌های فعال تفکیک کنند. اگر شرکتی نتواند به طور قطعی ثابت کند که چه زمانی برای اولین بار از یک سوءاستفاده مطلع شده، طبیعتاً نمی‌تواند ثابت کند که پنجره گزارش‌دهی ۲۴ ساعته را رعایت کرده است.[3][4]

فعال شدن پلتفرم گزارش‌دهی واحد ENISA، الزامات دسترسی به بازار اروپا را در لحظه دگرگون می‌کند. انتظار می‌رود تیم‌های تدارکات و خریداران سازمانی از این خط پایه گزارش‌دهی جدید به عنوان یک الزام استاندارد در قراردادها استفاده کنند و تولیدکنندگان را مجبور سازند تا زنجیره‌های تامین نرم‌افزار خود را برای افشای سریع تجهیز کنند. حالا که این پلتفرم فعال شده و شمارش معکوس ۲۴ ساعته قابل اجراست، دوره ارفاق برای امنیت محصولات در بازار اروپا رسماً به پایان رسیده است.[4]