ב-11 בספטמבר נכנסו לתוקף חובות דיווח מרכזיות לפי חוק חוסן הסייבר האירופי (Cyber Resilience Act - CRA). החובות מחייבות יצרנים של מוצרי חומרה ותוכנה שעליהם חל החוק לדווח במהירות על חולשות המנוצלות באופן פעיל ועל תקריות אבטחה חמורות, כאשר דיווח ראשוני נדרש בתוך 24 שעות ממועד היוודע האירוע ליצרן.

החובות נכנסו לתוקף יותר משנה לפני מועד התחולה הכללי של ה-CRA, בדצמבר 2027. עבור חברות המציעות מוצרי תוכנה וחומרה בשוק האירופי, המשמעות היא שחלק מדרישות החוק כבר רלוונטיות כיום. עליהן לבחון אילו מוצרים נכללים בתחולתו, לזהות אירועים המחייבים דיווח ולהבטיח שהמידע הרלוונטי מגיע במהירות לגורמים המתאימים בארגון. מאמר זה מסביר בקצרה על מי חלות חובות הדיווח החדשות, אילו אירועים מחייבים דיווח, מהם לוחות הזמנים שנקבעו ומה חברות צריכות לעשות כדי להיערך להן.

על מי חלות חובות הדיווח?

ה-CRA חל על "מוצרים עם רכיבים דיגיטליים" המשווקים באיחוד האירופי, אם מטרתם או השימוש הצפוי בהם כוללים חיבור למכשיר או לרשת לצורך העברת נתונים. ההגדרה רחבה ומשתרעת על מגוון מוצרי תוכנה וחומרה, ובהם אפליקציות מובייל, פלטפורמות אינטרנט, תוכנות עצמאיות, מכשירים מחוברים, מחשבים ניידים וטאבלטים, רכיבי חומרה כדוגמת צגים ומדפסות, ושילובים של חומרה ותוכנה (כדוגמת טלוויזיות חכמות).

חובות הדיווח חלות על "יצרנים". המונח כולל מי שמפתח או מייצר מוצר עם רכיבים דיגיטליים ומשווק אותו תחת שמו או סימנו המסחרי, בין אם בתשלום, בדרך של הפקת הכנסות או ללא תמורה. החובות חלות גם על חברות המשווקות מוצרי White Label תחת שמן או סימנן המסחרי.
חשוב במיוחד לחברות ישראליות: מקום מושבו של היצרן אינו קובע לבדו אם החוק יחול עליו. גם יצרנים שמקום מושבם מחוץ לאיחוד האירופי כפופים לחובות הדיווח כאשר הם מציעים בשוק האירופי מוצרים שעליהם חל ה-CRA.

על מה צריך לדווח?

 ה-CRA קובע שתי קטגוריות מרכזיות של אירועים המחייבים דיווח.

הקטגוריה הראשונה היא חולשה המנוצלת באופן פעיל. מדובר בחולשה שלגביה קיימות ראיות מהימנות לכך שגורם זדוני ניצל אותה ללא רשות בעל המערכת. גם חולשת Zero-Day שנוצלה מחייבת דיווח, אף אם עדיין לא זמין עבורה תיקון (Patch).
הקטגוריה השנייה היא תקרית חמורה המשפיעה על אבטחת המוצר. תקרית תיחשב חמורה כאשר היא משפיעה על יכולתו של המוצר להגן על הזמינות, השלמות או הסודיות של נתונים או פונקציות רגישות או חשובות. חובת הדיווח עשויה להתעורר גם כאשר התקרית עלולה להוביל להחדרה או להרצה של קוד זדוני במוצר, ברשת או במערכות המידע של המשתמש.

24 שעות הן רק השלב הראשון

ה-CRA קובע מנגנון דיווח מדורג. בתוך 24 שעות ממועד היוודע ליצרן על חולשה המנוצלת באופן פעיל או על תקרית חמורה, עליו להגיש הודעת אזהרה מוקדמת. בתוך 72 שעות, ככל שהמידע הרלוונטי לא נמסר קודם לכן, עליו להגיש הודעה מפורטת יותר. 
בכך לא מסתיים תהליך הדיווח. במקרה של חולשה המנוצלת באופן פעיל, נדרש דוח סופי לא יאוחר מ-14 ימים לאחר שאמצעי לתיקון או לצמצום הפגיעה הופך לזמין. במקרה של תקרית אבטחה חמורה, יש להגיש דוח סופי בתוך חודש ממועד הגשת הודעת הביניים.

נקודת המפתח היא מועד היוודע האירוע ליצרן. שעון הדיווח מתחיל כאשר הערכה ראשונית מצביעה בוודאות סבירה על ניצול פעיל של חולשה במוצר או על התרחשות תקרית חמורה שפגעה באבטחתו. לכן, עמידה בלוחות הזמנים מחייבת ארגונים לוודא שמידע על אירועי אבטחה נבדק ומועבר במהירות לגורמים האחראים לדיווח.
הדיווחים מוגשים באמצעות פלטפורמת הדיווח האחודה שנקבעה לפי ה-CRA. במקביל, היצרן נדרש ליידע משתמשים שהושפעו מהחולשה או מהתקרית, ובמידת הצורך לפרט בפניהם אילו אמצעים באפשרותם לנקוט כדי לצמצם את השפעתה. במקרים המתאימים יש ליידע את כלל המשתמשים במוצר.

גם מוצרי Legacy על הפרק

חובות הדיווח אינן מוגבלות בהכרח למוצרים חדשים או למוצרים שעדיין נהנים מתמיכת היצרן. הנציבות האירופית הבהירה כי חובות הדיווח ממשיכות לחול גם לאחר שתקופת התמיכה במוצר הסתיימה. לכן יצרנים עשויים להידרש לדווח גם על אירועים הנוגעים למוצרי Legacy שאינם נתמכים עוד.

להפרת חובות הדיווח עשוי להיות גם מחיר משמעותי. ה-CRA קובע בגינן קנסות מנהליים של עד 15 מיליון אירו או 2.5% מסך המחזור השנתי העולמי הכולל של החברה בשנת הכספים הקודמת, לפי הגבוה מביניהם.

מה חברות צריכות לעשות עכשיו?

לוחות הזמנים הקצרים שקובע ה-CRA מחייבים היערכות מוקדמת. חברות המציעות מוצרי תוכנה או חומרה בשוק האירופי צריכות לבחון מראש אילו ממוצריהן כפופים לחוק, ולוודא שנהליהן לטיפול בחולשות ובאירועי סייבר מאפשרים לזהות, להעריך ולדווח במהירות על אירועים המחייבים דיווח.
בפרט, על חברות לוודא שקיים בארגון תהליך ברור לקבלת מידע על אירועים חשודים, לבחינתו ולהעברתו לגורמים האחראים. מידע כזה עשוי להגיע לא רק מצוותי אבטחת המידע של החברה, אלא גם מלקוחות, חוקרי אבטחה, רשויות וצדדים שלישיים אחרים. כאשר הדיווח הראשוני נדרש בתוך 24 שעות ממועד היוודע האירוע ליצרן, חלוקת אחריות ברורה ותהליך דיווח פנימי יעיל הם תנאי מעשי לעמידה בדרישות החוק.