EU áp dụng nghĩa vụ báo cáo lỗ hổng theo Cyber Resilience Act
"The EU Cyber Resilience Act (CRA) has made its Article 14 reporting duties applicable, requiring manufacturers of products with digital elements to report actively exploited vulnerabilities and severe security incidents through ENISA's Single Reporting Platform. The rules impose an early warning within 24 hours, a detailed notification within 72 hours, and final reports later depending on whether the issue is a vulnerability or a serious incident; noncompliance can trigger fines of up to €15 million or 2.5% of annual turnover."
Tăng đáng kể áp lực tuân thủ và tốc độ phản ứng với lỗ hổng bị khai thác; yêu cầu báo cáo trong 24 giờ có thể cải thiện chia sẻ thông tin và giảm thời gian phơi nhiễm.
Doanh nghiệp bán sản phẩm số tại EU cần đầu tư thêm cho quy trình báo cáo, theo dõi SBOM và phối hợp pháp lý-kỹ thuật; rủi ro phạt đến €15 triệu hoặc 2,5% doanh thu có thể ảnh hưởng lớn đến chi phí và vận hành.
Liên minh châu Âu đã bắt đầu áp dụng các nghĩa vụ báo cáo theo Article 14 của Cyber Resilience Act (CRA) đối với nhà sản xuất sản phẩm có thành phần số được đưa ra thị trường EU. Theo quy định mới, khi phát hiện lỗ hổng đang bị khai thác hoặc sự cố an ninh nghiêm trọng, doanh nghiệp phải gửi cảnh báo sớm trong 24 giờ, tiếp theo là thông báo chi tiết trong 72 giờ qua ENISA Single Reporting Platform (SRP).
Báo cáo cuối cùng sẽ có thời hạn khác nhau: với lỗ hổng bị khai thác là 14 ngày sau khi biện pháp khắc phục/giảm thiểu được cung cấp; với sự cố nghiêm trọng là 1 tháng sau báo cáo đầu tiên. CRA cũng yêu cầu, khi phù hợp, phải thông báo cho người dùng bị ảnh hưởng về bản vá hoặc biện pháp giảm thiểu mà không chậm trễ.
Mức phạt cho vi phạm có thể lên tới €15 triệu hoặc 2,5% doanh thu hằng năm, tùy mức nào cao hơn. Doanh nghiệp nên rà soát quy trình ứng phó sự cố, duy trì SBOM, xác định rõ chuỗi cung ứng phần mềm và chuẩn bị luồng phối hợp với CSIRT để đáp ứng các mốc thời gian rất ngắn này.