Kibernetski incident po novem: komu in kako hitro mora podjetje poročati?
Od 11.09.2026 za proizvajalce digitalnih proizvodov veljajo nove obveznosti poročanja o aktivno izrabljenih ranljivostih in resnih incidentih.
AI-ilustracija
Od 11.09.2026 za proizvajalce digitalnih proizvodov veljajo nove obveznosti poročanja o aktivno izrabljenih ranljivostih in resnih incidentih. Prvi odziv se zato ne sme končati pri tehničnem popravku.
Akt o kibernetski odpornosti oziroma CRA pokriva strojne in programske proizvode z digitalnimi elementi. Njegove glavne zahteve se začnejo uporabljati 11.12.2027, obveznosti poročanja pa veljajo že od 11.09.2026. Podjetje mora zato že danes vedeti, ali nastopa kot proizvajalec, katere proizvode spremlja in kdo bo ob zaznani ranljivosti sprejel odločitev o prijavi.
1. Ali obveznost velja za vsako podjetje, ki uporablja programsko opremo?
Ne. CRA je usmerjen predvsem v proizvajalce proizvodov z digitalnimi elementi, ki jih pod svojim imenom ali znamko dajejo na trg EU. Sam uporabnik kupljene programske opreme samo zaradi uporabe praviloma še ni proizvajalec. Položaj pa se lahko spremeni, če podjetje proizvod razvije, ga trži pod svojim imenom ali ga bistveno spremeni in nato ponovno ponudi na trgu.
V področje lahko sodijo aplikacije, operacijski sistemi, omrežna oprema, povezane naprave, programske knjižnice v komercialnem proizvodu in druga strojna ali programska oprema z neposredno ali posredno podatkovno povezavo. Odločilna je vloga podjetja v dobavni verigi, ne njegova velikost ali dejavnost, zapisana v registru.
2. Kaj je aktivno izrabljena ranljivost?
Gre za varnostno pomanjkljivost, za katero obstajajo zanesljivi dokazi, da jo je nekdo že zlonamerno izkoristil. Sam obstoj teoretične napake še ni nujno enak aktivnemu izkoriščanju. Podjetje mora povezati informacije iz lastnega spremljanja, prijav uporabnikov, raziskovalcev, dobaviteljev komponent in javnih varnostnih opozoril.
Postopek mora določiti, kdo potrdi verodostojnost informacije, kako se oceni prizadete različice in kako hitro se primer preda odgovorni osebi. Čakanje na popolno tehnično analizo lahko pomeni zamudo zakonskega roka, zato je treba začetno prijavo ločiti od poznejšega podrobnega poročila.
AI-ilustracija3. Kdaj incident postane dovolj resen za poročanje?
Resen incident je dogodek, ki negativno vpliva na varnost proizvoda z digitalnimi elementi in doseže merila iz CRA. Pri presoji so pomembni vpliv na zaupnost, celovitost ali razpoložljivost, obseg prizadetih uporabnikov in sistemov, trajanje, možnost nadaljnjega širjenja ter dejanska ali možna škoda.
Notranja kategorizacija »kritično«, »visoko« ali »srednje« sama po sebi ni pravna presoja. Podjetje naj v načrt odziva doda posebno odločilno drevo za CRA in zapiše razloge za prijavo ali neprijavo. Tako lahko pozneje pokaže, da dogodek ni bil prezrt, temveč pravočasno in strokovno ocenjen.
4. Kako poteka poročanje in zakaj je prvih 24 ur pomembnih?
CRA predvideva večstopenjsko poročanje: zgodnje opozorilo v 24 urah, prijavo v 72 urah in nato končno poročilo. Roka začneta teči od seznanitve proizvajalca z aktivno izrabljeno ranljivostjo oziroma resnim incidentom. Podrobnosti končnega poročila in njegov rok so odvisni od vrste dogodka.
Poročanje poteka prek enotne platforme, ki jo je vzpostavila ENISA. To ne pomeni, da mora biti v prvem dnevu znana celotna tehnična slika. Pomembno je navesti trenutno znana dejstva, prizadeti proizvod, prve omilitvene ukrepe in kontakt za nadaljnjo komunikacijo. Rok začne teči od seznanitve organizacije, zato mora biti notranja eskalacija hitra tudi zunaj običajnega delovnega časa.
5. Ali je dovolj, da napako prijavi zunanji razvijalec ali ponudnik oblaka?
Ne nujno. Pogodbeni izvajalec lahko pomaga pri odkrivanju in prijavi, vendar mora proizvajalec vedeti, kdo nosi njegovo zakonsko obveznost. Dobavitelj komponente, ponudnik gostovanja in razvijalec po naročilu imajo lahko vsak svoje obveznosti in informacije, vendar njihovo poročilo ne nadomesti samodejno prijave proizvajalca končnega proizvoda.
Pogodbe naj določajo rok za obvestilo, vsebino tehničnih podatkov, kontaktne osebe, sodelovanje pri odpravi in pravico do dokazil. Če dobavitelj o incidentu obvesti podjetje šele po več dneh, zakonitega roka ni mogoče zavrteti nazaj. Varnost dobavne verige je zato tudi vprašanje pogodbenega upravljanja.
AI-ilustracija6. Kaj mora podjetje urediti še pred prvim incidentom?
Najmanj seznam proizvodov, odgovorne osebe, dežurstvo za kritična obvestila in dokazljiv postopek odločanja. Koristno je voditi evidenco različic, uporabljenih komponent, podpore, kontaktov in prizadetih uporabnikov. Brez teh podatkov je tudi na videz preprosta prijava počasna in nezanesljiva.
Načrt naj poveže razvoj, informacijsko varnost, pravno službo, vodstvo, podporo uporabnikom in komuniciranje. Vnaprej pripravljena predloga zgodnjega opozorila zmanjša tveganje, da bi ekipa v prvih urah iskala osnovne podatke. Vajo je smiselno izvesti na konkretnem proizvodu in ne samo na splošnem načrtu organizacije.
KDO ODGOVARJA ZA ODPRTOKODNO KOMPONENTO
7. Katere napake so pri odzivu najdražje?
Največje tveganje so pozna eskalacija, nejasna odgovornost, pomanjkljiv seznam proizvodov in popravljanje sistema brez ohranitve dokazov. Podjetje lahko ranljivost tehnično odpravi, vendar ne zna dokazati, kdaj je zanjo izvedelo, katere različice so bile prizadete in zakaj se je odločilo za posamezen način prijave.
Druga pogosta napaka je prepričanje, da obveznosti CRA nastopijo šele decembra 2027. Poročanje velja prej. Tretja je enačenje vseh kibernetskih prijav: isti dogodek lahko sproži še obveznosti po ZInfV-1 oziroma NIS 2, GDPR, pogodbah ali sektorskih pravilih. Organizacija potrebuje enoten sprejem incidenta, nato pa ločeno presojo vsake pravne podlage.
Prvih 24 ur je organizacijski preizkus, ne samo tehnični rok
Podjetje lahko kupi dobro varnostno orodje, ne more pa z njim nadomestiti jasne odgovornosti. Če razvijalec, vodja produkta in direktor ne vedo, kdo sme sprožiti prijavo, bo dragoceni čas izgubljen pri potrjevanju in prelaganju odločitve.
Praktičen začetek je seznam proizvodov in ena stran navodil: kdo sprejme opozorilo, kdo oceni CRA, kdo prijavi in kdo obvesti uporabnike. Šele nato pridejo daljši pravilniki. Dober postopek mora delovati v petek zvečer, ne samo na predstavitvi upravi.
