Det er nå ulovlig å skjule et hackerangrep i Europa — produsenter har 24 timer til å rapportere

Å selge en tilkoblet enhet i Europa innebærer nå en forpliktelse som ikke fantes forrige uke: oppdager man et datainnbrudd eller en alvorlig sikkerhetshendelse, må myndighetene varsles innen 24 timer. EUs Cyber Resilience Act passerte denne uken sin første store håndhevingsterskel, og kjeden er spesifikk – en mer utfyllende melding følger innen 72 timer, med en sluttrapport innen 14 dager etter at en rettelse er tilgjengelig, eller innen en måned for større hendelser.

Forpliktelsen dekker det loven kaller «produkter med digitale elementer» – en kategori bred nok til å inkludere smarttelefoner, smarte termostater, tilkoblede rutere, treningsapper og skytjenester. Kritisk nok gjelder den produkter som allerede er på EU-markedet, ikke bare nylanseringer. En enhet som ble sendt for to år siden og fortsatt er i bruk, omfattes dersom den har tilkoblet funksjonalitet. Gratis programvare som distribueres kommersielt, faller inn under de samme reglene.

Før 11. september var forholdet mellom en produsent og en sikkerhetshendelse stort sett styrt av intern policy. Selskaper avslørte datainnbrudd når de selv valgte det, ofte etter uker med intern gjennomgang, juridisk konsultasjon og risikovurdering av merkevaren. Noen avslørte aldri noe. Det skjønnet er nå borte i Europa. Rapporter sendes til det nasjonale Computer Security Incident Response Team i den EU-medlemsstaten der produsenten har sin hovedvirksomhet, med kopi til EUs byrå for cybersikkerhet, ENISA, via en dedikert Single Reporting Platform.

Beredskapen er en alvorlig sak. Da rapporteringsforpliktelsene ble endelig fastsatt, hadde produsentene omtrent tre måneder på å bygge den interne infrastrukturen – en oversikt over berørte produkter, klare eskalasjonsprotokoller og teknisk integrasjon med Single Reporting Platform. Juridiske rådgivere som jobber med produsenter, advarer om at tidsvinduene gir nesten ingen tid til å bygge opp prosessen etter at en hendelse har startet. Et selskap som oppdager et brudd ved midnatt på en fredag, må levere sin første rapport før midnatt på lørdag, uavhengig av helg eller helligdager.

Fordelen for forbrukeren er reell, men indirekte. Produsenter må også varsle berørte brukere om sikkerhetshendelser og tilgjengelige tiltak. Dersom et selskap unnlater å varsle brukerne i tide, kan nasjonale cybersikkerhetsmyndigheter gripe inn og utstede varselet selv. Dette er ikke et varslingsregime den gjennomsnittlige brukeren vil se på telefonen sin – det opererer gjennom regulatoriske kanaler – men det skaper en håndhevbar forpliktelse om at datainnbrudd ikke bare kan absorberes stille av et juridisk team.

11. september er den smaleste delen av forpliktelsen. Den mer omfattende delen av Cyber Resilience Act – som krever at tilkoblede produkter utformes med sikkerhet innebygd, pålegger håndtering av sårbarheter og innfører samsvarsvurderinger for de høyeste risikoproduktkategoriene – trer ikke i kraft før 11. desember 2027. Den fristen krever designendringer, testprotokoller og sertifiseringsprosesser som rett og slett ikke kan boltes på eksisterende produktlinjer i løpet av noen få måneder. Bransjen har mer enn ett år, men det tekniske arbeidet er allerede i gang hos store produsenter.

EUs tilnærming gjør Europa til den første store regulatoriske blokken som pålegger bindende tidsfrister for avsløring av sårbarheter på tvers av hele forbrukerteknologimarkedet, ikke bare kritisk infrastruktur. Hvor raskt nasjonale CSIRT-er utvikler kapasiteten til å behandle disse rapportene – og om håndheving følger etter manglende avsløring i de første månedene – vil avgjøre om 11. september markerer et reelt skifte eller en papirfrist.

Tagger: cybersikkerhet, datainnbrudd, Cyber Resilience Act, ENISA, EU-kommisjonen, EU-regulering