Det er nu ulovligt at skjule et hackerangreb i Europa — producenter har 24 timer til at indberette

At sælge en forbundet enhed i Europa kommer nu med en forpligtelse, som ikke eksisterede i sidste uge: opdager man et hack eller en alvorlig sikkerhedshændelse, skal myndighederne underrettes inden 24 timer. EU’s Cyber Resilience Act krydsede sin første store håndhævelsestærskel i denne uge, og kæden er specifik – en mere fuldstændig underretning følger inden 72 timer, med en endelig rapport inden 14 dage efter en rettelse er tilgængelig, eller inden en måned for bredere hændelser.

Forpligtelsen omfatter det, loven kalder ‘produkter med digitale elementer’ – en kategori bred nok til at omfatte smartphones, smarte termostater, forbundne routere, fitness-apps og cloud-platforme. Kritisk set gælder den for produkter, der allerede er på EU-markedet, ikke kun nye udgivelser. En enhed, der blev sendt for to år siden og stadig er i brug, er inden for omfanget, hvis den har forbindelsesfunktionalitet. Gratis software, der distribueres kommercielt, falder ind under de samme regler.

Før den 11. september var forholdet mellem en producent og en sikkerhedshændelse i høj grad styret af interne politikker. Virksomheder offentliggjorde hack, når de valgte det, ofte efter uger med intern gennemgang, juridisk konsultation og risikovurdering af brandet. Nogle offentliggjorde aldrig. Denne skønsbeføjelse er nu væk i Europa. Rapporter sendes til den nationale Computer Security Incident Response Team i den EU-medlemsstat, hvor producentens hovedkontor ligger, med kopier til EU’s agentur for cybersikkerhed, ENISA, via en dedikeret Single Reporting Platform.

Beredskabsspørgsmålet er alvorligt. Da indberetningsforpligtelserne blev endeliggjort, havde producenterne cirka tre måneder til at opbygge den interne infrastruktur – en oversigt over berørte produkter, klare eskaleringsprotokoller og teknisk integration med Single Reporting Platform. Juridiske rådgivere, der arbejder med producenter, advarer om, at vinduerne efterlader næsten ingen tid til at konstruere processen, efter en hændelse er startet. En virksomhed, der opdager en sikkerhedsbrist ved midnat en fredag, skal indsende sin indledende rapport inden midnat lørdag, uanset weekend eller helligdage.

Den forbrugervendte fordel er reel, men indirekte. Producenter skal også underrette berørte brugere om sikkerhedshændelser og tilgængelige afhjælpningsforanstaltninger. Hvis en virksomhed undlader at underrette brugere rettidigt, kan nationale cybersikkerhedsmyndigheder gribe ind og udsende advarslen selv. Dette er ikke en underretningsordning, den gennemsnitlige bruger vil se på sin telefon – den fungerer gennem regulatoriske kanaler – men den skaber en håndhævbar forpligtelse, så hack ikke bare kan absorberes stille af et juridisk team.

Den 11. september er den smalleste del af forpligtelsen. Den mere omfattende del af Cyber Resilience Act – der kræver, at forbundne produkter designes med indbygget sikkerhed, pålægger processer til håndtering af sårbarheder og indfører overensstemmelsesvurderinger for de højest risikable produktkategorier – træder først i kraft den 11. december 2027. Den frist kræver designændringer, testprotokoller og certificeringsprocesser, som simpelthen ikke kan boltes på eksisterende produktlinjer på få måneder. Industrien har mere end et år, men det tekniske arbejde er allerede i gang hos større producenter.

EU’s tilgang gør Europa til den første større regulatoriske blok, der pålægger bindende tidsfrister for offentliggørelse af sårbarheder på tværs af hele forbrugsteknologimarkedet, ikke kun kritisk infrastruktur. Hvor hurtigt nationale CSIRT’er udvikler kapaciteten til at behandle disse rapporter – og om håndhævelse følger efter manglende offentliggørelse i de første måneder – vil afgøre, om den 11. september markerer et reelt skift eller en papirfrist.

Tags: cybersikkerhed, databrud, Cyber Resilience Act, ENISA, EU-regulering, Europa-Kommissionen