Avrupa’da bir siber saldırıyı gizlemek artık yasadışı — üreticilerin 24 saatte bildirmesi gerekiyor

Avrupa’da bağlantılı bir cihaz satmak artık geçen hafta var olmayan bir yükümlülüğü beraberinde getiriyor: bir hack veya ciddi bir güvenlik olayı keşfedildiğinde, yetkililere 24 saat içinde bildirim yapılması gerekiyor. AB’nin Cyber Resilience Act’i bu hafta ilk büyük uygulama eşiğini geçti ve süreç net: 72 saat içinde daha kapsamlı bir bildirim yapılacak, bir düzeltme sunulduktan sonra 14 gün içinde nihai rapor verilecek veya daha geniş çaplı olaylar için bir ay içinde rapor sunulacak.

Yükümlülük, yasanın ‘dijital öğeler içeren ürünler’ olarak adlandırdığı şeyi kapsıyor — akıllı telefonlar, akıllı termostatlar, bağlantılı yönlendiriciler, fitness uygulamaları ve bulut platformlarını içerecek kadar geniş bir kategori. Kritik olarak, bu yalnızca yeni ürünler için değil, halihazırda AB pazarında bulunan ürünler için de geçerli. İki yıl önce piyasaya sürülmüş ve hala kullanımda olan bir cihaz, bağlantılı işlevselliğe sahipse kapsam dahilinde. Ticari olarak dağıtılan ücretsiz yazılımlar da aynı kurallara tabi.

11 Eylül’den önce, bir üretici ile bir güvenlik olayı arasındaki ilişki büyük ölçüde iç politikalarla yönetiliyordu. Şirketler, hack’leri istedikleri zaman ifşa ediyorlardı; genellikle haftalarca süren iç inceleme, hukuki danışmanlık ve marka riski değerlendirmesinin ardından. Bazıları hiç ifşa etmiyordu. Bu takdir yetkisi artık Avrupa’da geçerli değil. Raporlar, üreticinin ana kuruluşunun bulunduğu AB üye devletinin ulusal Computer Security Incident Response Team’ine (CSIRT) gidiyor ve kopyaları, özel bir Single Reporting Platform aracılığıyla AB Siber Güvenlik Ajansı ENISA’ya gönderiliyor.

Hazırlık sorunu ciddi. Raporlama yükümlülükleri kesinleştiğinde, üreticilerin iç altyapıyı kurmak için yaklaşık üç ayı vardı — etkilenen ürünlerin bir envanteri, net yükseltme protokolleri ve Single Reporting Platform ile teknik entegrasyon. Üreticilerle çalışan hukuk danışmanları, bu sürelerin bir olay başladıktan sonra süreci oluşturmak için neredeyse hiç zaman bırakmadığı konusunda uyarıyor. Cuma gece yarısı bir ihlal keşfeden bir şirket, hafta sonu veya resmi tatil fark etmeksizin, ilk raporunu Cumartesi gece yarısına kadar teslim etmek zorunda.

Tüketiciye yönelik fayda gerçek ancak dolaylı. Üreticiler ayrıca etkilenen kullanıcıları güvenlik olayları ve mevcut hafifletme önlemleri hakkında bilgilendirmek zorunda. Bir şirket kullanıcıları zamanında bilgilendirmezse, ulusal siber güvenlik yetkilileri devreye girerek uyarıyı kendileri yayınlayabilir. Bu, ortalama bir kullanıcının telefonunda göreceği bir bildirim rejimi değil — düzenleyici kanallar aracılığıyla işliyor — ancak hack’lerin bir hukuk ekibi tarafından sessizce örtbas edilemeyeceği uygulanabilir bir yükümlülük yaratıyor.

11 Eylül, yükümlülüğün en dar kısmıdır. Cyber Resilience Act’in daha kapsamlı gövdesi — bağlantılı ürünlerin güvenlik yerleşik olacak şekilde tasarlanmasını, güvenlik açığı işleme süreçlerini zorunlu kılmayı ve en yüksek riskli ürün kategorileri için uygunluk değerlendirmeleri getirmeyi gerektiriyor — 11 Aralık 2027’ye kadar yürürlüğe girmiyor. Bu son tarih, birkaç ay içinde mevcut ürün hatlarına eklenemeyecek tasarım değişiklikleri, test protokolleri ve sertifika süreçleri gerektiriyor. Sektörün bir yıldan fazla süresi var, ancak teknik çalışmalar büyük üreticilerde halihazırda devam ediyor.

AB’nin yaklaşımı, Avrupa’yı yalnızca kritik altyapı değil, tüm tüketici teknolojisi pazarında bağlayıcı güvenlik açığı ifşa zaman çizelgeleri uygulayan ilk büyük düzenleyici blok haline getiriyor. Ulusal CSIRT’lerin bu raporları işleme kapasitesini ne kadar hızlı geliştirdiği — ve ilk aylarda ifşa başarısızlıklarının ardından yaptırım uygulanıp uygulanmadığı — 11 Eylül’ün gerçek bir değişim mi yoksa kağıt üzerinde bir son tarih mi olduğunu belirleyecek.

Etiketler: siber güvenlik, veri ihlali, Avrupa Komisyonu, AB düzenlemesi, bağlı cihazlar, Cyber Resilience Act