Att dölja ett hackerangrepp är nu olagligt i Europa — tillverkare har 24 timmar på sig att rapportera

Säljer du en uppkopplad enhet i Europa följer nu en skyldighet som inte fanns förra veckan: upptäcker du en hackning eller en allvarlig säkerhetsincident måste myndigheterna underrättas inom 24 timmar. EU:s Cyber Resilience Act passerade denna vecka sin första stora tröskel för verkställighet, och kedjan är specifik – en fullständigare anmälan följer inom 72 timmar, med en slutrapport som ska lämnas inom 14 dagar efter att en fix har blivit tillgänglig, eller inom en månad för mer omfattande incidenter.

Skyldigheten omfattar vad lagen kallar ’produkter med digitala element’ – en kategori som är tillräckligt bred för att omfatta smartphones, smarta termostater, uppkopplade routrar, träningsappar och molnplattformar. Avgörande är att det gäller produkter som redan finns på EU-marknaden, inte bara nya lanseringar. En enhet som skickades för två år sedan och fortfarande används omfattas om den har uppkopplad funktionalitet. Gratis programvara som distribueras kommersiellt faller under samma regler.

Före den 11 september styrdes relationen mellan en tillverkare och en säkerhetsincident till stor del av intern policy. Företag avslöjade hackningar när de valde att göra det, ofta efter veckor av intern granskning, juridisk konsultation och varumärkesriskbedömning. Vissa avslöjade aldrig något alls. Den diskretionen är nu borta i Europa. Rapporterna går till den nationella Computer Security Incident Response Team i den EU-medlemsstat där tillverkaren har sin huvudsakliga etablering, med kopior till EU:s cybersäkerhetsbyrå ENISA via en särskild Single Reporting Platform.

Beredskapsfrågan är allvarlig. När rapporteringsskyldigheterna fastställdes hade tillverkarna ungefär tre månader på sig att bygga upp den interna infrastrukturen – en inventering av berörda produkter, tydliga eskaleringsprotokoll och teknisk integration med Single Reporting Platform. Juridiska rådgivare som arbetar med tillverkare varnar för att tidsfönstren lämnar nästan ingen tid att konstruera processen efter att en incident har startat. Ett företag som upptäcker ett intrång vid midnatt på en fredag måste lämna in sin första rapport före midnatt på lördagen, oavsett helg eller helgdagar.

Fördelen för konsumenterna är verklig men indirekt. Tillverkare måste också underrätta berörda användare om säkerhetsincidenter och tillgängliga åtgärder. Om ett företag underlåter att underrätta användare i tid kan nationella cybersäkerhetsmyndigheter gå in och utfärda varningen själva. Detta är inte ett anmälningssystem som den vanliga användaren kommer att se på sin telefon – det fungerar via regulatoriska kanaler – men det skapar en verkställbar skyldighet som innebär att hackningar inte bara kan absorberas tyst av ett juridiskt team.

Den 11 september är den snävaste delen av skyldigheten. Huvuddelen av Cyber Resilience Act – som kräver att uppkopplade produkter utformas med inbyggd säkerhet, föreskriver processer för sårbarhetshantering och inför överensstämmelsebedömningar för de mest riskfyllda produktkategorierna – gäller inte förrän den 11 december 2027. Den tidsfristen kräver designändringar, testprotokoll och certifieringsprocesser som helt enkelt inte kan skruvas fast på befintliga produktlinjer på några månader. Industrin har mer än ett år på sig, men det tekniska arbetet pågår redan hos stora tillverkare.

EU:s tillvägagångssätt gör Europa till den första stora regleringsblocket som inför bindande tidsfrister för rapportering av sårbarheter över hela den konsumenttekniska marknaden, inte bara kritisk infrastruktur. Hur snabbt nationella CSIRTs utvecklar kapaciteten att hantera dessa rapporter – och om verkställighet följer på rapporteringsmisslyckanden under de första månaderna – kommer att avgöra om den 11 september markerar en verklig förändring eller en pappersdeadline.

Taggar: cybersäkerhet, dataintrång, anslutna enheter, Cyber Resilience Act, ENISA, EU-reglering