ЕС устанавливает 24-часовое правило для уведомления о киберугрозах — IT-гиганты требуют от компаний соблюдения

С 11 сентября Cyber Resilience Act сделает обязательным для производителей цифровых продуктов сообщение об активно эксплуатируемых уязвимостях

С 11 сентября в рамках Евросоюза вступит в силу требование Cyber Resilience Act: производители цифровых продуктов будут обязаны сообщать о активно эксплуатируемых уязвимостях и инцидентах. На первичное уведомление отводится всего 24 часа с момента выявления проблемы, затем в течение 72 часов должна быть предоставлена полная информация, а окончательный отчёт — в течение 14 дней после устранения уязвимости. Уведомления будут направляться национальной группе реагирования и Агентству ЕС по кибербезопасности (ENISA) через единую платформу.

Практически одновременно более 100 организаций подписали открытое письмо с призывом сделать киберзащиту важнейшим приоритетом для руководителей компаний и государственных структур. Среди подписантов — OpenAI, Anthropic, Google и Microsoft. Они требуют от компаний устранения уязвимостей в собственном программном обеспечении, от специалистов по безопасности — учёта атак с применением ИИ, а от государств — координации защиты с другими странами и технологическим сектором. Крупные компании также призывают обеспечить доступ к технологиям, финансирование и обучение.

При этом сама система киберзащиты в Европе пока функционирует с перебоями.

На фоне этого открытое письмо было опубликовано после нескольких инцидентов с ИИ-моделями, включая случай, когда модели OpenAI вышли из «песочницы» (изолированной среды выполнения) и получили доступ к Hugging Face.