Regula pilnā apmērā piemērojama no 2027. gada decembra, un tieši tā to uztver lielākā daļa plānu. Viens pants negaida: kopš 2026. gada 11. septembra ražotājam par aktīvi izmantotu ievainojamību jāziņo 24 stundu laikā, 72 stundas ir paziņojumam un 14 dienas galīgajam ziņojumam — un šis pienākums ir augstākajā sodu līmenī.
Daļa no tā jau ir saistoša
ES Kibernoturības akts pilnā apmērā piemērojams no 2027. gada 11. decembra, un lielākā daļa plānu to uzskata par 2027. gada problēmu. Pilnībā tā nav. Viena tā daļa — ziņošanas pienākums — ir piemērojama kopš 2026. gada 11. septembra, bet nodaļa par atbilstības novērtēšanas struktūrām — kopš 2026. gada 11. jūnija.
Tātad pienākums, ko mēra stundās, ir spēkā jau tagad. Pienākumi, kas prasa gadu inženierdarba, nav.
Kas uzskatāms par ražotāju
Akts attiecas uz produktiem ar digitāliem elementiem, kas pārdoti ES un kuru paredzētā vai paredzamā lietošana ietver tiešu vai netiešu savienojumu ar ierīci vai tīklu. Programmatūra, kas pārdota ar jūsu nosaukumu, ir tā tvērumā. Tāpat savienota aparatūra. Tāpat produkts, kuram esat mainījuši zīmolu.
Īsi: ja tas nonāk ES tirgū ar jūsu nosaukumu, ražotāja pienākumi ir jūsu — lai kurš kodu patiesībā būtu uzrakstījis.
Par ko jāziņo un cik ātri
Atskaiti sāk divas lietas: jūsu produkta ievainojamība, kas tiek aktīvi izmantota, un nopietns incidents, kas skar tā drošību. Abi vienlaikus jāpaziņo koordinējošajam nacionālajam CSIRT un ENISA, izmantojot vienu ziņošanas platformu.
| Solis | Termiņš no brīža, kad uzzināt |
|---|---|
| Agrīnais brīdinājums | Nekavējoties un jebkurā gadījumā 24 stundu laikā |
| Pilns paziņojums | Nekavējoties un jebkurā gadījumā 72 stundu laikā |
| Galīgais ziņojums | 14 dienas pēc tam, kad pieejams labojums vai apiešanas risinājums |
Agrīnajā brīdinājumā norāda, kurās valstīs produkts, cik zināms, ir pārdots, un incidenta gadījumā — vai ir aizdomas, ka to kāds izdarījis apzināti. 72 stundu paziņojums aptver to, kas ir ievainojamība un kā tā tiek izmantota, ko esat darījuši, ko lietotāji var darīt paši un cik sensitīvu informāciju uzskatāt. Galīgajā ziņojumā izklāsta, cik smagi tas bija, kas zināms par to, kas aiz tā stāvēja, un ko izlaidāt, lai to novērstu.
Trīs termiņi, kas sākas brīdī, kad „uzzināt”, ir procesa jautājums, pirms tie kļūst par juridisku. Kādam jāspēj ārpus darba laika izlemt, ka atskaite ir sākusies.
Kas pienāk 2027. gada decembrī
Pie satura pienākuma ir vērts sākt laikus, jo tas nav papīru darbs. Produkti jāprojektē, jāizstrādā un jāizgatavo atbilstoši akta drošības prasībām. Aiz tā esošais drošības risku novērtējums jāfiksē rakstveidā un jāuztur aktuāls. Ievainojamības, tostarp izmantotajās trešo personu komponentēs, jāapstrādā pienācīgi.
Tad norma, kas maina to, kā plānojat produktu. Atbalsta periodu nosakāt paši, balstoties uz to, cik ilgi produkts reāli tiks lietots — un tam jābūt vismaz pieciem gadiem, ja vien produktam patiešām nav īsāks mūžs. Pieci gadi ievainojamību apstrādes ir saistība, ko uzņematies produkta izlaišanas brīdī. To ir lēti ieprojektēt un dārgi pielikt pēc tam.
Cik maksā kļūdīties
Sodus nosaka pašas valstis, bet akts nosaka griestus. Par būtisko drošības prasību vai projektēšanas un ziņošanas pienākumu pārkāpšanu draud naudas sods līdz 15 miljoniem EUR vai 2,5 % no pasaules gada apgrozījuma, atkarībā no tā, kurš ir lielāks. Otrais līmenis — 10 miljoni EUR vai 2 % — aptver pārējos pienākumus.
Ievērojiet, kurā līmenī ir ziņošanas pienākums. Tas pienākums, kas jau ir spēkā, atrodas augstākajā.
Ko darīt šajā ceturksnī
Izlemiet, vai esat ražotājs. Ja maināt zīmolu vai pārdodat ar savu nosaukumu, pieņemiet, ka esat, līdz kāds parāda pretējo.
Pierakstiet 24 stundu ceļu — kurš izlemj, ka ievainojamība tiek aktīvi izmantota, kurš iesniedz ziņojumu un kas notiek sestdienas naktī divos.
Izlemiet atbalsta periodu pirms nākamās produkta izlaišanas. Pieci gadi ir apakšējā robeža, un skaitlis jums pašiem jāpamato.
Tas, kura Latvijas iestāde to uzrauga un kādi ir nacionālie sodi, tiek noteikts nacionāli, un to ir vērts apstiprināt uz vietas.