EU Cyber Resilience Act เริ่มบังคับรายงานช่องโหว่ที่ถูกโจมตีจริงแล้ว

ข้อกำหนดด้านการรายงานช่องโหว่ภายใต้กฎหมาย EU Cyber Resilience Act เริ่มมีผลใช้กับกรณีช่องโหว่ที่ถูกนำไปใช้โจมตีจริงในผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัลแล้ว โดยกฎหมายฉบับนี้มุ่งยกระดับความรับผิดชอบของผู้ผลิตและผู้พัฒนาให้ออกมาแจ้งเหตุด้านความปลอดภัยอย่างรวดเร็วและเป็นระบบมากขึ้น

สาระสำคัญของข้อบังคับคือ ผู้ผลิตต้องส่งสัญญาณเตือนเบื้องต้นภายใน 24 ชั่วโมงนับจากทราบเหตุช่องโหว่ที่ถูกโจมตีจริง จากนั้นต้องมีการแจ้งข้อมูลเพิ่มเติมตามขั้นตอนที่กำหนด เพื่อให้หน่วยงานที่เกี่ยวข้องและผู้มีส่วนได้ส่วนเสียประเมินผลกระทบได้ทันท่วงที

หลังจากนั้นยังมีภาระในการรายงานความคืบหน้าต่อเนื่อง จนกระทั่งเมื่อมีแนวทางแก้ไขหรือการบรรเทาปัญหาพร้อมใช้งาน ผู้ผลิตจึงต้องส่งรายงานฉบับสุดท้ายสรุปการแก้ไขและสถานะของเหตุการณ์ ซึ่งสะท้อนแนวคิดการจัดการช่องโหว่แบบครบวงจรตั้งแต่ตรวจพบจนปิดเหตุ

กติกาใหม่มีนัยสำคัญต่อผู้ผลิตสินค้าและระบบที่เชื่อมต่อดิจิทัล เพราะเพิ่มมาตรฐานด้านความโปร่งใสและความเร็วในการตอบสนองต่อภัยคุกคาม ขณะเดียวกันก็อาจทำให้ทีมรักษาความปลอดภัย ซัพพลายเชน และกระบวนการภายในองค์กรต้องปรับตัวให้พร้อมรับภาระงานด้านการแจ้งเหตุและการประสานงานมากขึ้น

โดยรวมแล้ว การเริ่มใช้ข้อกำหนดนี้เป็นอีกก้าวของยุโรปในการผลักดันความมั่นคงปลอดภัยไซเบอร์ในระดับผลิตภัณฑ์ ไม่ใช่แค่ระดับเครือข่ายหรือองค์กร และมีแนวโน้มจะกลายเป็นมาตรฐานอ้างอิงสำคัญสำหรับผู้ผลิตที่ทำตลาดในภูมิภาคยุโรป