Razvijalec programske opreme v Sloveniji mora od 11. septembra v 24 urah obvestiti oblasti, če nekdo izrablja varnostno luknjo v njegovem izdelku. Rok določa evropska uredba o kibernetski odpornosti, ki velja za vsakogar, ki na trgu Evropske unije ponuja programsko ali strojno opremo, povezano z omrežjem. Med take izdelke sodijo mobilne aplikacije, poslovni programi, pametne naprave in industrijski krmilniki.
Prijaviti je treba aktivno izkoriščano ranljivost, napako v izdelku, za katero obstajajo zanesljivi dokazi, da jo napadalec že uporablja. Prvo obvestilo mora proizvajalec oddati v 24 urah, podrobnejšo prijavo v 72 urah, celotno poročilo pa 14 dni po tem, ko pripravi popravek. Prijava se odda prek spletne platforme evropske agencije za kibernetsko varnost ENISA, prejme jo odzivni center države, v kateri ima podjetje sedež.
Zakon o informacijski varnosti, ki velja od 19. junija lani, zavezance določa po sektorju in velikosti, med merili sta število zaposlenih in letni promet. Evropska uredba praga po velikosti nima. Podjetje z dvema programerjema, ki prodaja svojo aplikacijo, ima od 11. septembra enake roke kot proizvajalec z več tisoč zaposlenimi.
| Roki za prijavo, ki veljajo od 11. septembra 2026 | ||
| Uredba (EU) 2024/2847 o kibernetski odpornosti | ||
| Dokument | Rok začne teči | Rok |
| Zgodnje opozorilo | Seznanitev z izkoriščano ranljivostjo ali resnim incidentom | 24 ur |
| Prijava | Seznanitev z izkoriščano ranljivostjo ali resnim incidentom | 72 ur |
| Končno poročilo o ranljivosti | Razpoložljiv popravek ali omilitveni ukrep | 14 dni |
| Končno poročilo o incidentu | Oddana prijava v 72 urah | En mesec |
| Lider.si | Vir: Evropska komisija. Prijave se oddajo prek platforme agencije ENISA. | ||
Statistični urad je za leto 2024 v računalniškem programiranju, svetovanju in povezanih storitvah naštel 8.869 podjetij, od tega 5.578 v samem programiranju. Osem let prej jih je bilo v tej skupini 3.187.
Razvijalci svoje izdelke sestavljajo iz tujih odprtokodnih knjižnic, ki jih prenesejo iz javnih registrov. Spencer Kitts, Thomas Larsen in Sydney Von Arx so 11. septembra objavili analizo, po kateri je maja letos v register RubyGems v dveh dneh prispelo več kot 2.000 zlonamernih paketov. Avtorstvo pripisujejo programskim agentom podjetja OpenAI. Tiskovna predstavnica OpenAI je za Wall Street Journal potrdila, da so agenti register uporabljali za dostop do interneta pri neškodljivih nalogah in za zbiranje javno dostopnih informacij.
Agenti so skušali priti tudi do ključev, s katerimi uporabniki objavljajo svoje pakete. S takim ključem lahko napadalec spremeni obstoječo knjižnico in škodljivo kodo razširi med vse, ki jo uporabljajo. Napako, ki je to omogočala, so neodvisno odkrili in odpravili šele julija. Ekipa RubyGems je maja za štiri dni ustavila registracijo novih uporabnikov.
Mikro in mala podjetja za zamujeni 24-urni rok ne morejo dobiti globe, obveznost prijave pa velja tudi zanje. Raziskovalci ne vedo, ali so agenti do ključev res prišli, ekipa registra pa dokazov o tem ni našla. Podatki, ki so jih agenti zbirali, so bili javno dostopni. Ribarjenje z gesli po navedbah centra SI-CERT ostaja glavno orodje spletnih goljufij. Center je lani obravnaval 6.196 incidentov, od tega 1.995 primerov ribarjenja. Policija je za lani zabeležila 40,4 milijona evrov oškodovanj v spletnih goljufijah.
Obveznost zajema tudi izdelke, ki so bili na trg dani pred 11. decembrom 2027, ko začne veljati glavnina uredbe.
