ES kibernetinio saugumo taisyklės kameroms ir maršrutizatoriams: nuo rugsėjo gamintojai privalo pranešti apie spragas

Vaizdo kameros, įrašymo įrenginiai, maršrutizatoriai, išmaniosios signalizacijos ir durų skambučiai – visa tai iš esmės yra prie interneto prijungti kompiuteriai. Ilgą laiką jų saugumas Europoje priklausė nuo gamintojų geros valios: nebuvo bendrų privalomų taisyklių, kaip tokie įrenginiai turi būti apsaugoti, kiek laiko atnaujinami ir kaip gamintojas turi elgtis aptikęs spragą. Per pastaruosius dvejus metus Europos Sąjunga šią situaciją pradėjo keisti žingsnis po žingsnio.

Svarbiausia naujiena – nuo 2026 m. rugsėjo 11 d. įsigaliojo pirmoji praktinė Kibernetinio atsparumo akto dalis: gamintojai privalo pranešti apie aktyviai išnaudojamas savo gaminių saugumo spragas ir rimtus incidentus. Tą pačią dieną pradėjo veikti ir ES kibernetinio saugumo agentūros ENISA sukurta pranešimų platforma.

Kas yra Kibernetinio atsparumo aktas

Kibernetinio atsparumo aktas – tai Reglamentas (ES) 2024/2847, įsigaliojęs 2024 m. gruodį. Jis taikomas beveik visiems gaminiams su skaitmeniniais elementais – tiek įrangai, tiek programinei įrangai, kuri jungiasi prie kito įrenginio ar tinklo. Reglamentas nustato pagrindinius saugumo reikalavimus visam gaminio gyvavimo ciklui: nuo projektavimo iki to laiko, kai gamintojas nustoja jį palaikyti.

Reglamentas taikomas palaipsniui. Pranešimų prievolė – pirmasis didelis etapas. Dauguma kitų reikalavimų, įskaitant pagrindinius saugumo reikalavimus gaminiams ir CE ženklinimą pagal šį aktą, bus taikomi nuo 2027 m. gruodžio 11 d. Atvirojo kodo programinės įrangos prižiūrėtojams pranešimų prievolė taip pat atsiras tik nuo 2027 m. gruodžio.

Reglamento priede išskirtos svarbesnių gaminių kategorijos, kurioms taikoma griežtesnė atitikties vertinimo tvarka. Tarp jų – maršrutizatoriai, interneto modemai ir komutatoriai, taip pat išmaniųjų namų gaminiai su saugumo funkcijomis: išmaniosios durų spynos, apsaugos kameros, kūdikių stebėjimo sistemos ir signalizacijos. Tai reiškia, kad apsaugos įrangai ES taisyklės bus vienos griežčiausių.

Ką gamintojai privalo daryti nuo rugsėjo 11 d.

Pagal Europos Komisijos paskelbtą tvarką, gamintojas, sužinojęs apie aktyviai išnaudojamą savo gaminio spragą ar rimtą saugumo incidentą, turi laikytis griežtų terminų:

• Per 24 valandas pateikti ankstyvąjį įspėjimą.
• Per 72 valandas pateikti išsamų pranešimą.
• Per 14 dienų nuo spragos pataisymo išleidimo pateikti galutinę ataskaitą apie išnaudotą spragą.
• Per mėnesį nuo 72 valandų pranešimo pateikti galutinę ataskaitą apie rimtą incidentą.

Pranešimai teikiami per vieną bendrą platformą (Single Reporting Platform), kurią ENISA sukūrė kartu su ES kompiuterinių incidentų tyrimo tarnybų (CSIRT) tinklu. Gamintojas pranešimą pateikia vieną kartą – jis patenka valstybės, kurioje yra pagrindinė gamintojo buveinė, CSIRT tarnybai, o ENISA, išskyrus išimtinius atvejus, jį gauna tuo pačiu metu. Pirmoji pranešimą gavusi tarnyba turi nedelsdama jį perduoti kitų šalių, kuriose gaminys parduodamas, tarnyboms.

2025 m. gruodžio 11 d. Komisija priėmė deleguotąjį aktą, kuriame nustatyta, kokiais pagrįstais kibernetinio saugumo sumetimais tarnyba išimtiniais atvejais gali atidėti pranešimo perdavimą. 2026 m. liepą Komisija paskelbė ir neprivalomas gaires, paaiškinančias, pavyzdžiui, nuo kada laikoma, kad gamintojas „sužinojo“ apie spragą.

Aktyviai išnaudojama spraga – tai ne bet kokia programinės įrangos klaida, o tokia, kurią, turimais duomenimis, jau naudoja piktavaliai, pavyzdžiui, norėdami prisijungti prie įrenginio be leidimo, perimti vaizdo srautą ar įtraukti įrenginį į kenkėjišką tinklą. Rimtu incidentu laikomas įvykis, kuris pažeidžia ar gali pažeisti gaminio gebėjimą apsaugoti duomenis ar funkcijas, arba kai į gaminį ar jo atnaujinimo procesą įterpiamas kenkėjiškas kodas. Tokia informacija ankstesniais metais dažnai pasiekdavo visuomenę tik po kelių savaičių ar mėnesių – jei apskritai pasiekdavo.

Svarbi detalė: pranešimų prievolė taikoma ir gaminiams, kurie rinkoje buvo dar prieš įsigaliojant pagrindiniams reglamento reikalavimams. Tai reiškia, kad apie spragas teks pranešti ir dėl šiuo metu parduodamų ar jau sumontuotų kamerų, maršrutizatorių bei kitų įrenginių, jei gamintojas sužino apie aktyvų jų išnaudojimą.

Radijo įrenginių direktyva: reikalavimai nuo 2025 m. rugpjūčio

Dar prieš Kibernetinio atsparumo aktą, nuo 2025 m. rugpjūčio 1 d., pradėti taikyti Radijo įrenginių direktyvos deleguotojo reglamento (ES) 2022/30 reikalavimai. Jie taikomi belaidžiams įrenginiams, galintiems tiesiogiai ar per kitą įrenginį jungtis prie interneto. Tai, pavyzdžiui, Wi‑Fi kameros, maršrutizatoriai, belaidės signalizacijos, išmanieji durų skambučiai ir kiti radijo įrenginiai.

Reikalavimai apima tris sritis: įrenginys neturi kenkti tinklui ar trikdyti jo veikimo, turi apsaugoti asmens duomenis ir privatumą bei apsaugoti nuo sukčiavimo, jei juo atliekami mokėjimai ar pinigų pervedimai. Atitiktis paprastai įrodoma pagal darniuosius standartus EN 18031-1, -2 ir -3. Reikalavimai taikomi įrenginiams, tiekiamiems į rinką nuo nurodytos datos, net jei tas pats modelis buvo parduodamas ir anksčiau.

Šie reikalavimai yra tarsi tarpinis etapas. Kai 2027 m. gruodį bus pradėti taikyti visi Kibernetinio atsparumo akto reikalavimai, jie apims ir belaidžių įrenginių saugumą, todėl abiejų teisės aktų reikalavimai turės būti suderinti.

Ką keičia naujos taisyklės

Kibernetinio atsparumo aktas gamintojams nustato kelis esminius principus. Gaminiai turi būti tiekiami be žinomų išnaudojamų spragų ir su saugiais numatytaisiais nustatymais – praktiškai tai reiškia, kad vienodi gamykliniai slaptažodžiai, tokie kaip „admin“ ar „12345“, nebebus priimtini. Gamintojai privalo nustatyti palaikymo laikotarpį, per kurį leis saugumo atnaujinimus, ir jį aiškiai nurodyti. Duomenys turi būti apsaugoti, o nereikalingos funkcijos ir prievadai – išjungti pagal nutylėjimą.

Už pagrindinių reikalavimų nesilaikymą reglamente numatytos baudos iki 15 mln. eurų arba iki 2,5 proc. pasaulinės metinės apyvartos, priklausomai nuo to, kuri suma didesnė. Prievolių vykdymą prižiūrės kiekvienos valstybės narės rinkos priežiūros institucijos.

Pokyčiai svarbūs ir vaizdo stebėjimo rinkai. Prie interneto prijungtos kameros ir įrašymo įrenginiai ne kartą tapo didelių kibernetinių atakų dalimi: pažeidžiami įrenginiai su gamykliniais slaptažodžiais buvo jungiami į vadinamuosius botnetus ir naudojami interneto svetainėms atakuoti. Naujosios taisyklės siekia, kad tokių įrenginių ES rinkoje neliktų, o aptiktos spragos būtų taisomos greitai ir skaidriai.

Gaminių ir organizacijų taisyklės – skirtingi dalykai

Kibernetinio atsparumo aktą verta skirti nuo kitos plačiai aptarinėjamos ES taisyklės – NIS2 direktyvos. NIS2 taikoma organizacijoms: energetikos, transporto, sveikatos, viešojo sektoriaus ir daugeliui kitų įmonių, kurioms nustatomi kibernetinio saugumo valdymo ir pranešimo apie incidentus reikalavimai. Kibernetinio atsparumo aktas, priešingai, taikomas patiems gaminiams ir jų gamintojams, importuotojams bei platintojams.

Šios taisyklės papildo viena kitą. Organizacija, kuriai taikoma NIS2, privalo valdyti savo sistemų rizikas, o Kibernetinio atsparumo aktas turėtų užtikrinti, kad jos perkami įrenginiai – kameros, maršrutizatoriai ar praėjimo kontrolės sistemos – nuo pat pradžių atitiktų bazinius saugumo reikalavimus. Importuotojai ir platintojai taip pat turės pareigų: jie negalės tiekti į rinką gaminių, kurie akivaizdžiai neatitinka reikalavimų ar neturi reikiamos dokumentacijos.

Kas toliau

Artimiausi metai bus pereinamasis laikotarpis. Gamintojai turės pritaikyti gaminių kūrimo procesus, atlikti atitikties vertinimus ir pasiruošti CE ženklinimui pagal naujas taisykles iki 2027 m. gruodžio. Rinkos priežiūros institucijos savo ruožtu turės išmokti tikrinti, ar parduodami įrenginiai iš tiesų atitinka reikalavimus.

Vienas didžiausių klausimų – kaip bus užtikrintas reikalavimų laikymasis prekiaujant per internetines prekyvietes, kuriose dažnai parduodami neaiškios kilmės pigūs įrenginiai. Būtent jiems naujosios ES taisyklės gali turėti didžiausią poveikį.

Šis straipsnis yra bendro pobūdžio informacija, o ne teisinė konsultacija. Tikslūs reikalavimai ir terminai nurodyti ES teisės aktuose ir Europos Komisijos gairėse.

Šaltiniai: Europos Komisija apie Kibernetinio atsparumo akto pranešimų prievolę; Jones Day apie pranešimų prievolę nuo 2026-09-11; Reed Smith apie Radijo įrenginių direktyvos reikalavimus nuo 2025-08.