С этого месяца европейские разработчики криптовалютных кошельков должны сообщать об обнаруженных уязвимостях в течение 24 часов с момента их выявления. Это требование предусмотрено обновленным законом Cyber Resilience Act.
Новые правила вступили в силу 11 сентября и распространяются на производителей аппаратных и программных криптокошельков, зарегистрированных на территории Евросоюза.
Согласно документу, предварительное уведомление об уязвимости или серьезном инциденте информационной безопасности необходимо направить в течение суток после того, как производитель узнал о проблеме. Полный отчет о ней должен быть опубликован в течение следующих 72 часов.
Окончательный отчет об инциденте требуется предоставить не позднее 14 дней после выпуска исправления. Для серьезных инцидентов установлен другой срок — один месяц с момента подачи 72-часового уведомления.
Кроме того, производители обязаны предупреждать всех пользователей, которых проблема уже затронула или потенциально может затронуть.
Отчеты подаются через платформу Single Reporting, созданную Европейским агентством по кибербезопасности (ENISA). После отправки уведомление поступает в CSIRT, которая должна оперативно передать информацию профильным командам других стран ЕС, где распространяется соответствующий продукт.