Preparare una notifica CRA ai sensi dell’articolo 14 prima di aprire la piattaforma ENISA

Due dei tre termini iniziano nello stesso momento: quando si viene a conoscenza dell’evento. Il terzo inizia più tardi, con un presupposto diverso per i due tipi di caso. Tenga a disposizione il testo del regolamento e gli orientamenti aggiornati dell’ENISA: sono queste fonti, non una lista di controllo, a definire l’obbligo.

Il calcolo dei termini dipende da un riferimento temporale. Lo registri non appena una persona responsabile di intervenire riceve le informazioni, specificando chi ha appreso cosa, da quale fonte e che cosa fosse esattamente noto in quel momento. Lo registri anche se il caso risulta poi non soggetto a notifica: la documentazione ne conserva il motivo.

In Attesly un caso ai sensi dell’articolo 14 inizia con questo momento di conoscenza. Da esso vengono calcolati i termini per il preallarme e la notifica. Il termine per la relazione finale compare quando diventa disponibile una misura correttiva, per una vulnerabilità sfruttata, oppure quando viene inviata la notifica, per un incidente grave.

• Responsabile del caso — tiene la cronologia, raccoglie le informazioni e assicura l’invio di ciascuna fase entro i termini.
• Responsabile tecnico — descrive la natura dello sfruttamento o dell’incidente, i prodotti e le versioni interessati, le misure di attenuazione disponibili e la correzione.
• Conformità del prodotto — identifica i prodotti e gli Stati membri interessati e il CSIRT coordinatore.
• Direzione — approva le informazioni da inviare, compresa un’eventuale richiesta di rinvio della diffusione.
• Comunicazione — stabilisce cosa comunicare agli utenti e quando.

Indichi un sostituto per ogni ruolo. Un termine di 24 ore non aspetta il rientro dalle ferie.

• Il prodotto interessato e gli Stati membri in cui viene messo a disposizione.
• Il CSIRT coordinatore del caso.
• Per un incidente grave: se si sospetta che sia stato causato da atti illeciti o dolosi.
• Per la notifica: la natura generale dello sfruttamento e della vulnerabilità, oppure la natura dell’incidente con una valutazione iniziale; le misure correttive o di attenuazione adottate; le misure che gli utenti possono adottare; la valutazione della sensibilità delle informazioni.
• Se necessario: una richiesta al CSIRT di rinviare la diffusione ai sensi dell’articolo 16, paragrafo 2, con i motivi legati alla cibersicurezza.
• Dopo ogni invio: il momento di trasmissione e il riferimento della piattaforma.

L’articolo 14, paragrafi 2 e 4, stabilisce il contenuto di ciascuna fase. Confronti questa lista con il testo vigente prima di utilizzarla come riferimento.

Esempio fittizio. Northwind Robotics e il suo NW-200 Edge Controller sono il fabbricante e il prodotto dimostrativi inventati per Attesly.

1. Lunedì, ore 9:40: dalla pagina pubblica di Northwind un ricercatore segnala lo sfruttamento di una vulnerabilità in un componente del firmware NW-200. Il responsabile della sicurezza del prodotto conferma la segnalazione e apre un caso articolo 14, indicando le 9:40 come momento di conoscenza.
2. Il caso indica martedì alle 9:40 come termine per il preallarme e giovedì alle 9:40 per la notifica. Il termine della relazione finale non è ancora iniziato.
3. Il team inserisce gli Stati membri in cui viene venduto il NW-200 e il CSIRT coordinatore, poi copia la scheda preparata nella piattaforma ENISA. Il preallarme viene inviato lunedì pomeriggio e ne vengono registrati l’orario e il riferimento della piattaforma.
4. Entro mercoledì il contenuto della notifica è completo: natura dello sfruttamento, misure adottate, indicazioni per gli utenti e sensibilità delle informazioni. La notifica viene inviata e registrata nello stesso modo.
5. La settimana seguente è disponibile un aggiornamento del firmware. Registrando questa data inizia il termine della relazione finale: 14 giorni.

In ogni momento il fascicolo mostra cosa era noto e quando, chi ha svolto le attività e quale scadenza viene dopo.

• Attesly consente di: conservare il caso con il momento di conoscenza e i termini calcolati, raccogliere i contenuti di ciascuna fase, preparare una scheda ENISA pronta da copiare, registrare le attività e, se i membri li attivano, inviare promemoria per le fasi in scadenza.
• Attesly non: invia informazioni all’ENISA o a un CSIRT, decide se un evento è soggetto a notifica, certifica prodotti o fornisce consulenza legale.

Consulti piani e prezzi, prenoti un incontro oppure scopra come mantenere aggiornate evidenze di prodotto e SBOM tra un incidente e l’altro.