Zákon EU o kybernetické odolnosti: Co to ve skutečnosti znamená pro váš projekt na WordPressu
Termín, o kterém nikdo nemluví
Pokud jste četli něco o zákonu EU o kybernetické odolnosti (EU Cyber Resilience Act), pravděpodobně to bylo o prosinci 2027, kdy nařízení vstoupí v plnou platnost. To je datum, o kterém se nejvíce mluví. Existuje však ještě jedno dřívější datum, které má v každodenní praxi větší význam, a to se blíží: 11. září 2026.
Od tohoto dne musí každý, kdo vyrábí „výrobky s digitálními prvky“ a prodává je v EU, hlásit aktivně zneužívané zranitelnosti a závažné bezpečnostní incidenty agentuře ENISA a svému národnímu CSIRT. Na tyto lhůty si je třeba zvyknout. Na podání včasného varování máte 24 hodin od okamžiku, kdy se o aktivním zneužití dozvíte. 72 hodin na podání úplného oznámení. Poté následuje závěrečná zpráva, jakmile je k dispozici oprava.
Vše probíhá prostřednictvím jediného celoevropského systému, jednotné oznamovací platformy CRA, a směřuje k CSIRT země, ve které má společnost sídlo. V našem případě by to byl český CSIRT.
Platí to vůbec pro WordPress?
Více, než si většina lidí v tomto ekosystému uvědomuje. CRA se vztahuje v podstatě na jakýkoli software nebo hardware prodávaný komerčně v EU.
Pokud prodáváte komerční plugin nebo šablonu pro WordPress evropským zákazníkům, nařízení vás považuje za „výrobce“ se všemi povinnostmi, které tento pojem zahrnuje.
Situace u softwaru vyvinutého na zakázku je nejasnější. Hodně záleží na tom, jak přesně se produkt dostává na trh, a právníci se budou o hraničních případech dohadovat ještě roky. Obecný směr je však zřejmý.
Open source požívá výjimky, dokud zůstává nekomerční. Jakmile dojde k monetizaci, výjimka se začíná omezovat.
A co se stane, pokud to vše ignorujete: pokuty dosahují až 15 milionů eur nebo 2,5 % celkového celosvětového ročního obratu, podle toho, co je pro vás nepříjemnější. Nikdo neočekává, že regulační orgány budou hned ukládat maximální pokuty, ale horní hranice je stanovena z určitého důvodu.
Část, kterou dodavatelé podceňují
Povinnost hlášení se vztahuje pouze na zranitelnosti, které jsou aktivně zneužívány: skutečné útoky na skutečné instalace, nikoli „proof of concept“, který někdo zveřejnil na GitHubu. To zní jako úzká spouštěcí podmínka. Ve světě WordPressu tomu tak není, protože závažné chyby jsou nyní masově zneužívány již během několika hodin po jejich odhalení. Aktivní zneužití je běžným stavem zveřejněné zranitelnosti WordPressu.
A v článku 14 je zabudovaná past, kterou regulační orgány pochopily dříve než většina dodavatelů. Nemůžete nahlásit to, čeho jste si nikdy nevšimli. Prodejce pluginů bez kanálu pro zveřejňování, bez monitorování a bez ponětí o tom, jaké knihovny dodává, se může dostat do rozporu s předpisy, aniž by cokoli zatajil, jednoduše proto, že neměl jak to zjistit.
Realistický kontrolní seznam pro každého, kdo dodává software do EU, ještě před zářím:
- Vedejte aktuální seznam komponent, které dodáváte (v terminologii dodržování předpisů se tomu říká SBOM).
- Zveřejněte kontaktní údaje pro bezpečnostní záležitosti, aby vás výzkumníci mohli skutečně kontaktovat.
- Sledujte své závislosti. CRA dokonce zahrnuje povinnost informovat správce komponent, takže zprávy o zranitelnostech putují v dodavatelském řetězci oběma směry.
- Rozhodněte se předem, kdo sepíše 24hodinovou zprávu a kdo potvrdí závažnost. Nejlépe ještě předtím, než bude sobota ve 2 hodiny ráno a vy zjistíte, že žádný takový proces nemáte.
A pokud pouze provozujete webové stránky?
V tom případě vám CRA přímo neukládá žádné povinnosti v oblasti hlášení. Co však udělá, je, že přetvoří trh s pluginy kolem vás. Komerční dodavatelé budou brát zveřejňování zranitelností vážněji. Někteří menší dodavatelé si uvědomí náklady spojené s dodržováním předpisů a místo toho tiše přestanou prodávat do EU, a plugin opuštěný kvůli byrokracii je přesně stejně nebezpečný jako ten, který byl opuštěn z jakéhokoli jiného důvodu. Stojí za to se již nyní zeptat vašich placených dodavatelů, co hodlají do září udělat; ty, kteří nemají odpověď, je třeba vyměnit jako první.
