Kryptovaluta-tegnebogsudbyderes nye rapporteringskrav
Kryptovaluta-tegnebogsudbydere skal indsende en tidlig sårbarhedsrapport inden for 24 timer og en fuld meddelelse inden for 72 timer efter udnyttelse, ellers risikerer de administrative bøder på op til 17,3 millioner dollars. EU meddeler kryptovaluta-hardware- og software-tegnebogsudbydere, at de har 24 timer fra det øjeblik, de bliver opmærksomme på aktivt udnyttede fejl eller alvorlige sikkerhedssårbarheder, der påvirker deres produkter, til at rapportere.
Baggrund for foranstaltningen
Foranstaltningen er en del af EU’s Cyber Resilience Act (CRA), som trådte i kraft i fredags ifølge en meddelelse fra Europa-Kommissionen. Producenter skal indsende en tidlig advarsel for alvorlige sårbarheder inden for 24 timer, efterfulgt af en fuld meddelelse inden for 72 timer. En endelig rapport vil være påkrævet 14 dage efter, at korrigerende eller afbødende foranstaltninger er tilgængelige, og inden for en måned for alvorlige hændelser.
Formålet med de nye krav
Europa-Kommissionen har udtalt, at de nye rapporteringskrav har til formål at beskytte forbrugere og virksomheder bedre mod cybertrusler. Foranstaltningen gælder for alle produkter med digitale elementer, der stilles til rådighed i EU, og bygger videre på EU’s bredere cybersikkerhedsstrategi.
“Virksomheder, der ikke overholder cybersikkerhedsforanstaltningerne under artiklerne 13 og 14, kan stå over for en administrativ bøde på op til 15 millioner euro (17,3 millioner dollars) eller 2,5% af den globale årlige omsætning, afhængigt af hvilken figur der er højere.”
Konsekvenser af manglende overholdelse
At levere ukorrekte, ufuldstændige eller vildledende oplysninger vil også udsætte virksomheder for en administrativ bøde på op til 5 millioner euro. Uddrag fra den endelige tekst af den Europæiske Cyber Resilience Act kan findes på European-Cyber-Resilience-Act.com.
Seneste hændelser i branchen
Foranstaltningen blev afsløret uger efter, at to populære hardware-tegnebogsudbydere afslørede brud på brugerdata, der kunne føre til phishing- eller social engineering-forsøg. Den 4. september afslørede hardware-tegnebogsudbyderen Trezor, at yderligere 67.000 amerikanske kunder var i fare på grund af databruddet, som deres forsendelsesudbyder, ShipMonk, havde lidt, hvilket oversteg det oprindeligt estimerede antal på 14.000 brugere.
Onsdag advarede Trezor og BitBox brugere om phishing-e-mails, der var forklædt som presserende sikkerhedsmeddelelser efter mistænkte kompromitteringer, der involverede tredjeparts e-mail-tjenester. I juni advarede Layer-1 blockchain-netværket Zilliqa om, at en sårbarhed i Zilliqa Ledger-appen kunne tillade angribere at genoprette brugernes private nøgler ved hjælp af offentligt tilgængelige on-chain data.
Fremtidige skridt
Cointelegraph har kontaktet tegnebogsproducenterne Trezor og Ledger for kommentarer om, hvordan tegnebogsudbydere vil overholde de nye rapporteringskrav.
