Akta Daya Tahan Siber EU: kewajipan pelaporan berkuat kuasa mulai 11 September 2026. Apa yang perlu dibuat oleh pengeluar pengecas dan penyongsang

#Garis masa

#Apa yang dilaporkan dan berapa cepat

Masa dikira dari saat pengeluar mengetahuinya. Laporan dihantar sekali melalui platform, kepada CSIRT penyelaras di negara anggota tempat pertubuhan utama pengeluar dan, kecuali keadaan luar biasa, kepada ENISA serentak.

Insiden dianggap serius jika ia menjejaskan atau boleh menjejaskan keupayaan produk melindungi ketersediaan, ketulenan, integriti atau kerahsiaan data atau fungsi, atau menyebabkan (atau boleh menyebabkan) kod berniat jahat berjalan pada produk atau sistem pengguna.

Pengeluar juga wajib memaklumkan pengguna yang terjejas, dan jika sesuai semua pengguna, tentang kelemahan atau insiden dan langkah mitigasi, jika sesuai dalam format berstruktur yang boleh dibaca mesin.

#Produk yang sudah dijual turut dikira

Produk yang dipasarkan sebelum 11 Disember 2027 biasanya hanya tertakluk kepada CRA selepas pengubahsuaian ketara (Perkara 69(2)). Kewajipan pelaporan ialah pengecualian: Perkara 14 terpakai kepada semua produk sedemikian dalam skop, tanpa syarat pengubahsuaian (Perkara 69(3)). Pangkalan terpasang anda di EU sudah dalam skop sekarang.

#Adakah pengecas, penyongsang dan sistem storan terlibat?

CRA meliputi produk dengan elemen digital yang bersambung ke peranti atau rangkaian. Pengecas dengan OCPP, penyongsang dengan pemantauan Wi-Fi atau 4G, sistem storan yang bersambung ke platform awan, dan unit pengurusan tenaga semuanya sepadan dengan huraian ini.

Tiada satu pun produk ini dinamakan dalam Lampiran III (produk penting) atau Lampiran IV (produk kritikal). Lampiran III menyenaraikan antaranya penghala dan modem, sistem pengendalian, serta produk rumah pintar dengan fungsi keselamatan; Lampiran IV menyenaraikan get laluan meter pintar. Produk yang tidak disenaraikan termasuk dalam kategori lalai, dan pengeluar boleh menilai pematuhan sendiri mulai Disember 2027.

Sebelum itu, peralatan radio bersambung yang dijual di EU sudah perlu memenuhi keperluan keselamatan siber Arahan Peralatan Radio, dinilai dengan EN 18031.

#Apa yang perlu dibuat sekarang

1. Sediakan aliran 24 jam. Siapa menerima laporan kelemahan, siapa menilai sama ada ia dieksploitasi aktif, siapa menghantar amaran awal.
2. Sediakan akses ke Platform Pelaporan Tunggal dan kenal pasti CSIRT yang menerima pemberitahuan.
3. Senaraikan pangkalan terpasang. Setiap model bersambung yang dijual di EU, versi perisian tegar dan cara kemas kini sampai ke peranti. Kewajipan menjangkau produk lama.
4. Sediakan notis pengguna. Templat dan saluran makluman, sebaiknya boleh dibaca mesin.
5. Rancang untuk Disember 2027. Reka bentuk selamat secara lalai, kemas kini keselamatan sepanjang tempoh sokongan dan senarai komponen perisian (SBOM) akan menjadi keperluan.