Krypto Nyheter
EU aktiverer 24-timersregel for cyberrapportering for produsenter av kryptolommebøker
Produsenter av kryptolommebøker som selger produkter i Europa, må nå rapportere aktivt utnyttede sårbarheter og alvorlige produktsikkerhetshendelser gjennom ENISAs Single Reporting Platform innen 24 timer. Rapporteringspliktene under EUs Cyber Resilience Act begynte å gjelde 11. september 2026. Produsenter…
Produsenter av kryptolommebøker som selger produkter i Europa, må nå rapportere aktivt utnyttede sårbarheter og alvorlige produktsikkerhetshendelser gjennom ENISAs Single Reporting Platform innen 24 timer.
Nøkkelpunkter
- Rapporteringspliktene under EUs Cyber Resilience Act begynte å gjelde 11. september 2026.
- Produsenter av berørte maskinvare- og programvareprodukter må sende et tidlig varsel innen 24 timer.
- Dette gjelder etter at produsenten blir kjent med en aktivt utnyttet sårbarhet eller en alvorlig sikkerhetshendelse.
- En mer detaljert melding skal sendes innen 72 timer.
- En sluttrapport skal leveres innen 14 dager etter at et korrigerende tiltak blir tilgjengelig ved utnyttede sårbarheter.
- For alvorlige hendelser er fristen for sluttrapport én måned.
- De bredere kravene til produktsikkerhet, dokumentasjon og CE-merking gjelder fra 11. desember 2027.
- For Europas sektor for digitale eiendeler kommer reglene i tillegg til MiCA.
- Reglene kan også omfatte kryptolommebøker som ikke reguleres som kryptotjenester under MiCA.
Hovedartikkel
BRUSSEL — Produsenter av kryptolommebøker som betjener det europeiske markedet, er nå underlagt en rapporteringsfrist på 24 timer ved alvorlige cyberhendelser.
Dette skjer etter at EU aktiverte bestemmelsene om rapportering av hendelser og sårbarheter i Cyber Resilience Act, CRA.
Fra 11. september 2026 må produsenter av produkter med digitale elementer som gjøres tilgjengelige i EU, rapportere aktivt utnyttede sårbarheter og alvorlige hendelser som påvirker produktsikkerheten.
Plikten følger rammeverket i artikkel 14 i CRA.
Rapporteringen skjer gjennom Single Reporting Platform, som drives av EUs cybersikkerhetsbyrå ENISA.
Reglene gjelder ikke bare kryptobransjen.
De gjelder bredt for maskinvare og programvare som gjøres tilgjengelig på EU-markedet.
Likevel er reglene særlig relevante for produsenter av kryptolommebøker.
Programvarebaserte lommebøker og tilkoblede hardware-lommebøker kan omfattes av kategorien «produkter med digitale elementer» når de tilbys brukere i Europa.
Rapporteringsprosessen består av tre trinn.
Produsenter må sende et tidlig varsel uten ugrunnet opphold. Dette skal uansett skje innen 24 timer etter at virksomheten blir kjent med en aktivt utnyttet sårbarhet eller alvorlig hendelse.
En mer detaljert melding skal deretter sendes innen 72 timer.
Ved en aktivt utnyttet sårbarhet skal en sluttrapport leveres senest 14 dager etter at et korrigerende eller risikoreduserende tiltak er tilgjengelig.
For alvorlige hendelser skal sluttrapporten leveres innen én måned etter 72-timersmeldingen.
Produsentene må også informere berørte brukere.
Når det er relevant, skal alle brukere informeres om sårbarheten eller hendelsen og hvilke tiltak de kan gjennomføre.
Dette er spesielt viktig for kryptobrukere.
Forsinkelser i oppdatering av sårbare lommebøker kan blant annet utsette private nøkler, seed phrases, signeringsprosesser eller brukergrensesnitt for angrep.
Cyber Resilience Act trådte i kraft i desember 2024.
Datoen 11. september 2026 markerer starten på rapporteringspliktene. Det betyr ikke at hele lovverket nå gjelder fullt ut.
De bredere kravene til produktsikkerhet gjelder fra 11. desember 2027.
Dette inkluderer blant annet samsvarsvurderinger og krav knyttet til CE-merking.
Hvorfor dette er viktig
De nye reglene gir Europa en mer sentralisert mekanisme for å følge cybertrusler mot digitale produkter.
ENISAs Single Reporting Platform gjør det mulig for produsenter å rapportere en hendelse ett sted.
Informasjonen sendes videre til det relevante nasjonale Computer Security Incident Response Team, CSIRT, og gjøres tilgjengelig for ENISA.
Dette skal bidra til en mer koordinert europeisk respons på sårbarheter og alvorlige sikkerhetshendelser.
For produsenter av kryptolommebøker kan den praktiske betydningen bli stor.
Fristen på 24 timer betyr at selskaper ikke lenger kan behandle utnyttede sårbarheter utelukkende som interne tekniske problemer eller kundeservicesaker.
Når produsenten får pålitelig informasjon om at en ondsinnet aktør har utnyttet en sårbarhet, starter en regulatorisk rapporteringsprosess.
Den europeiske vinklingen er særlig viktig på grunn av MiCA, EUs Markets in Crypto-Assets Regulation.
MiCA retter seg hovedsakelig mot utstedere av kryptoaktiva og tilbydere av kryptotjenester.
MiCA fastslår samtidig at tilbydere av maskinvare eller programvare for ikke-depotbaserte lommebøker normalt ikke skal omfattes av regelverkets virkeområde.
CRA kan derfor bli et av EUs viktigste regulatoriske verktøy for selve sikkerheten i kryptolommebøker.
Det skiller seg fra MiCA, som i større grad regulerer mellomledd som oppbevarer eller overfører kryptoaktiva på vegne av kunder.
Reglene er også viktige for selskaper utenfor EU.
En produsent av kryptolommebøker som holder til utenfor unionen, kan fortsatt omfattes av CRA dersom produktet gjøres tilgjengelig på EU-markedet.
Dermed skaper regelverket i praksis en europeisk sikkerhetsstandard for globale leverandører som ønsker tilgang til europeiske brukere.
Manglende etterlevelse kan få betydelige konsekvenser.
Under sanksjonsreglene i CRA kan brudd på sentrale cybersikkerhetskrav og produsentplikter føre til administrative bøter.
Dette inkluderer rapporteringspliktene i artikkel 14.
Bøtene kan være på opptil 15 millioner euro eller 2,5 prosent av selskapets samlede globale årsomsetning, avhengig av hvilket beløp som er høyest.
Hva skjer videre?
Produsenter av kryptolommebøker som opererer i Europa, må nå vurdere om produktene deres omfattes av CRA.
De må også identifisere riktig nasjonal CSIRT-koordinator.
Samtidig må interne sikkerhets- og hendelsesteam være i stand til å overholde fristene på 24 og 72 timer.
Den umiddelbare etterlevelsesbyrden vil trolig særlig gjelde selskaper som utvikler eller markedsfører produkter under eget navn eller varemerke.
Dette kan omfatte:
- tilkoblede hardware-lommebøker
- mobilapper for kryptolommebøker
- programvare for desktop-lommebøker
- nettleserutvidelser
- firmware
- signeringsverktøy
- andre komponenter knyttet til kryptolommebøker
ENISA har lansert den første operative versjonen av Single Reporting Platform.
Byrået har opplyst at plattformen skal videreutvikles og utvides de kommende månedene basert på praktisk erfaring og brukernes behov.
Funksjonalitet for frivillig rapportering ventes i en senere fase.
Rapporteringspliktene for forvaltere av åpen kildekode-programvare skal gjelde fra 11. desember 2027.
For Europas kryptosektor er budskapet tydelig:
Cybersikkerhet blir i stadig større grad et spørsmål om markedsadgang.
MiCA etablerte lisensieringsrammeverket for tilbydere av kryptotjenester.
CRA presser nå produktprodusenter mot raskere rapportering, bedre håndtering av sårbarheter og større ansvar overfor brukere og myndigheter.
Krypto Nyheter
Krypto Nyheter
Krypto Nyheter
Digital Euro