قانون تاب‌آوری سایبری (Cyber Resilience Act یا به اختصار CRA) مقررات جدید اتحادیه اروپا است که حداقل الزامات امنیت سایبری را برای تمامی محصولات دارای المان‌های دیجیتال (شامل سخت‌افزار و نرم‌افزار) تعریف می‌کند. این قانون تمامی شرکت‌هایی که محصولات خود را در بازار اتحادیه اروپا عرضه می‌کنند، فارغ از محل استقرار شرکت، شامل می‌شود.
پلتفرم گزارش‌دهی واحد (SRP) و ضرب‌الاجل‌ها
از تاریخ ۱۱ سپتامبر، شرکت‌ها قانوناً موظف هستند هرگونه آسیب‌پذیری که به صورت فعال اکسپلویت شده (Actively Exploited) یا حوادث امنیتی شدید را ظرف ۲۴ ساعت پس از شناسایی، از طریق پلتفرم گزارش‌دهی واحد (Single Reporting Platform یا SRP) به مقامات اتحادیه اروپا گزارش دهند.
- گزارش اولیه: ظرف ۲۴ ساعت پس از شناسایی.
- اطلاع‌رسانی تکمیلی: ظرف ۷۲ ساعت (شامل اطلاعات مربوط به تهدید و روش‌های کاهش اثر یا Mitigation).
- گزارش نهایی: ظرف ۱۴ روز پس از ارائه اصلاحیه (Fix) برای آسیب‌پذیری‌های اکسپلویت شده، یا ظرف یک ماه پس از اطلاع‌رسانی ۷۲ ساعته برای حوادث شدید.
رفع باورهای اشتباه در مورد CRA
در مورد نحوه انطباق با این قانون، چندین تصور غلط رایج است که باید اصلاح شوند:
- گزارش تمامی آسیب‌پذیری‌ها: برخلاف تصور عموم، نیازی به گزارش هر آسیب‌پذیری کشف شده نیست. تنها مواردی که توسط عوامل تهدید (Threat Actor) با نیت تخریبی اکسپلویت شده‌اند یا منجر به حادثه‌ای شدید شده‌اند، باید گزارش شوند.
- مهلت گزارش نهایی: مهلت ۱۴ روزه برای گزارش نهایی، از زمان ارائه راهکار اصلاحی محاسبه می‌شود، نه از زمان کشف آسیب‌پذیری.
- محدودیت گزارش به ENISA: گزارش به پلتفرم SRP تنها یک گام است. سازمان‌ها باید کاربران متأثر از حادثه را نیز مطلع کرده و اقدامات اصلاحی لازم را به آن‌ها ابلاغ کنند.
- ثبت‌نام پیش‌دستانه: در حال حاضر نیازی به ثبت‌نام پیش‌دستانه در SRP نیست و ENISA توصیه می‌کند شرکت‌ها تا زمان نیاز به گزارش‌دهی صبر کنند.
استانداردهای فنی و چشم‌انداز آینده
مدیران امنیت باید روی استانداردهای هماهنگ‌سازی شده (Harmonised Standards) تمرکز کنند، زیرا این استانداردها قواعد فنی ساخت محصولات منطبق را تعریف می‌کنند. به طور خاص، استانداردهای EN 40000-1-1 (اصطلاحات) و EN 40000-1-3 (مدیریت آسیب‌پذیری و افشای آن) حیاتی هستند.
تا تاریخ ۱۱ دسامبر ۲۰۲۷، تمامی محصولات دیجیتال فروخته شده در اتحادیه اروپا باید به طور کامل با الزامات CRA سازگار باشند. عدم رعایت این موارد منجر به ممنوعیت عرضه محصول در بازار اروپا و ضررهای مالی مستقیم خواهد شد.
تأثیر بر پایگاه داده‌های آسیب‌پذیری
یکی از پیامدهای این قانون، ایجاد پایگاه داده آسیب‌پذیری‌های اروپا (EUVD) است. این اقدام در پاسخ به چالش‌های فعلی NIST NVD و تمایل اتحادیه اروپا به استقلال تکنولوژیک صورت می‌گیرد تا جایگزینی برای امتیازدهی و غنی‌سازی CVEها فراهم شود.
