ईयू ने कनेक्टेड वॉलेट निर्माताओं के लिए शोषित खामियों की 24 घंटे में रिपोर्टिंग अनिवार्य की

ईयू के नियमों के तहत दायरे में आने वाले कनेक्टेड हार्डवेयर वॉलेट और वॉलेट सॉफ्टवेयर के वाणिज्यिक निर्माताओं को सक्रिय रूप से शोषित की जा रही कमजोरी या गंभीर सुरक्षा घटना का पता चलने के 24 घंटे के भीतर साइबर अधिकारियों को चेतावनी देनी होगी। यह अनिवार्यता ईयू के साइबर रेज़िलिएंस एक्ट (Cyber Resilience Act) के तहत 11 सितंबर 2026 से प्रभावी हुई। कानून ईयू बाजार में उपलब्ध कराए गए हार्डवेयर और सॉफ्टवेयर पर लागू होता है। किसी उत्पाद का इच्छित या उचित रूप से पूर्वानुमेय उपयोग ऐसा होना चाहिए जिसमें किसी डिवाइस या नेटवर्क से प्रत्यक्ष या अप्रत्यक्ष डेटा कनेक्शन शामिल हो। व्यावसायिक रूप से आपूर्ति किए गए कनेक्टेड हार्डवेयर वॉलेट और डाउनलोड किए जा सकने वाले वॉलेट ऐप इस कसौटी पर खरे उतर सकते हैं। ईयू के मार्गदर्शन में वॉलेट ब्रांडों के नाम नहीं बताए गए हैं और न ही यह घोषित किया गया है कि हर वॉलेट सेवा या परियोजना इसके दायरे में आती है। पहली फाइलिंग बिना अनुचित देरी के और निर्माता को कमजोरी या घटना की जानकारी होने के 24 घंटे के भीतर देनी होगी। इसमें उन सदस्य देशों का उल्लेख होना चाहिए जहां उत्पाद उपलब्ध कराया गया है। गंभीर घटना के मामले में फाइलिंग में यह बताना होगा कि क्या गैरकानूनी या दुर्भावनापूर्ण कृत्यों का संदेह है। अधिक विस्तृत अधिसूचना 72 घंटे के भीतर देनी होगी, जब तक संबंधित जानकारी पहले ही उपलब्ध न करा दी गई हो। सक्रिय रूप से शोषित कमजोरी के मामले में उस अधिसूचना में उत्पाद, शोषण और कमजोरी की सामान्य जानकारी शामिल होगी। इसमें सुधारात्मक या जोखिम-निवारक उपाय भी शामिल होंगे। गंभीर घटना के मामले में इसमें घटना की प्रकृति, प्रारंभिक आकलन और उपलब्ध जोखिम-निवारण संबंधी जानकारी शामिल होगी। सुधारात्मक या जोखिम-निवारक उपाय उपलब्ध होने के 14 दिनों के भीतर और किसी भी स्थिति में इसके बाद नहीं, कमजोरी की रिपोर्ट देनी होगी। गंभीर घटना की अंतिम रिपोर्ट 72 घंटे वाली अधिसूचना के एक महीने बाद देनी होगी। निर्माता ईएनिसा (ENISA) द्वारा शुरू किए गए एकल रिपोर्टिंग प्लेटफॉर्म (Single Reporting Platform) के माध्यम से एक बार फाइल करेंगे। प्लेटफॉर्म अधिसूचना को नामित समन्वयकारी कंप्यूटर सुरक्षा घटना प्रतिक्रिया दल को भेजेगा। जब कार्रवाई आवश्यक हो, निर्माताओं को प्रभावित उपयोगकर्ताओं को सूचित करना होगा। यह नियम 11 दिसंबर 2027 से पहले बाजार में रखे गए दायरे में आने वाले उत्पादों तक भी पहुंचता है। व्यावसायिक रूप से आपूर्ति किए गए मुफ्त और ओपन-सोर्स उत्पाद भी निर्माता संबंधी दायित्वों के दायरे में आ सकते हैं। निर्माता द्वारा आपूर्ति किए गए गैर-मौद्रीकृत सॉफ्टवेयर को व्यावसायिक गतिविधि नहीं माना जाना चाहिए। अपनी जिम्मेदारी से बाहर के सॉफ्टवेयर के लिए व्यक्तिगत योगदानकर्ताओं को निर्माता नहीं माना जाता। ओपन-सोर्स सॉफ्टवेयर के संरक्षकों पर 11 दिसंबर 2027 से अलग रिपोर्टिंग दायित्व लागू होंगे। सीआरए (CRA) की व्यापक उत्पाद-सुरक्षा आवश्यकताएं भी उसी तारीख से प्रभावी होंगी।