UE mewajibkan produsen dompet terhubung melaporkan celah yang dieksploitasi dalam 24 jam

Peraturan UE mewajibkan produsen komersial dompet perangkat keras terhubung dan perangkat lunak dompet yang termasuk dalam cakupan untuk memperingatkan otoritas siber dalam 24 jam setelah menemukan kerentanan yang sedang dieksploitasi atau insiden keamanan serius. Kewajiban ini berlaku sejak 11 September 2026 berdasarkan Undang-Undang Ketahanan Siber UE (Cyber Resilience Act). Undang-undang tersebut berlaku untuk perangkat keras dan perangkat lunak yang tersedia di pasar UE. Suatu produk harus memiliki penggunaan yang dimaksudkan atau yang secara wajar dapat diperkirakan, yang mencakup koneksi data langsung atau tidak langsung ke perangkat atau jaringan. Dompet perangkat keras terhubung dan aplikasi dompet yang dapat diunduh dan dipasok secara komersial dapat memenuhi kriteria tersebut. Panduan UE tidak menyebutkan merek dompet atau menyatakan bahwa setiap layanan atau proyek dompet tercakup. Pelaporan pertama merupakan peringatan dini yang harus disampaikan tanpa penundaan yang tidak semestinya dan paling lambat 24 jam setelah produsen mengetahui kerentanan atau insiden tersebut. Pelaporan itu harus menyebutkan negara anggota tempat produk diketahui telah tersedia. Untuk insiden serius, pelaporan harus menyatakan apakah ada dugaan tindakan melanggar hukum atau berbahaya. Notifikasi yang lebih lengkap harus disampaikan dalam 72 jam, kecuali informasi terkait sudah diberikan sebelumnya. Untuk kerentanan yang sedang dieksploitasi, notifikasi tersebut mencakup informasi umum mengenai produk, eksploitasi, dan kerentanan. Notifikasi itu juga mencakup langkah perbaikan atau mitigasi. Untuk insiden serius, notifikasi mencakup sifat insiden, penilaian awal, dan informasi mitigasi yang tersedia. Laporan kerentanan harus disampaikan paling lambat 14 hari setelah langkah perbaikan atau mitigasi tersedia. Laporan akhir untuk insiden serius harus disampaikan satu bulan setelah notifikasi 72 jam. Produsen melakukan satu kali pelaporan melalui Platform Pelaporan Tunggal (Single Reporting Platform) yang diluncurkan oleh ENISA. Platform tersebut mengirimkan notifikasi kepada Tim Tanggap Insiden Keamanan Komputer koordinator yang ditunjuk. Produsen harus memberi tahu pengguna yang terdampak ketika tindakan diperlukan. Aturan ini juga menjangkau produk yang termasuk dalam cakupan dan telah ditempatkan di pasar sebelum 11 Desember 2027. Produk gratis dan sumber terbuka yang dipasok secara komersial juga dapat menimbulkan kewajiban bagi produsen. Perangkat lunak yang tidak dimonetisasi dan dipasok oleh produsennya tidak seharusnya dianggap sebagai kegiatan komersial. Kontributor individu tidak diperlakukan sebagai produsen untuk perangkat lunak di luar tanggung jawab mereka. Pengelola perangkat lunak sumber terbuka memiliki kewajiban pelaporan terpisah mulai 11 Desember 2027. Persyaratan keamanan produk CRA yang lebih luas juga mulai berlaku pada tanggal tersebut.