Ražotājiem ir pienākums nodrošināt produktu projektēšanu, izstrādi un ražošanu saskaņā ar galvenajām kiberdrošības prasībām, kas izklāstītas Kibernoturības likumā (Cyber Resilience Act, CRA). Šīs prasības attiecas gan uz produktu tehniskajām specifikācijām, gan uz ražotāja pienākumiem pārvaldīt ievainojamības un nodrošināt drošības atjauninājumus visā produkta dzīves ciklā.
Regulas 2024/2847 par kiberdrošību 14. pants uzliek ražotājiem pienākumu paziņot iestādēm par aktīvi izmantotām ievainojamībām un nopietnām neatbilstībām, kas ietekmē to produktu drošību. Paziņošanas pienākums attiecas uz visiem produktiem, uz kuriem attiecas Likums par kiberdrošību.
Paziņošanas pienākums rodas brīdī, kad ražotājs uzzina par problēmu. Paziņojums par sākotnēju ievainojamību vai nopietnu novirzi jānosūta 24 stundu laikā pēc aktīvi izmantotas ievainojamības vai nopietnas novirzes atklāšanas. Tam seko paziņojums par ievainojamību vai novirzi, kurā ietverta sīkāka informācija, 72 stundu laikā pēc atklāšanas. Papildu galīgais ziņojums par ievainojamību un novirzi tiek iesniegts vēlāk.
Paziņojumi tiek nosūtīti, izmantojot Vienoto ziņošanas platformu (SRP) — Eiropas Kiberdrošības aģentūras (ENISA) centrālo ziņošanas platformu.
Ražotājam ir pienākums nekavējoties paziņot skartajiem lietotājiem un, attiecīgā gadījumā, visiem produkta lietotājiem par jebkuru atklātu ievainojamību vai nopietnu anomāliju, ko aktīvi izmanto ļaunprātīgi darbojošās personas. Paziņojumā, attiecīgā gadījumā, jāiekļauj arī pasākumi, ko lietotāji var veikt, lai samazinātu risku vai ierobežotu ievainojamības vai anomālijas sekas. Attiecīgajos gadījumos informācija jāsniedz mašīnlasāmā formātā.
Ja ražotājs lietotājus neinformē pietiekami ātri, CSIRT koordinators noteiktās situācijās var patstāvīgi paziņot informāciju lietotājiem, ja tas ir samērīgi un nepieciešams, lai novērstu vai mīkstinātu ievainojamības vai anomālijas sekas.
Ražotājam ir pienākums uzraudzīt ar produktu saistītās ievainojamības un nodrošināt nepieciešamos drošības atjauninājumus visā produkta dzīves ciklā.
