ЕС вводит строгие сроки уведомлений о уязвимостях криптокошельков

С 11 сентября 2026 года производители аппаратных кошельков и кошельковых приложений в Европейском Союзе обязаны уведомлять власти об активно эксплуатируемых уязвимостях в течение 24 часов. Это правило было установлено в рамках Cyber Resilience Act (CRA) и касается как новых, так и уже продаваемых продуктов.

Ключевым моментом для владельцев кошельков является то, что если хакеры уже используют уязвимость, производитель не имеет права тянуть время и должен сообщить об этом в течение суток. В рамках CRA установлены три основных дедлайна: раннее предупреждение должно быть подано в течение 24 часов с момента обнаружения уязвимости; полное уведомление должно быть представлено в течение 72 часов; финальный отчет о уязвимости необходимо сдать не позже чем через 14 дней после появления исправления.

Уведомление будет направляться через единую платформу Single Reporting Platform (SRP), запущенную агентством ЕС по кибербезопасности ENISA. Эта платформа заработает в тот же день, что и вступление в силу новых правил. Уведомления будут адресованы национальным командам реагирования на киберинциденты (CSIRT) в стране, где у компании основное представительство, и данные также будут передаваться ENISA.

В случае серьезного инцидента информация будет передана всем странам, где продукт был доступен. Важно отметить, что скрыть эксплуатируемую уязвимость от регуляторов до выхода патча теперь практически невозможно. Эти правила распространяются не на все кошельки, а на аппаратное и программное обеспечение, которое выводится на рынок ЕС.

В то же время открытые проекты будут обязаны отчитываться только с 11 декабря 2027 года. Это означает, что сейчас вступила в силу только часть требований, касающаяся уведомления о проблемах, тогда как полные требования к безопасности продуктов будут введены позже.

Для держателей криптокошельков это означает, что они получат информацию о рисках и мерах защиты быстрее, однако производителям придется нести дополнительные расходы на соблюдение новых правил. Хотя новость напрямую не повлияет на курс Биткоина или Эфириума, она может создать дополнительные риски для небольших команд и проектов с открытым кодом, которые могут не знать, попадают ли они под действие новых требований.

Важно следить за тем, как будет работать новая система уведомлений и как ENISA будет трактовать серьезные инциденты, а также за сроками вступления в силу основных требований к безопасности продуктов.