11 września 2026: trzy rzeczy, których nikt nie ma gotowych

Dzień następny, nie sam dzień

Kalendarz rozporządzenia jest rozłożony w czasie i uporządkowaliśmy go na stronie o datach; tutaj liczy się jedno. Obowiązek zgłoszeniowy nie wywołuje niczego 11 września. Wywołuje od 12, gdy przychodzi pierwsze prawdziwe zgłoszenie, a Państwa proces albo istnieje, albo nie.

To także inny rodzaj terminu niż te, do których przyzwyczaja zgodność produktowa. Nie ma dokumentu do złożenia przed datą, nie ma inspektora, który przyjdzie. Jest zdarzenie, które przychodzi, kiedy przychodzi, i zastaje Państwa takimi, jacy są.

Część nieintuicyjna

Praktyczna konsekwencja wielu zaskakuje. Można być bardzo daleko od zgodności produktu — bez oznakowania CE, bez pełnej dokumentacji technicznej, bez ukończonego procesu bezpiecznego rozwoju — a mimo to już dziś podlegać sankcji za niezłożone zgłoszenie. Te dwie rzeczy są rozprzężone. Zgodność przedmiotu i obowiązek zgłaszania biegną na osobnych zegarach, a zegar zgłoszeń rusza pierwszy.

A produkt wprowadzony do obrotu lata temu nie jest zwolniony. Jeśli wciąż jest wspierany, a jego podatność jest aktywnie wykorzystywana, obowiązek zgłoszenia stosuje się do niego dokładnie tak, jak do produktu wysłanego jutro. Data opuszczenia fabryki nie wchodzi do rachunku; chwila, w której firma poweźmie wiedzę o wykorzystaniu — tak. Zobacz definicję aktywnie wykorzystywanej podatności w słowniku.

Godziny biegną od zdarzenia, którego Państwo nie kontrolują

Od 12 września 2026 r. — dnia po wejściu obowiązku w życie — producent, który poweźmie wiedzę o aktywnie wykorzystywanej podatności we własnym produkcie, ma dwadzieścia cztery godziny na złożenie wczesnego ostrzeżenia do wyznaczonego CSIRT i do ENISA. Nie dwadzieścia cztery godziny robocze. Nie dwadzieścia cztery godziny od przeczytania e-maila. Dwadzieścia cztery godziny od chwili, gdy firma jako podmiot poweźmie wiedzę o fakcie.

To rozróżnienie to cała gra. „Firma powzięła wiedzę” ocenia się z zewnątrz, po znaczniku czasu wiadomości, która wpłynęła, a nie po wewnętrznej historii, kto komu ją przekazał. Dlatego problem jest organizacyjny, zanim będzie techniczny: termin uruchamia zdarzenie, którego nie kontrolujesz, i zaczyna biec, gdy najpewniej nikt nie patrzy.

23:40 w sobotę

Skonkretyzujmy. Badacz bezpieczeństwa pisze na Wasz publiczny adres o 23:40 w sobotę: Wasz firmware ma wadę i jest dowód, że jest wykorzystywana w terenie. Wasze dwadzieścia cztery godziny kończą się w niedzielę o 23:40. Nikogo nie ma w biurze. Inżynier, który rozumie ten firmware, jest na weselu. Skrzynkę sprawdza się, w praktyce, w poniedziałek o dziewiątej.

W poniedziałek o dziewiątej masz już trzydzieści trzy godziny i dziewięć godzin spóźnienia, a spóźnienie nie ma nic technicznego. Nie zabrakło kompetencji do napisania wczesnego ostrzeżenia — to kwestia minut. Zabrakło kogoś przypisanego do zobaczenia wiadomości, spisanej reguły, by rozstrzygnąć, czy kwalifikuje, i sposobu, by dotrzeć do osoby mogącej potwierdzić wykorzystanie. Każda firma, którą widzieliśmy w tarapatach, miała kompetencje, na których mogła polegać, i dostępność, na której nie mogła.

Trzy rzeczy, których dziś prawie nikt nie ma gotowych

Sprowadź scenariusz sobotniej nocy do trzech rzeczy, które uczyniłyby go nie-zdarzeniem. Obsadzony kanał przyjęć: jeden publiczny adres dla zgłoszeń, za który ktoś odpowiada poza godzinami biura, a nie skrzynka pęczniejąca do poniedziałku. Spisana reguła kwalifikacji: kto decyduje, czy wpływające zgłoszenie opisuje aktywnie wykorzystywaną podatność, według jakich kryteriów i jak zapisuje się umotywowane „nie” — bo dorozumiane „nie” nie jest obroną. Łańcuch dyżurów: imienni ludzie, progi godzinowe i zastępcy, by o 23:40 zawsze był ktoś osiągalny, kto potwierdzi i złoży.

Te trzy to minimum, nie cały zestaw obowiązków. Pełny tekst art. 14 dodaje zgłoszenie 72-godzinne, sprawozdanie końcowe, zawiadomienie użytkowników i zgłoszenie w górę łańcucha do opiekunów komponentów — każde z własnym terminem. Ale bez kanału przyjęć, reguły kwalifikacji i łańcucha dyżurów reszta nie ma szans zadziałać, bo pierwsze prawdziwe zgłoszenie już pozostanie bez odpowiedzi.

Dodaj dwa administracyjne warunki wstępne o cudzych terminach: poświadczenia EU Login do platformy zgłoszeniowej i wyznaczenie punktu kontaktowego przy krajowym CSIRT. Wnioskowanie o nie w noc awarii to spóźnienie z powodu, który — znowu — nie jest techniczny.

Co dzieje się po pierwszym zgłoszeniu

Wczesne ostrzeżenie niczego nie zamyka: otwiera. Pozostają zgłoszenie 72-godzinne i sprawozdanie końcowe, każde z własną treścią, a w międzyczasie zdarzenie wciąż się rozwija. To tutaj improwizowane procesy pękają po raz drugi: pierwsze zgłoszenie udaje się niemal wszystkim; drugie przypada, gdy firma wróciła już do swoich spraw.

A termin końcowy nie jest jeden. Przy wykorzystywanej podatności kotwiczy się w środku naprawczym plus czternaście dni; przy poważnym incydencie — w zgłoszeniu incydentu plus miesiąc. Zastosowanie pierwszego do przypadku drugiego rodzaju oznacza uchybienie terminowi o tygodnie, a błąd widać dopiero na końcu.

Przygotować trzeba zatem nie wczesne ostrzeżenie, które jest krótkie. Trzeba przygotować kalendarz, który się wraz z nim zaczyna, i osobę, która doprowadzi go do końca.