Komercyjni producenci portfeli kryptowalutowych objęci przepisami muszą przesłać wczesne ostrzeżenie w ciągu 24 godzin od uzyskania informacji, że podatność w ich produkcie jest aktywnie wykorzystywana, zgodnie z unijnym Aktem o cyberodporności. Wymóg ten jest obowiązkiem sprawozdawczym, a nie nakazem usunięcia usterki w ciągu jednego dnia, i dotyczy wyłącznie portfeli objętych komercyjnym zakresem ustawy.

Środek ten stanowi część unijnego Aktu o cyberodporności, formalnie rozporządzenia (UE) 2024/2847. Rozporządzenie ustanawia wymogi cyberbezpieczeństwa dla produktów zawierających elementy cyfrowe, które łączą się z urządzeniami lub sieciami. Komisja Europejska udostępnia dodatkowe informacje w swoich wytycznych dotyczących zgłaszania w ramach Aktu o cyberodporności oraz w podsumowaniu CRA.

Dla producentów portfeli kryptowalutowych najbardziej bezpośrednią zmianą jest krótki termin na zgłoszenie, który zaczyna biec w chwili, gdy producent dowiaduje się, że trwa atak.

Co uruchamia 24-godzinny termin na zgłoszenie?

Termin zaczyna biec, gdy producent dowiaduje się o aktywnie wykorzystywanej podatności lub poważnym incydencie dotyczącym jego produktu. Następnie producent ma 24 godziny na przesłanie wczesnego ostrzeżenia.

Przesłanka jest wąska. Dotyczy podatności, które są faktycznie wykorzystywane przez napastników, a nie każdej wady wykrytej podczas rutynowego tworzenia lub testowania oprogramowania. Eksperci prawni z Freshfields wyjaśniali, że aktywne wykorzystanie wymaga wiarygodnych dowodów wskazujących, że złośliwy podmiot wykorzystuje podatność bez zgody właściciela systemu.

24-godzinny okres oznacza zatem obowiązek powiadomienia organów nadzoru, a nie wymóg posiadania gotowej poprawki. Producent portfela może zgłosić trwający atak, jednocześnie kontynuując analizę incydentu i opracowywanie środka naprawczego.

Wczesne ostrzeżenie jest dopiero pierwszym etapem zgłaszania. Pełne powiadomienie należy przekazać w ciągu 72 godzin od uzyskania informacji, niezależnie od początkowego 24-godzinnego ostrzeżenia.

W przypadku aktywnie wykorzystywanej podatności raport końcowy należy przekazać nie później niż 14 dni po udostępnieniu środka naprawczego. W przypadku poważnego incydentu raport końcowy należy przekazać w ciągu miesiąca od powiadomienia w terminie 72 godzin.

Obowiązki dotyczące zgłaszania zaczęły obowiązywać 11 września 2026 r. Szerszy zestaw obowiązków wynikających z Aktu o cyberodporności będzie stosowany od 11 grudnia 2027 r. Rozporządzenie weszło w życie 10 grudnia 2024 r.

Którzy producenci portfeli kryptowalutowych są objęci przepisami?

Reguła ma zastosowanie do produktów zawierających elementy cyfrowe, udostępnianych na rynku UE. Obejmuje to produkty, których zamierzone lub racjonalnie przewidywalne zastosowanie wiąże się z połączeniem danych z urządzeniem lub siecią — opis ten obejmuje większość programowych i sprzętowych portfeli kryptowalutowych.

Termin „komercyjny” ma istotne znaczenie. Udostępnienie produktu na rynku oznacza dostarczanie go w ramach działalności komercyjnej, niezależnie od tego, czy produkt jest płatny, czy przekazywany bezpłatnie. Oprogramowanie dystrybuowane bez opłat nadal może być objęte zakresem przepisów, jeśli jest dostarczane w ramach działalności komercyjnej.

Produkty, które nie są dostarczane w ramach działalności komercyjnej, nie wchodzą w ten konkretny zakres. Zastosowanie reguły do konkretnego portfela pozostaje kwestią indywidualnej oceny. Materiały Komisji nie klasyfikują poszczególnych produktów portfelowych, a żadne przywołane źródło nie potwierdza, czy wskazany sprzętowy portfel, programowy portfel lub usługa hostowana są objęte przepisami czy z nich wyłączone.

Projekty open source są traktowane odrębnie. Opiekunowie oprogramowania open source zostaną objęci własnymi obowiązkami sprawozdawczymi na podstawie art. 24 ust. 3 od 11 grudnia 2027 r. Opiekunowie ci nie podlegają karom za naruszenia Aktu o cyberodporności.

Rozporządzenie przewiduje również kryterium związane z wielkością przedsiębiorstwa. Zgodnie z podsumowaniem Komisji producenci spełniający kryteria mikroprzedsiębiorstwa lub małego przedsiębiorstwa mogą nie zostać ukarani grzywną za przekroczenie 24-godzinnego terminu. Nie zwalnia ich to jednak z obowiązku zgłoszenia.

Reguła ma również zastosowanie do produktów, które zostały już wprowadzone na rynek UE przed 11 grudnia 2027 r.

Wpływ operacyjny na producentów portfeli

24-godzinny termin pozostawia niewiele czasu na stworzenie przez firmę procesu reagowania na incydenty po rozpoczęciu ataku. Analitycy Freshfields zauważyli, że krótkie okresy na zgłoszenie dają ograniczoną możliwość ustanowienia procedur po wystąpieniu zdarzenia.

Termin nadal biegnie w weekendy i dni świąteczne. Freshfields wyjaśnia, że takie dni nie wstrzymują jego upływu.

W związku z tym zespoły odpowiedzialne za portfele mogą potrzebować wcześniejszego ustanowienia procedur rejestrowania dokładnego momentu uzyskania informacji, eskalowania sprawy do odpowiedzialnego zespołu oraz szybkiego gromadzenia wymaganych informacji o incydencie.

Zgłaszanie organom nadzoru, analiza incydentu i usuwanie skutków to odrębne zadania. Producent może powiadomić organy nadzoru, jednocześnie ustalając zakres ataku oraz opracowując lub wdrażając poprawkę. Sam proces zgłaszania nie ustanawia terminu zakończenia działań naprawczych w ciągu 24 godzin.

Producenci przesyłają zgłoszenia za pośrednictwem Single Reporting Platform ustanowionej na mocy Aktu o cyberodporności. Zgłoszenie jest kierowane do właściwego krajowego zespołu reagowania na incydenty komputerowe, czyli CSIRT, a informacje są jednocześnie udostępniane Agencji Unii Europejskiej ds. Cyberbezpieczeństwa, czyli ENISA, z wyjątkiem szczególnie wyjątkowych okoliczności.

Dla użytkowników portfeli przesłanie zgłoszenia nie stanowi gwarancji, że portfel jest bezpieczny ani że środki użytkowników są chronione. Zapewnia organom wczesną informację o aktywnym ataku. Wymagane pola zgłoszenia, procedury jego składania oraz wszelkie obowiązki dotyczące powiadamiania klientów należy sprawdzić w oficjalnych wytycznych, zanim zostaną uznane za ostateczne.

Dla posiadacza kryptowalut korzystającego z portfela firmy działającej w UE praktyczny skutek jest taki, że producent może być obecnie zobowiązany do szybkiego powiadomienia organów nadzoru, gdy napastnicy wykorzystają podatność produktu. Ten obowiązek sprawozdawczy obowiązuje od 11 września 2026 r.

Niniejszy artykuł ma wyłącznie charakter informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Rynki kryptowalut i aktywów cyfrowych wiążą się ze znacznym ryzykiem. Przed podjęciem decyzji należy zawsze przeprowadzić własną analizę.