Производители коммерческих криптокошельков, подпадающие под действие закона, должны направить предварительное уведомление в течение 24 часов с момента, когда им становится известно об активной эксплуатации уязвимости в их продукте, в соответствии с Законом Европейского союза о киберустойчивости. Это требование является обязательством по уведомлению, а не предписанием устранить уязвимость в течение одного дня, и применяется только к кошелькам, входящим в коммерческую сферу действия закона.

Эта мера является частью Закона ЕС о киберустойчивости, официально именуемого Регламентом (ЕС) 2024/2847. Регламент устанавливает требования к кибербезопасности продуктов с цифровыми элементами, которые подключаются к устройствам или сетям. Европейская комиссия предоставляет дополнительную информацию в своих рекомендациях по уведомлению в рамках Закона о киберустойчивости и кратком обзоре CRA.

Для производителей криптокошельков наиболее непосредственным изменением стал короткий срок для уведомления, который начинается с момента, когда производителю становится известно о происходящей атаке.

Что запускает 24-часовой срок для уведомления?

Отсчет начинается, когда производителю становится известно об активно эксплуатируемой уязвимости или серьезном инциденте, затрагивающем его продукт. После этого у производителя есть 24 часа на отправку предварительного уведомления.

Основание для запуска срока является узким. Оно касается уязвимостей, которые злоумышленники действительно эксплуатируют, а не каждого дефекта, выявленного в ходе обычной разработки или тестирования. Юристы Freshfields объясняли, что для подтверждения активной эксплуатации необходимы надежные доказательства того, что злоумышленник использует уязвимость без разрешения владельца системы.

Таким образом, 24-часовой срок означает обязанность уведомить регуляторов, а не требование иметь готовое исправление. Производитель кошелька может сообщить о продолжающейся атаке, одновременно продолжая расследование инцидента и разработку корректирующей меры.

Предварительное уведомление является лишь первым этапом отчетности. Полное уведомление должно быть направлено в течение 72 часов с момента осведомленности, отдельно от первоначального 24-часового уведомления.

В случае активно эксплуатируемой уязвимости окончательный отчет должен быть представлен не позднее чем через 14 дней после того, как корректирующая мера становится доступной. При серьезном инциденте окончательный отчет должен быть представлен в течение одного месяца после уведомления в течение 72 часов.

Эти обязанности по уведомлению начали действовать 11 сентября 2026 года. Более широкий набор обязательств в рамках Закона о киберустойчивости начнет применяться с 11 декабря 2027 года. Регламент вступил в силу 10 декабря 2024 года.

На каких производителей криптокошельков распространяются правила?

Правило применяется к продуктам с цифровыми элементами, доступным на рынке ЕС. К ним относятся продукты, предполагаемое или обоснованно предсказуемое использование которых связано с подключением данных к устройству или сети; это описание охватывает большинство программных и аппаратных криптокошельков.

Термин «коммерческий» имеет существенное значение. Предоставление продукта на рынке означает его поставку в рамках коммерческой деятельности, независимо от того, является ли продукт платным или предоставляется бесплатно. Программное обеспечение, распространяемое бесплатно, все равно может подпадать под действие правил, если оно поставляется в рамках коммерческой деятельности.

Продукты, которые не поставляются в рамках коммерческой деятельности, не входят в данную сферу действия. Применение правила к конкретному кошельку по-прежнему определяется для каждого случая отдельно. Материалы Комиссии не классифицируют отдельные продукты-кошельки, и ни один из приведенных источников не подтверждает, подпадает ли конкретный аппаратный кошелек, программный кошелек или кастодиальный сервис под действие правил либо освобожден от него.

Проекты с открытым исходным кодом рассматриваются отдельно. Сопровождающие программное обеспечение с открытым исходным кодом будут подпадать под собственные обязательства по уведомлению согласно статье 24(3) с 11 декабря 2027 года. На таких сопровождающих лиц не распространяются штрафы за нарушения Закона о киберустойчивости.

Регламент также предусматривает исключение с учетом размера компании. Согласно краткому обзору Комиссии, производители, имеющие статус микропредприятия или малого предприятия, могут не подвергаться штрафу за пропуск 24-часового срока. Это не отменяет их обязанности направить уведомление.

Правило также применяется к продуктам, которые уже были размещены на рынке ЕС до 11 декабря 2027 года.

Операционные последствия для производителей кошельков

24-часовой срок оставляет компании мало времени для создания процесса реагирования на инцидент после начала атаки. Аналитики Freshfields отмечали, что короткие периоды для уведомления оставляют ограниченные возможности для разработки процедур после возникновения события.

Срок продолжает идти в выходные и праздничные дни. Freshfields разъясняла, что такие дни не приостанавливают течение периода для уведомления.

В связи с этим командам, отвечающим за кошельки, может потребоваться заранее разработать процедуры для фиксации точного момента возникновения осведомленности, передачи вопроса ответственным сотрудникам и оперативного сбора необходимой информации об инциденте.

Уведомление регуляторов, расследование инцидента и устранение последствий являются отдельными задачами. Производитель может уведомить регуляторов, продолжая определять масштаб атаки и разрабатывать или внедрять исправление. Сам процесс уведомления не устанавливает срок, в течение которого устранение проблемы должно быть завершено за 24 часа.

Производители направляют отчеты через Единую платформу уведомления в рамках Закона о киберустойчивости. Отчет адресуется соответствующей национальной команде реагирования на компьютерные инциденты, или CSIRT, а информация одновременно становится доступной Европейскому агентству по кибербезопасности, или ENISA, за исключением особо исключительных обстоятельств.

Для пользователей кошельков отправка отчета не гарантирует безопасность кошелька или защиту пользовательских средств. Она лишь обеспечивает раннее уведомление властей об активной атаке. Обязательные поля отчета, процедуры подачи и любые обязанности по уведомлению клиентов следует проверить по официальным рекомендациям, прежде чем считать их окончательными.

Для держателя криптовалюты, использующего кошелек компании, работающей в ЕС, практический эффект заключается в том, что производителю теперь может потребоваться быстро уведомлять регуляторов, когда злоумышленники эксплуатируют уязвимость продукта. Этот уровень отчетности применяется с 11 сентября 2026 года.

Эта статья предназначена только для информационных целей и не является финансовой или инвестиционной рекомендацией. Рынки криптовалют и цифровых активов сопряжены со значительными рисками. Всегда проводите собственное исследование перед принятием решений.