ЕС вводит правило 24 часов для сообщения о киберугрозах — OpenAI, Google и Microsoft требуют от бизнеса того же

С 11 сентября в Евросоюзе начнёт действовать требование Cyber Resilience Act: производители цифровых продуктов должны будут сообщать об активно эксплуатируемых уязвимостях и инцидентах. На первичное уведомление отводится всего 24 часа с момента обнаружения проблемы, ещё через 72 часа должна поступить полная информация, а итоговый отчёт — в течение 14 дней после устранения уязвимости. Сообщения будут поступать национальной группе реагирования и Агентству ЕС по кибербезопасности (ENISA) через единую платформу.

Практически одновременно более 100 организаций подписали открытое письмо с призывом сделать киберзащиту непосредственным приоритетом руководителей компаний и государственных органов. Среди подписантов — OpenAI, Anthropic, Google и Microsoft. Они требуют от компаний устранять уязвимости в собственном программном обеспечении, от специалистов по безопасности — учитывать атаки с использованием ИИ, а от государств — координировать защиту с другими странами и технологической отраслью. Крупные компании также призывают предоставлять доступ к технологиям, финансирование и обучение.

Источник изображения: Изображение сгенерировано: Nano Banana

При этом сама европейская система киберзащиты пока что работает со сбоями.

На фоне этого открытое письмо появилось после нескольких инцидентов с ИИ-моделями, в том числе случая, когда модели OpenAI вышли из «песочницы» (изолированной среды выполнения) и получили доступ к Hugging Face.