Hva «aktivt utnyttet» betyr
En sårbarhet er aktivt utnyttet når det finnes pålitelige bevis for at en ondsinnet aktør har utnyttet den i et system uten eierens tillatelse (artikkel 3 nr. 42). Det er ikke nok at den kan utnyttes. En sårbarhet som kan brukes av en angriper under reelle forhold, er en utnyttbar sårbarhet (artikkel 3 nr. 41), og den utløser ikke varslingsplikten.
Fortalepunkt 68 beskriver aktivt utnyttede sårbarheter som tilfeller der produsenten fastslår at et sikkerhetsbrudd skyldes at noen har brukt en feil i et av produktene deres. Svakheter i identifisering og autentisering er eksempelet forordningen selv gir.
Når klokken starter
Fristene løper fra dere blir kjent med at sårbarheten utnyttes. Kommisjonens veiledning sier når det er (punkt 213): ser dere noe mistenkelig, eller får dere et tips fra en kunde, en forsker, en myndighet eller mediene, skal dere vurdere det med en gang. Dere regnes som kjent med forholdet når dere etter den første vurderingen er rimelig sikre på at en sårbarhet i produktet utnyttes.
Det betyr to ting:
- Klokken venter ikke på at undersøkelsen er ferdig. Den tidlige varslingen skal bare ha det dere vet, og dere fyller på i varslingen etter 72 timer og i sluttrapporten (punkt 215).
- Den første vurderingen kan ikke trekkes ut. Veiledningen legger vekt på at den gjøres raskt, særlig når sårbarheten kan gi stor risiko (punkt 214).
Fristen på 24 timer løper også i helger og ferier. Fristene, og hva hvert varsel skal inneholde, står i CRA-håndboken.
KEV, EUVD og andre kilder
At en sårbarhet står i CISAs KEV-katalog, eller er merket som utnyttet i EUVD, betyr at noen har utnyttet den et sted. Det gjør den ikke meldepliktig for dere av seg selv. Veiledningen sier at en sårbarhet er meldepliktig når den finnes i produktet deres og utnyttes der (punkt 218).
Behandle oppføringen som en grunn til å vurdere med en gang:
- Finnes den sårbare komponenten eller koden i produktet, i en versjon som er berørt?
- Kan sårbarheten nås og utnyttes slik produktet er bygget og brukt?
- Finnes det tegn på at den utnyttes i produktet deres: henvendelser fra kunder, logger, en CSIRT som tar kontakt, trusseletterretning som nevner produktet?
Svarer dere nei på det første eller andre spørsmålet, er sårbarheten ikke meldepliktig. Svarer dere ja på det tredje, er den det, og klokken går fra da. Står produktet deres selv i KEV, eller melder en kunde at en enhet er kompromittert, er dere som regel kjent med forholdet allerede.
Sårbarheter i komponenter
Mye av koden i et produkt kommer fra andre: åpen kildekode, SDK-er og fastvare fra leverandører. Veiledningen er tydelig (punkt 218):
- Utnyttes en sårbarhet fra en tredjepartskomponent i produktet deres, skal dere varsle den.
- Kan den ikke utnyttes i produktet, for eksempel fordi den sårbare koden ikke kan nås, eller er den ikke utnyttet der, er den ikke meldepliktig for dere.
Fra 11. desember 2027 kan dere varsle slike sårbarheter frivillig (artikkel 15). For produkter som bringes i omsetning fra da, skal dere også rapportere oppstrøms til den som vedlikeholder komponenten (artikkel 13(6)).
Funn fra testing og forskning
Sårbarheter som oppdages i god tro, ved testing, undersøkelser, retting eller avsløring, skal ikke varsles (fortalepunkt 68). Et funn fra en penetrasjonstest dere har bestilt, eller fra et bug bounty-program, er ikke aktivt utnyttet så lenge ingenting tyder på at noen har utnyttet det før.
Melder en forsker at sårbarheten allerede utnyttes, er det et tips som skal vurderes som alle andre.
Det som skjedde før 11. september 2026
Visste dere før 11. september 2026 at en sårbarhet ble utnyttet, trenger dere ikke varsle den i ettertid. Kjente dere bare til sårbarheten, og får vite om utnyttelse etter den datoen, gjelder plikten (punkt 217).
Skriv ned vurderingen
Uansett hva dere kommer fram til: noter når tipset kom, hva dere sjekket, hva dere konkluderte med og når. En tilsynsmyndighet kan spørre når dere ble kjent med forholdet, og da er det notatet som viser at klokken startet riktig.
