Опубликовано: 11 сентября 2026 г

Сегодня знаменательная дата для рынка решений в области кибербезопасности. С 11 сентября 2026 годапроизводители продукции с цифровыми элементами, поступающей на рынок ЕС, обязаны сообщать об активно используемых уязвимостях и серьезных инцидентах безопасности в соответствии с Законом ЕС о киберустойчивости (CRA). В тот же день начала работу Единая платформа отчетности CRA от ENISA.

Это не анонс продукта Europe-Connection, и это не означает, что все требования CRA уже полностью применимы. Более широкая редакция закона вступит в полную силу 11 декабря 2027 года. Однако начавшийся этап отчетности меняет условия работы для производителей сетевых камер, видеорегистраторов, считывателей и контроллеров контроля доступа, панелей сигнализации, домофонов, шлюзов, мобильных устройств и программного обеспечения, которое их соединяет.

Для покупателей, установщиков, служб эксплуатации и менеджеров по безопасности практический вывод прост: подключенное устройство безопасности — это уже не просто инструмент физической защиты. Это также киберфизический актив со своим жизненным циклом поддержки, возможностью обновления, механизмом эскалации проблем со стороны поставщика и потенциальной угрозой за пределами периметра, который оно должно было защищать.

Ключевой момент сентября: подача отчетности начинается до подачи полной заявки в Канадское налоговое агентство (CRA)

Соглашение о кибербезопасности (CRA) вступило в силу 10 декабря 2024 года, создав единую европейскую рамочную основу для аппаратных и программных продуктов с цифровыми элементами. Его главная цель — сделать безопасность вопросом жизненного цикла: продукты должны проектироваться, поставляться и обслуживаться с учетом рисков кибербезопасности.

В сентябре необходимо сохранить важное различие. Обязательства по отчетности теперь распространяются на производителей, в то время как основной датой полного применения требований CRA остается 11 декабря 2027 года. Другими словами, это не указание в последнюю минуту каждой организации, использующей подключенное оборудование, перепроектировать свою инфраструктуру за одну ночь. Это регуляторный сигнал о том, что обработка уязвимостей и информирование об инцидентах переходят от желательной практики поставщиков к формализованной ответственности рынка.

Европейская комиссия заявляет, что производители обязаны сообщать об активно используемых уязвимостях и серьезных инцидентах, затрагивающих безопасность продукции, подпадающей под действие закона. Последовательность отчетности включает в себя предварительное предупреждение в течение 24 часов с момента обнаружения, уведомление в течение 72 часов, а затем окончательный отчет в сроки, определяемые тем, относится ли случай к активно используемой уязвимости или серьезному инциденту.

Уведомления подаются через Единую платформу отчетности, которая призвана обеспечить подход «отчет один раз» в общении с соответствующими органами. Подача отчетов через этот канал не должна путаться с автоматическим публичным раскрытием информации. Процесс CRA включает ENISA и соответствующие CSIRT, и более широкое распространение информации может осуществляться по-другому в случаях, когда существуют исключительные основания для обеспечения кибербезопасности.

Почему технологии физической безопасности заслуживают внимания в этом обсуждении

Слово «кибербезопасность» по-прежнему может звучать оторванно от камеры на погрузочной площадке, считывателя пропусков на служебном входе или панели сигнализации в техническом помещении. На практике же взаимосвязь между устройствами стерла большую часть этой разобщенности. Современная видеонаблюдения может включать в себя встроенное программное обеспечение камер, сетевые видеорегистраторы, программное обеспечение для управления, мобильные приложения, облачные ретрансляционные сервисы, учетные записи пользователей, хранилище данных, API и каналы удаленной поддержки. Системы контроля доступа и охранной сигнализации используют аналогичную многоуровневую модель.

Каждый уровень защиты может иметь значение во время инцидента. Необновленное устройство может предоставить злоумышленнику точку опоры; слабое управление учетными записями может подорвать работу правильно расположенной камеры; плохо спланированное обновление может прервать запись, мониторинг тревожных сигналов или операции доступа. Поэтому оперативный вопрос заключается не просто в том, находится ли устройство в сети. Он заключается в том, знает ли организация, как это устройство поддерживается, как оно администрируется и что происходит при обнаружении серьезной уязвимости.

Эта обеспокоенность основана на текущей ситуации с угрозами. В отчете CERT-EU «Обзор угроз за 2025 год», опубликованном в апреле 2026 года, второй год подряд указывается, что наиболее опасным вектором первоначального доступа является использование уязвимостей в программном обеспечении, доступном из интернета. Периферийные устройства, включая межсетевые экраны, VPN-устройства и решения для управления сетью, остаются основными целями. Инфраструктура безопасности не идентична этим категориям продуктов, но урок остается актуальным: устройства на периферии сети, особенно те, которые доступны для удаленного администрирования или удаленного просмотра, заслуживают пристального внимания.

В проекте обновленной версии стандарта SP 800-82, опубликованном NIST в сентябре 2026 года, системы автоматизации зданий, контроля физического доступа и мониторинга физической среды также рассматриваются в более широком контексте безопасности операционных технологий. Это полезный контекст. Традиционное разделение между принципом «ИТ-инфраструктура отвечает за кибербезопасность» и принципом «безопасность отвечает за двери и камеры» становится все менее практичным, когда обе системы полагаются на общие сети, идентификационные данные и поставщиков.

Процесс закупок становится передовым инструментом контроля кибербезопасности

Наиболее существенное влияние этапа отчетности по оценке рисков может проявиться задолго до инцидента: на этапе закупок. Когда организации выбирают подключенные устройства, основываясь только на качестве изображения, дальности обнаружения, возможностях подключения или заявленной цене, они упускают из виду вопросы, определяющие, можно ли безопасно эксплуатировать продукт в течение длительного времени.

В контексте закупок подключенных камер, систем сигнализации, платформ контроля доступа и сопутствующих компонентов, теперь в процесс принятия решения о закупке следует включить следующие важные моменты:

• Какой заявленный срок технической поддержки у данного продукта и его программного обеспечения?
• Как осуществляется доставка, аутентификация и документирование обновлений безопасности?
• Где поставщик публикует уведомления о безопасности и информацию об уязвимостях?
• Какие настройки безопасности по умолчанию предусмотрены, а какие необходимо изменить в процессе ввода в эксплуатацию?
• Какова процедура уведомления клиентов или интеграторов о существенной уязвимости или инциденте в области безопасности?
• Какие облачные сервисы, мобильные приложения, версии микропрограммного обеспечения и компоненты, приобретаемые отдельно, входят в состав рабочей системы?

Это не просто вопросы соответствия, которые можно добавить в шаблон тендерной документации. Это вопросы обеспечения непрерывности работы. Камера может по-прежнему снимать отличные кадры, или система охранной сигнализации может по-прежнему обнаруживать событие, но ни одна из этих возможностей не является достаточной, если у организации нет надежного способа оценить рекомендации поставщика, определить затронутые устройства или запланировать безопасное устранение неполадок.

27 июля 2026 года Комиссия опубликовала руководство по внедрению, в котором, помимо прочего, рассматриваются вопросы сферы применения продукта, существенных изменений, сроков поддержки, обязательств по отчетности и оценки рисков. Это руководство имеет важное значение, поскольку не каждое устройство, компонент или развертывание будет рассматриваться одинаково. Сфера применения зависит от характеристик продукта, способа его предоставления на рынке ЕС, его прямой или косвенной связи с данными, а также возможных исключений или отраслевых правил.

Что следует изменить клиентам и интеграторам прямо сейчас?

Создайте запас товаров, пригодных для использования в условиях стресса

В случае обнаружения уязвимости недостаточно простого списка активов, содержащего информацию о «12 камерах и одном видеорегистраторе». Полезная запись должна связывать каждый эксплуатируемый актив с его моделью, серийным номером или местоположением, версиями прошивки и программного обеспечения, маршрутом администрирования, сетевой зоной, ответственным лицом службы поддержки, контактным лицом поставщика и соответствующей облачной или сотовой службой. Она также должна идентифицировать системы, зависящие от устройства, такие как сервер записи, станция мониторинга или база данных контроля доступа.

Это не требует превращения отдела безопасности в штатный отдел аудита программного обеспечения. Это означает способность оперативно отвечать на вопросы: затрагивает ли это нас, где находится оборудование и что мы можем безопасно предпринять дальше? Включение в действие Закона о защите прав потребителей (CRA) продуктов с цифровыми элементами, включая, во многих случаях, компоненты, продаваемые отдельно, делает эту дисциплину более актуальной, а не менее.

Планируйте эскалацию ситуации поставщиком наряду с техническим сдерживанием

Когда объявляется об активно используемой уязвимости, производитель может быть обязан по закону сообщить о ней. Это не снимает с заказчика операционных обязанностей. Локальные меры реагирования могут по-прежнему включать в себя выявление уязвимых активов, сохранение соответствующих журналов, снижение внешнего воздействия, изоляцию затронутого оборудования, сброс учетных данных при необходимости, связь с поставщиком или установщиком и применение проверенных методов устранения уязвимости.

Необходимо заранее установить контакт с поставщиком. Кто может санкционировать отключение? Кому принадлежат права на взаимодействие с установщиком? Существует ли договор на техническое обслуживание? Оказывается ли поддержка напрямую производителем, дистрибьютором, системным интегратором или поставщиком управляемых услуг? Эти вопросы часто определяют, станет ли рекомендация по установке обновления контролируемой задачей по техническому обслуживанию или же это будет ненужная оперативная суматоха.

Ремонтируйте с дисциплиной, а не в панике

Рекомендация «немедленно установить патч» привлекательна, но для действующих систем безопасности она может быть неполной. Спешное обновление прошивки может повлиять на доступность камер, целостность доказательств, интеграцию, сигнализацию тревоги или права доступа. Это не аргумент в пользу сохранения известных рисков. Это аргумент в пользу процесса, основанного на оценке рисков: оценка уязвимости и статуса эксплуатации, тестирование, где это возможно, определение окна технического обслуживания, подготовка плана отката, проверка работы после обновления и снижение уязвимости во время подготовки мер по устранению проблем.

Например, устройство, напрямую подключенное к общедоступному интернету, как правило, требует более срочного реагирования, чем аналогичное устройство, изолированное за надлежащим образом управляемыми сетевыми средствами контроля. Временные компенсирующие меры могут включать в себя удаление ненужного удаленного доступа, ограничение интерфейсов управления доверенной сетью, изменение скомпрометированных учетных данных или более тщательный мониторинг соответствующих журналов. Правильный выбор зависит от системы, риска и последствий прерывания.

Другой стандарт для «подключенного» оборудования

Технологии безопасности часто приобретаются как готовый продукт: установить, настроить, а затем ожидать, что он будет бесшумно работать годами. Возможность подключения к сети меняет эту ситуацию. Такие продукты, как шпионская Wi-Fi-камера, сотовый трекер или сетевая система сигнализации, имеют жизненный цикл, который может включать в себя прошивку, учетные данные, конфигурацию радиосвязи и сети, приложения, хранилище и инфраструктуру третьих сторон. Их следует выбирать и использовать законно, соразмерно и с четким учетом как конфиденциальности, так и безопасности.

Та же логика применима и к оборонительной стороне вопроса. Организации, использующие оборудование для противодействия слежке с целью оценки подозрительных сигналов или устройств, должны также учитывать целостность своих собственных подключенных инструментов: кто их обслуживает, какие данные они создают и как обрабатываются обновления или уязвимости.

Всё это не означает, что конечный пользователь автоматически становится субъектом, подлежащим отчетности перед CRA (Канадской налоговой службой). Обязанность в первую очередь лежит на производителях. Это также не означает, что все подключенные продукты безопасности попадают под действие требований одинаково. Это означает, что клиентам и интеграторам всё чаще требуются доказательства готовности поставщика, а не общие гарантии того, что продукт «безопасен».

Главный вывод редакции: отчетность делает видимой зрелость жизненного цикла

Обязательство по своевременной отчетности легко свести к установленному нормативному сроку. Его более глубокая ценность заключается в том, что оно проверяет наличие у производителей зрелой системы реагирования на уязвимости: способа получать сообщения, расследовать их, определять, что необходимо знать клиентам, координировать действия с властями и предлагать эффективные решения.

Эта возможность станет практическим конкурентным преимуществом для взаимосвязанных экосистем безопасности. Покупатели не могут передать управление своими активами или подготовку к инцидентам производителю. Тем не менее, они могут — и должны — включить поддержку на протяжении всего жизненного цикла, прозрачность и реагирование на инциденты безопасности в число приобретаемых ими продуктов.

Поскольку действие Закона о кибербезопасности (CRA) в полной мере начнётся в декабре 2027 года, наиболее подготовленными окажутся те организации, которые рассматривают киберустойчивость как часть устойчивости физической безопасности. Они будут знать свою установленную базу, поддерживать контакты со службой поддержки, ограничивать ненужные риски, тщательно планировать изменения и ожидать от поставщиков чёткого информирования о возникновении уязвимостей.

Для рынка, построенного на защите людей, помещений и имущества, это не просто дополнительная административная обязанность. Это все чаще становится частью работы.

Источники

• Европейская комиссия, обязательства по отчетности перед CRA: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
• Единая платформа отчетности ENISA и CRA: https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp
• Европейская комиссия, краткое изложение Закона о киберустойчивости: https://digital-strategy.ec.europa.eu/en/policies/cra-summary
• Европейская комиссия, объявление о руководящих указаниях по внедрению, 27 июля 2026 г.: https://digital-strategy.ec.europa.eu/en/news/commission-publishes-new-guidance-support-businesses-implementation-cyber-resilience-act
• CERT-EU, Отчет об угрозах до 2025 года: https://cert.europa.eu/blog/threat-landscape-report-2025