กฎ CRA ของ EU บังคับผู้ผลิตแจ้งช่องโหว่ภายใน 24 ชม. วันหยุดก็ไม่เว้น คนทำ IoT ต้องเตรียมทีม

Help Net Security เผยแพร่บทสัมภาษณ์ Aurimas Bakas ซีอีโอของ Copla (บริษัทด้าน compliance) เมื่อ 11 พ.ย. 2026 เตือนผู้ผลิตว่าหน้าที่ รายงานช่องโหว่ตาม EU Cyber Resilience Act (CRA) ซึ่งเป็นกฎหมายความปลอดภัยไซเบอร์ของสินค้าที่มีองค์ประกอบดิจิทัลในสหภาพยุโรป เริ่มบังคับแล้วตั้งแต่ 11 ก.ย. 2026 และไม่มีวันหมดอายุ ขณะที่หลายบริษัทยังมองแต่เส้นตาย ธันวาคม 2027 ที่เป็นข่าวพาดหัวทั่วไป

ประเด็นสำคัญจากบทสัมภาษณ์

• ทีมต้องส่ง early warning ภายใน 24 ชั่วโมง ได้ ทุกวันของปี นาฬิกาไม่หยุดในวันเสาร์อาทิตย์หรือวันหยุดยาว
• หน้าที่รายงานตาม มาตรา 14 ครอบคลุม สินค้าที่วางตลาดไปแล้ว รวมถึงเวอร์ชันเก่าที่เลิกขาย
• ไม่รายงานมีเพดานโทษ 15 ล้านยูโร หรือ 2.5% ของรายได้ (ประมาณ 550 ล้านบาท ขึ้นอยู่กับอัตราแลกเปลี่ยน)
• ยื่นรายงานผ่านแพลตฟอร์มของ ENISA (หน่วยงานความปลอดภัยไซเบอร์ของ EU) ลงทะเบียนผู้แทนหลักได้ 1 คนและผู้แทนรองได้สูงสุด 20 คน ช่วงแรกเป็นเว็บฟอร์มผ่าน EU Login พร้อม MFA (การยืนยันตัวตนหลายชั้น)
• นาฬิกาเริ่มนับตั้งแต่ "รับรู้" ช่องโหว่ จึงควรเขียนนิยามคำว่ารับรู้ให้ชัด รวมสัญญาณจากฝ่ายซัพพอร์ตและฝ่ายขายไว้ที่เดียว และกำหนด คนเวรที่มีอำนาจเริ่มนับเวลา พร้อมคนสำรอง
• CRA คาดหวังให้สินค้าส่วนใหญ่มี ระยะเวลาซัพพอร์ตอย่างน้อย 5 ปี

สำหรับคนออกแบบ IoT product

ถ้าอุปกรณ์ของคุณ ขายหรือจะขายเข้า EU แม้ผ่านตัวแทนจำหน่าย นี่ไม่ใช่เรื่องของปี 2027 อีกต่อไป ต้องตอบให้ได้ตั้งแต่วันนี้ว่า ถ้าเจอช่องโหว่ใน firmware ที่ถูกโจมตีจริงตอนคืนวันศุกร์ ใครเป็นคนตัดสินใจและส่งรายงาน ในเชิงออกแบบ การมี OTA ที่เชื่อถือได้ + SBOM (รายการซอฟต์แวร์และไลบรารีทั้งหมดในเครื่อง) ของทุกเวอร์ชัน คือสิ่งที่ทำให้คุณรู้ตัวเร็วและแก้ได้ทันเวลา ฝั่งซัพพลายเชน ควรเขียนในสัญญากับผู้ขายโมดูล/ชิป/SDK ว่าต้องแจ้งช่องโหว่ที่ถูกโจมตีภายในกี่ชั่วโมง ซึ่งต้องเร็วกว่ากรอบ 24 ชั่วโมงของคุณเอง และขอ SBOM ของเวอร์ชันที่คุณใช้อยู่

อ่านซีรีส์ ออกแบบ IoT Product ตั้งแต่ศูนย์จนขายได้