Les fabricants de portefeuilles cryptographiques devront désormais signaler aux autorités dans les 24 heures les failles de sécurité activement exploitées. La base est la loi européenne sur la cyber-résilience, entrée en vigueur vendredi. Cela a été annoncé par la Commission européenne.
Dès qu’un constructeur prend connaissance d’une lacune, le temps presse : après une première alerte précoce, il reste un délai de 72 heures pour que le rapport complet soit établi. Une fois la contre-mesure disponible, le délai de 14 jours pour le rapport final court ; En cas d'incidents graves, celui-ci doit être disponible au plus tard dans un délai d'un mois.
Des amendes pouvant aller jusqu'à 15 millions d'euros
Quiconque enfreint ces exigences s'expose à de lourdes sanctions. Selon l'article 64 du règlement, le risque peut atteindre 15 millions d'euros ou 2,5 pour cent du chiffre d'affaires annuel global, le montant le plus élevé étant retenu. Les informations incomplètes ou trompeuses peuvent également être sanctionnées jusqu'à cinq millions d'euros.
Tous les produits comportant des éléments numériques proposés dans l’UE sont concernés. Cela s’applique aux fabricants, qu’ils proposent des portefeuilles matériels ou logiciels.
Plusieurs incidents de sécurité
Les nouveaux délais affectent une industrie qui a récemment dû faire face à plusieurs incidents de sécurité. Début septembre, Trezor a annoncé qu'un incident chez le fournisseur de services de transport ShipMonk avait affecté les données de 67 000 clients américains, soit bien plus qu'on ne le pensait initialement. La semaine dernière, Trezor et BitBox ont de nouveau mis en garde contre les e-mails de phishing déguisés en avertissements de sécurité urgents.
BitBox n'a corrigé qu'en août plusieurs vulnérabilités dans son propre firmware que l'entreprise avait découvertes lors de contrôles internes. En vertu de la loi sur la cyber-résilience, de telles découvertes devront désormais être signalées dès qu’elles sont activement exploitées.
Cela pourrait aussi vous intéresser