यूरोप में साइबर हमले को छुपाना अब गैरकानूनी — उपकरण निर्माताओं को 24 घंटे में रिपोर्ट करना होगा

यूरोप में कनेक्टेड डिवाइस बेचना अब एक ऐसी बाध्यता के साथ आता है जो पिछले हफ्ते मौजूद नहीं थी: हैक या गंभीर सुरक्षा घटना का पता चलने पर 24 घंटे के भीतर अधिकारियों को सूचित करना अनिवार्य है। EU के साइबर रेज़िलिएंस एक्ट (Cyber Resilience Act) ने इस सप्ताह अपनी पहली बड़ी प्रवर्तन सीमा पार कर ली है, और प्रक्रिया स्पष्ट है — 72 घंटे के भीतर अधिक विस्तृत सूचना दी जाएगी, जबकि फिक्स उपलब्ध होने के 14 दिनों के भीतर अंतिम रिपोर्ट देनी होगी, या व्यापक घटनाओं के मामले में एक महीने के भीतर।

यह बाध्यता उन उत्पादों को कवर करती है जिन्हें कानून में ‘डिजिटल तत्वों वाले उत्पाद’ (products with digital elements) कहा गया है — एक श्रेणी जो स्मार्टफोन, स्मार्ट थर्मोस्टैट, कनेक्टेड राउटर, फिटनेस ऐप और क्लाउड प्लेटफॉर्म को शामिल करने के लिए पर्याप्त व्यापक है। महत्वपूर्ण बात यह है कि यह केवल नए उत्पादों पर ही नहीं, बल्कि EU बाजार में पहले से मौजूद उत्पादों पर भी लागू होता है। दो साल पहले भेजा गया और अभी भी उपयोग में आने वाला डिवाइस भी इसके दायरे में आता है यदि उसमें कनेक्टेड कार्यक्षमता है। व्यावसायिक रूप से वितरित मुफ्त सॉफ्टवेयर भी उन्हीं नियमों के अंतर्गत आता है।

11 सितंबर से पहले, निर्माता और सुरक्षा घटना के बीच का संबंध मुख्य रूप से आंतरिक नीति द्वारा नियंत्रित होता था। कंपनियाँ हैक का खुलासा तब करती थीं जब वे चाहती थीं, अक्सर हफ्तों की आंतरिक समीक्षा, कानूनी परामर्श और ब्रांड जोखिम मूल्यांकन के बाद। कुछ ने कभी खुलासा ही नहीं किया। वह विवेकाधिकार अब यूरोप में समाप्त हो गया है। रिपोर्टें उस EU सदस्य राज्य के राष्ट्रीय कंप्यूटर सुरक्षा घटना प्रतिक्रिया दल (Computer Security Incident Response Team) को जाएंगी जहाँ निर्माता का मुख्य प्रतिष्ठान है, और इसकी प्रतियाँ EU साइबर सुरक्षा एजेंसी ENISA को एक समर्पित एकल रिपोर्टिंग प्लेटफॉर्म (Single Reporting Platform) के माध्यम से भेजी जाएंगी।

तैयारी का सवाल गंभीर है। जब रिपोर्टिंग बाध्यताएँ अंतिम रूप दी गईं, तो निर्माताओं के पास आंतरिक बुनियादी ढाँचा बनाने के लिए लगभग तीन महीने थे — प्रभावित उत्पादों की सूची, स्पष्ट एस्केलेशन प्रोटोकॉल और एकल रिपोर्टिंग प्लेटफॉर्म के साथ तकनीकी एकीकरण। निर्माताओं के साथ काम करने वाले कानूनी सलाहकार चेतावनी देते हैं कि ये समयसीमाएँ किसी घटना शुरू होने के बाद प्रक्रिया बनाने के लिए लगभग कोई समय नहीं छोड़ती हैं। जो कंपनी शुक्रवार की आधी रात को उल्लंघन का पता लगाती है, उसे शनिवार की आधी रात से पहले अपनी प्रारंभिक रिपोर्ट देनी होगी, चाहे सप्ताहांत हो या सार्वजनिक अवकाश।

उपभोक्ता के लिए लाभ वास्तविक है लेकिन अप्रत्यक्ष। निर्माताओं को प्रभावित उपयोगकर्ताओं को सुरक्षा घटनाओं और उपलब्ध उपायों के बारे में सूचित करना भी अनिवार्य है। यदि कोई कंपनी समय पर उपयोगकर्ताओं को सूचित करने में विफल रहती है, तो राष्ट्रीय साइबर सुरक्षा प्राधिकरण हस्तक्षेप कर सकते हैं और स्वयं अलर्ट जारी कर सकते हैं। यह कोई सूचना व्यवस्था नहीं है जो औसत उपयोगकर्ता अपने फोन पर देखेगा — यह नियामक चैनलों के माध्यम से संचालित होती है — लेकिन यह एक प्रवर्तनीय बाध्यता बनाती है कि हैक को किसी कानूनी टीम द्वारा चुपचाप समाहित नहीं किया जा सकता।

11 सितंबर इस बाध्यता का सबसे संकीर्ण हिस्सा है। साइबर रेज़िलिएंस एक्ट का व्यापक ढाँचा — जिसमें कनेक्टेड उत्पादों को अंतर्निहित सुरक्षा के साथ डिज़ाइन करना, कमजोरी-प्रबंधन प्रक्रियाओं को अनिवार्य करना और उच्चतम जोखिम वाली उत्पाद श्रेणियों के लिए अनुरूपता मूल्यांकन लागू करना शामिल है — 11 दिसंबर 2027 तक लागू नहीं होगा। उस समयसीमा में डिज़ाइन परिवर्तन, परीक्षण प्रोटोकॉल और प्रमाणन प्रक्रियाओं की आवश्यकता है जिन्हें कुछ महीनों में मौजूदा उत्पाद लाइनों से नहीं जोड़ा जा सकता। उद्योग के पास एक वर्ष से अधिक का समय है, लेकिन प्रमुख निर्माताओं में तकनीकी कार्य पहले से ही चल रहा है।

EU का यह दृष्टिकोण यूरोप को पहला प्रमुख नियामक ब्लॉक बनाता है जिसने पूरे उपभोक्ता प्रौद्योगिकी बाजार में बाध्यकारी कमजोरी प्रकटीकरण समयसीमाएँ लागू की हैं, न कि केवल महत्वपूर्ण बुनियादी ढाँचे तक सीमित। राष्ट्रीय CSIRT कितनी तेजी से इन रिपोर्टों को संसाधित करने की क्षमता विकसित करते हैं — और क्या पहले महीनों में प्रकटीकरण विफलताओं पर प्रवर्तन होता है — यह तय करेगा कि 11 सितंबर एक वास्तविक बदलाव का प्रतीक है या केवल एक कागजी समयसीमा।

टैग: साइबर सुरक्षा, डेटा उल्लंघन, Cyber Resilience Act, ENISA, EU विनियमन, कनेक्टेड डिवाइस