Varnost in obveznosti proizvajalca

graph TD
  M[Proizvajalec zaganjalnika] --> R[Različica z dnevnikom sprememb in dokumentacijo]
  M --> V[Obravnava prijavljenih ranljivosti]
  V --> C[Skupina CSIRT, imenovana za koordinatorja, in ENISA]
  V --> N[Varnostno obvestilo uporabnikom]
  R --> S[Zaganjalnik na uporabnikovem računalniku]
  S --> K[Preveri vsako izdajo: velikost, SHA-256, podpis, različico]
  E[Stranka kot subjekt NIS 2] --> A[Oceni svoje dobavitelje]
  A --> M

Zaganjalnik je izdelek z digitalnimi elementi v smislu Uredbe (EU) 2024/2847, akta o kibernetski odpornosti (Cyber Resilience Act, CRA). Ta stran pojasnjuje, katere obveznosti ima njegov proizvajalec po tej uredbi in kot dobavitelj organizacij, za katere velja direktiva NIS 2. Opisuje tudi, kako prijavite ranljivost in pri katerih obveznostih zaganjalnik že danes pomaga.

• Ranljivosti prijavite na naslova Wolfgang.van.der.Stille@gmail.com in zp@datecpro.de; glejte Prijava ranljivosti.
• Obveznosti poročanja že veljajo. Obveznosti iz 14. člena akta o kibernetski odpornosti veljajo od 11. septembra 2026, preostale obveznosti pa od 11. decembra 2027 (drugi odstavek 71. člena).
• Varnostni popravki izidejo v samostojnih različicah. Vsak varnostni popravek izide v ločeni, brezplačni različici, ki jo dnevnik sprememb označi kot varnostni popravek. Taka je na primer različica 2.2.4.
• Vsaka izdaja se preveri. Izdaja so datoteke, ki jih založnik aplikacije pripravi za uporabnike. Zaganjalnik kopijo datoteke shrani le, če se njena velikost in zgoščena vrednost SHA-256 ujemata s podatki izdaje. Če je v projektni datoteki nastavljen ključ za izdaje, namesti samo izdaje, podpisane s tem ključem, od različice 2.2.4 naprej pa se ne vrne več na starejšo podpisano izdajo.
• Skladnost do 11. decembra 2027. Proizvajalec bo do tega dne za zaganjalnik izdal EU izjavo o skladnosti z oznako CE; glejte Pot do skladnosti.

Proizvajalec je, kdor izdelek z digitalnimi elementi razvije ali ga da razviti in ga trži pod svojim imenom ali znamko (13. točka 3. člena). Proizvajalec zaganjalnika je EMSR DATA, D.O.O., Trg komandanta Staneta 8, 1000 Ljubljana, Slovenija, https://wvds.it, tudi če zaganjalnik prejmete prek prodajnega partnerja. The White Knight Labs in WKL sta blagovni znamki družbe EMSR DATA, D.O.O. Aplikacija, ki jo zaganjalnik namesti in zažene, ima svojega proizvajalca: to je njen založnik. Zaganjalnik je le ena od sestavin, ki jih založnik izda skupaj z aplikacijo. Če založnik v zaganjalniku odkrije ranljivost, jo sporoči proizvajalcu zaganjalnika (šesti odstavek 13. člena); za svojo aplikacijo pa ostane odgovoren sam.

Prijavo pošljite po e-pošti na oba naslova:

• Wolfgang.van.der.Stille@gmail.com
• zp@datecpro.de

Navedite različico zaganjalnika (izpiše jo Wkl.Bootstrapper.exe /version, najdete pa jo tudi v lastnostih datoteke), korake, s katerimi je težavo mogoče ponoviti, in kaj lahko napadalec z njo doseže. Sporočite tudi, ali veste, da je bila ranljivost že izrabljena. Podrobnosti ne objavljajte, dokler ni na voljo popravljena različica; čas objave proizvajalec uskladi z vami.

Proizvajalec prijavo evidentira in oceni ter ranljivost odpravi v novi različici. Nato objavi varnostno obvestilo, v katerem navede prizadete in popravljene različice, posledice ranljivosti in priporočene ukrepe (2. in 4. točka II. dela Priloge I). Varnostni popravek ostane na voljo najmanj deset let ali do konca obdobja podpore, če je to dlje (deveti odstavek 13. člena).

Proizvajalec poroča prek enotne platforme za poročanje, ki jo upravlja agencija ENISA. Poročilo prejme skupina za odzivanje na incidente na področju računalniške varnosti (CSIRT), ki jo je država članica, v kateri ima proizvajalec glavni sedež, imenovala za koordinatorja; ENISA ga prejme hkrati (sedmi odstavek 14. člena in 16. člen). Prizadete uporabnike proizvajalec obvesti o incidentu ali ranljivosti in o ukrepih, ki jih lahko sprejmejo sami (osmi odstavek 14. člena).

Akt o kibernetski odpornosti je uredba: v vseh državah članicah, tudi v Sloveniji in Nemčiji, velja neposredno in enako. Proizvajalec ima torej iste obveznosti, ne glede na to, v kateri državi članici se izdelek prodaja. Direktiva NIS 2 pa podjetij ne zavezuje neposredno, ampak prek nacionalnih zakonov, ki jo prenašajo: v Sloveniji je to ZInfV-1, v Nemčiji zakon o BSI (BSIG) v različici zakona o prenosu direktive NIS 2, ki velja od 6. decembra 2025. Subjekt praviloma spada pod zakon države članice, v kateri ima sedež (prvi odstavek 26. člena Direktive (EU) 2022/2555); posebna pravila veljajo med drugim za ponudnike elektronskih komunikacij, storitev računalništva v oblaku, podatkovnih centrov in upravljanih storitev. Dobavitelja direktiva ne zavezuje sama po sebi: zahteve dobi od stranke, ki je zavezanec, po pravu države, ki velja za stranko.

• Koordinator CSIRT: naloge koordinatorja za usklajeno razkrivanje ranljivosti v Sloveniji določa 17. člen Zakona o informacijski varnosti (ZInfV-1, Uradni list RS, št. 40/25, velja od 19. junija 2025), koordinatorja pa izmed skupin CSIRT določi vlada (13. člen). Po prehodni določbi 59. člena je koordinator SI-CERT, notranja organizacijska enota javnega infrastrukturnega zavoda Akademska in raziskovalna mreža Slovenije (ARNES). Proizvajalec z glavnim sedežem v Sloveniji zato po aktu o kibernetski odpornosti poroča skupini SI-CERT, tudi kadar izdelek prodaja v Nemčiji.
• Varnost dobavne verige v Sloveniji: po 10. točki drugega odstavka 22. člena ZInfV-1 morajo zavezanci zagotoviti varnost dobavne verige in v ta namen določiti minimalne zahteve informacijske in kibernetske varnosti za ključne dobavitelje. Po četrtem odstavku istega člena pri tem upoštevajo ranljivosti posameznega neposrednega dobavitelja, kakovost njegovih izdelkov in kibernetskih praks ter njegove varne razvojne postopke. Ukrepe morajo sprejeti najpozneje do 19. decembra 2026 (62. člen). Po pojasnilih Urada Vlade RS za informacijsko varnost (URSIV) mora dobavitelj, ki sam ni zavezanec, upoštevati minimalne zahteve, ki mu jih določi stranka. Pri oceni dobaviteljev zavezancem pomagajo Priporočila za upravljanje tveganj dobavnih verig (URSIV, različica 1.0, avgust 2026); ta stran je lahko eden od virov za takšno oceno.
• Dobave v Nemčijo: slovensko podjetje, ki zaganjalnik ali aplikacijo z njim dobavlja nemškim strankam, s tem ne postane zavezanec po nemškem zakonu. Če je stranka posebej pomemben ali pomemben subjekt (besonders wichtige oziroma wichtige Einrichtung), mora po 4. točki drugega odstavka § 30 BSIG zagotavljati varnost dobavne verige, vključno z varnostnimi vidiki odnosov z neposrednimi dobavitelji, po 5. točki pa tudi varnost pri nabavi, razvoju in vzdrževanju informacijskih sistemov, vključno z obvladovanjem in razkrivanjem ranljivosti. Te zahteve lahko prenese na dobavitelja, na primer s pogodbo. Za nemški trg so torej pomembni akt o kibernetski odpornosti in zahteve nemških strank, ne pa ZInfV-1.
• Ali je vaša organizacija bistveni ali pomembni subjekt, določa zakon države članice, v kateri ima sedež (v Sloveniji ZInfV-1); proizvajalec zaganjalnika tega za vas ne presoja.

Bistveni in pomembni subjekti morajo zagotavljati varnost svoje dobavne verige, vključno z varnostnimi vidiki odnosa z vsakim neposrednim dobaviteljem (točka (d) drugega odstavka 21. člena Direktive (EU) 2022/2555). Pri tem upoštevajo ranljivosti, značilne za posameznega dobavitelja, ter splošno kakovost njegovih izdelkov in kibernetskih praks, vključno z njegovimi varnimi razvojnimi postopki (tretji odstavek 21. člena). Če je vaša organizacija takšen subjekt, je proizvajalec zaganjalnika eden od vaših dobaviteljev. Izdelek in način dela proizvajalca lahko ocenite na podlagi teh virov:

• ta stran, dnevnik sprememb z vsemi različicami in njihovimi varnostnimi popravki ter referenčne strani, ki opisujejo, kaj zaganjalnik zapiše na računalnik in kaj preveri;
• seznam kod napak, vsaka z vzrokom in rešitvijo;
• odgovori na vprašanja za oceno dobavitelja, ki jih pošljete na naslova iz razdelka Prijava ranljivosti.

Zaganjalnik nastavite takole, da njegova preverjanja delujejo:

• Nastavite ključ za izdaje. Objavljajte podpisane izdaje in ključ za izdaje (deliveryKey) vpišite v projektno datoteko; brez njega zaganjalnik preveri samo, ali se datoteke ujemajo z manifestom, ne pa tudi, kdo je izdajo objavil. Wkl.Bootstrapper.exe /check projektno datoteko brez ključa za izdaje sporoči kot obvestilo. Glejte Objava podpisane izdaje.
• Zaščitite mapo zaganjalnika. Zaganjalnik in projektno datoteko shranite v mapo, v katero sme pisati samo oddelek IT: kdor lahko piše vanjo, odloča o tem, kaj zaganjalnik namesti.
• Zaščitite mapo v skupni rabi z izdajo. V mapo v skupni rabi, iz katere zaganjalnik bere izdajo, sme pisati samo založnik.
• Preverite programe v actions. Podpis izdaje ne zajema programov, ki jih projektna datoteka zažene v razdelku actions; tam navedite samo programe, katerih izvor je zavarovan drugače, na primer s podpisom Authenticode.

• Ocena tveganja: Vsaka različica se preveri glede na seznam CWE Top 25 najnevarnejših šibkosti programske opreme in glede na šibkosti, ki izhajajo iz arhitekture izdelka, v okviru modula CON.8 (razvoj programske opreme) standarda IT-Grundschutz nemškega zveznega urada za informacijsko varnost (BSI).
• Testi: Vsaka sprememba gre skozi zahtevo za združitev (pull request); samodejni testi, med njimi varnostni, se izvedejo pred združitvijo vsake spremembe.
• Izdaja: Vsaka različica je zgrajena iz označenega stanja, podpisana, dobavljena s SHA256SUMS in kosovnico programske opreme ter pred izdajo prevzemno preizkušena v sistemu Windows z Microsoft Accessom.
• Odpravljene ranljivosti so v dnevniku sprememb navedene z oznako Security: pri različici, ki jih odpravi.
• Dokazila za vašo oceno dobaviteljev: Na zahtevo in pod pogojem zaupnosti prejmete paket dokazil: glede na katere šibkosti je bil izdelek preverjen in s kakšnim rezultatom, informativni list o informacijski varnosti, kosovnico programske opreme z izjavo o znanih ranljivostih (VEX) in rezultat preverjanja podpisov. Zahtevo pošljite na naslova v razdelku Prijava ranljivosti.

Preostale obveznosti uredbe se začnejo uporabljati 11. decembra 2027. Proizvajalec zaganjalnik že danes razvija z mislijo na bistvene zahteve glede kibernetske varnosti iz Priloge I in bo do tega dne izpolnil vse obveznosti, ki jih ima kot proizvajalec (13. člen). Za zaganjalnik to pomeni:

• Razvrstitev: po oceni proizvajalca zaganjalnik ne spada v nobeno kategorijo pomembnih ali kritičnih izdelkov (prilogi III in IV). Upravitelji zagona v smislu teh kategorij upravljajo zagon sistema do operacijskega sistema (8. točka Priloge I Izvedbene uredbe Komisije (EU) 2025/2392); zaganjalnik deluje šele po zagonu operacijskega sistema in zaganja aplikacije.
• Ugotavljanje skladnosti: proizvajalec skladnost ugotovi sam, s postopkom notranje kontrole (modul A, I. del Priloge VIII); priglašeni organ pri tem ni predpisan (prvi odstavek 32. člena).
• Tehnična dokumentacija: med drugim vsebuje oceno tveganj za kibernetsko varnost, kosovnico programske opreme (SBOM), to je strojno berljiv seznam sestavnih delov, vgrajenih v zaganjalnik, poročila o preskusih in utemeljitev obdobja podpore (31. člen, Priloga VII). Ni javna: proizvajalec jo na zahtevo predloži organu za nadzor trga in jo hrani najmanj deset let (trinajsti odstavek 13. člena).
• EU izjava o skladnosti in oznaka CE: vsaki različici je priložena izjava ali poenostavljena izjava s spletnim naslovom celotne izjave (dvajseti odstavek 13. člena, 28. člen). Pri programski opremi je oznaka CE na izjavi ali na spletnem mestu, povezanem z izdelkom (prvi odstavek 30. člena).
• Obdobje podpore: vsaka različica je podprta pet let od meseca izdaje; končni datum z mesecem in letom je naveden ob vsaki različici (osmi in devetnajsti odstavek 13. člena). Varnostni popravki izidejo za najnovejšo različico glavne različice; novejša različica iste glavne različice je brezplačna in od vas ne zahteva prilagoditev (deseti odstavek 13. člena).

Za različice, dane na trg pred 11. decembrom 2027, te zahteve veljajo le, če se pozneje bistveno spremenijo; obveznosti poročanja iz 14. člena veljajo za vse različice (drugi in tretji odstavek 69. člena).

Ta različica še nima EU izjave o skladnosti in oznake CE. Konec obdobja podpore posamezne različice je z mesecem in letom naveden v datoteki `SECURITY.sl.md` v repozitoriju.

Stran povzema obveznosti proizvajalca in prispevek zaganjalnika, na primer kot podlago za vašo oceno dobavitelja. Zavezujoča so spodaj navedena pravna besedila. Ali je vaša organizacija bistveni ali pomembni subjekt in katere obveznosti ima sama, presodite sami ali s svojim pravnim svetovalcem. Viri: Uredba (EU) 2024/2847 (akt o kibernetski odpornosti; UL L št. 2024/2847 z dne 20. 11. 2024, http://data.europa.eu/eli/reg/2024/2847/oj): 13. točka 3. člena, 13., 14., 16., 28., 30. do 32. in 69. člen, drugi odstavek 71. člena ter priloge I do III, V, VII in VIII; Izvedbena uredba Komisije (EU) 2025/2392 (UL L št. 2025/2392 z dne 1. 12. 2025, http://data.europa.eu/eli/reg_impl/2025/2392/oj): 8. točka Priloge I; Direktiva (EU) 2022/2555 (direktiva NIS 2; UL L št. 333 z dne 27. 12. 2022, str. 80, http://data.europa.eu/eli/dir/2022/2555/oj): 21. in 26. člen; ZInfV-1 (Uradni list RS, št. 40/25): 13., 17., 22., 59. in 62. člen; URSIV, Pojasnila k ZInfV-1, različica 1.4, januar 2026; URSIV, Priporočila za upravljanje tveganj dobavnih verig, različica 1.0, avgust 2026; BSIG v različici zakona o prenosu direktive NIS 2 (§ 30).

• Objava podpisane izdaje
• Projektna datoteka: podpisane izdaje
• Mapa aplikacije ponuja starejšo različico od že nameščene (koda 52)
• Namestitveni program
• Obveznosti založnikov, ki aplikacije izdajajo z SDK: “Obveznosti založnika po aktu o kibernetski odpornosti” v dokumentaciji WKL Office SDK