Varnost in obveznosti proizvajalca

graph TD
  M[Proizvajalec izdelka WKL Office JSON] --> R[Različica z dnevnikom sprememb, dokumentacijo in kosovnico programske opreme]
  M --> V[Obravnava prijavljenih ranljivosti]
  V --> C[Skupina CSIRT, imenovana za koordinatorja, in ENISA]
  V --> N[Varnostno obvestilo uporabnikom]
  R --> P[Knjižnica v Officeovi aplikaciji založnika]
  E[Stranka kot subjekt NIS 2] --> A[Oceni svoje dobavitelje]
  A --> M

WKL Office JSON je izdelek z digitalnimi elementi v smislu Uredbe (EU) 2024/2847, akta o kibernetski odpornosti (Cyber Resilience Act, CRA). Ta stran pojasnjuje, katere obveznosti ima njegov proizvajalec po tej uredbi in kot dobavitelj organizacij, za katere velja direktiva NIS 2. Opisuje tudi, kako prijavite ranljivost in kaj izdelek WKL Office JSON naredi za varno obravnavo JSON iz virov, ki jim ni mogoče zaupati.

• Ranljivosti prijavite na naslova Wolfgang.van.der.Stille@gmail.com in zp@datecpro.de; glejte Prijava ranljivosti.
• Obveznosti poročanja že veljajo. Obveznosti iz 14. člena akta o kibernetski odpornosti veljajo od 11. septembra 2026, preostale obveznosti pa od 11. decembra 2027 (drugi odstavek 71. člena).
• Varnostni popravki izidejo v samostojnih različicah. Vsak varnostni popravek izide v ločeni, brezplačni različici, ki jo dnevnik sprememb označi kot varnostni popravek.
• JSON od zunaj je vhod, ki mu ni mogoče zaupati. Razčlenjevalnik se pri 512 ravneh gnezdenja ustavi z napako, namesto da bi se Office sesul, neveljaven JSON zavrne z mestom napake, števila pa ohrani natančna.
• Skladnost do 11. decembra 2027. Proizvajalec bo do tega dne za izdelek WKL Office JSON izdal EU izjavo o skladnosti z oznako CE; glejte Pot do skladnosti.

Proizvajalec je, kdor izdelek z digitalnimi elementi razvije ali ga da razviti in ga trži pod svojim imenom ali znamko (13. točka 3. člena). Proizvajalec izdelka WKL Office JSON je EMSR DATA, D.O.O., Trg komandanta Staneta 8, 1000 Ljubljana, Slovenija, https://wvds.it, tudi če izdelek prejmete prek prodajnega partnerja. The White Knight Labs in WKL sta blagovni znamki družbe EMSR DATA, D.O.O. Aplikacije, ki uporabljajo knjižnico, imajo svojega proizvajalca: to je njihov založnik. Knjižnica WKL Office JSON je ena od sestavin take aplikacije. Če založnik v knjižnici odkrije ranljivost, jo sporoči njenemu proizvajalcu (šesti odstavek 13. člena); za svojo aplikacijo pa ostane odgovoren sam.

Prijavo pošljite po e-pošti na oba naslova:

• Wolfgang.van.der.Stille@gmail.com
• zp@datecpro.de

Navedite različico izdelka WKL Office JSON (različico datoteke Wkl.Office.JSON.dll najdete v njenih lastnostih), korake, s katerimi je težavo mogoče ponoviti, in kaj lahko napadalec z njo doseže. Sporočite tudi, ali veste, da je bila ranljivost že izrabljena. Podrobnosti ne objavljajte, dokler ni na voljo popravljena različica; čas objave proizvajalec uskladi z vami.

Proizvajalec prijavo evidentira in oceni ter ranljivost odpravi v novi različici. Nato objavi varnostno obvestilo, v katerem navede prizadete in popravljene različice, posledice ranljivosti in priporočene ukrepe (2. in 4. točka II. dela Priloge I). Varnostni popravek ostane na voljo najmanj deset let ali do konca obdobja podpore, če je to dlje (deveti odstavek 13. člena).

Proizvajalec poroča prek enotne platforme za poročanje, ki jo upravlja agencija ENISA. Poročilo prejme skupina za odzivanje na incidente na področju računalniške varnosti (CSIRT), ki jo je država članica, v kateri ima proizvajalec glavni sedež, imenovala za koordinatorja; ENISA ga prejme hkrati (sedmi odstavek 14. člena in 16. člen). Prizadete uporabnike proizvajalec obvesti o incidentu ali ranljivosti in o ukrepih, ki jih lahko sprejmejo sami (osmi odstavek 14. člena).

Akt o kibernetski odpornosti je uredba: v vseh državah članicah, tudi v Sloveniji in Nemčiji, velja neposredno in enako. Proizvajalec ima torej iste obveznosti, ne glede na to, v kateri državi članici se izdelek prodaja. Direktiva NIS 2 pa podjetij ne zavezuje neposredno, ampak prek nacionalnih zakonov, ki jo prenašajo: v Sloveniji je to ZInfV-1, v Nemčiji zakon o BSI (BSIG) v različici zakona o prenosu direktive NIS 2, ki velja od 6. decembra 2025. Subjekt praviloma spada pod zakon države članice, v kateri ima sedež (prvi odstavek 26. člena Direktive (EU) 2022/2555); posebna pravila veljajo med drugim za ponudnike elektronskih komunikacij, storitev računalništva v oblaku, podatkovnih centrov in upravljanih storitev. Dobavitelja direktiva ne zavezuje sama po sebi: zahteve dobi od stranke, ki je zavezanec, po pravu države, ki velja za stranko.

• Koordinator CSIRT: naloge koordinatorja za usklajeno razkrivanje ranljivosti v Sloveniji določa 17. člen Zakona o informacijski varnosti (ZInfV-1, Uradni list RS, št. 40/25, velja od 19. junija 2025), koordinatorja pa izmed skupin CSIRT določi vlada (13. člen). Po prehodni določbi 59. člena je koordinator SI-CERT, notranja organizacijska enota javnega infrastrukturnega zavoda Akademska in raziskovalna mreža Slovenije (ARNES). Proizvajalec z glavnim sedežem v Sloveniji zato po aktu o kibernetski odpornosti poroča skupini SI-CERT, tudi kadar izdelek prodaja v Nemčiji.
• Varnost dobavne verige v Sloveniji: po 10. točki drugega odstavka 22. člena ZInfV-1 morajo zavezanci zagotoviti varnost dobavne verige in v ta namen določiti minimalne zahteve informacijske in kibernetske varnosti za ključne dobavitelje. Po četrtem odstavku istega člena pri tem upoštevajo ranljivosti posameznega neposrednega dobavitelja, kakovost njegovih izdelkov in kibernetskih praks ter njegove varne razvojne postopke. Ukrepe morajo sprejeti najpozneje do 19. decembra 2026 (62. člen). Po pojasnilih Urada Vlade RS za informacijsko varnost (URSIV) mora dobavitelj, ki sam ni zavezanec, upoštevati minimalne zahteve, ki mu jih določi stranka. Pri oceni dobaviteljev zavezancem pomagajo Priporočila za upravljanje tveganj dobavnih verig (URSIV, različica 1.0, avgust 2026); ta stran je lahko eden od virov za takšno oceno.
• Dobave v Nemčijo: slovensko podjetje, ki izdelek WKL Office JSON ali aplikacijo z njim dobavlja nemškim strankam, s tem ne postane zavezanec po nemškem zakonu. Če je stranka posebej pomemben ali pomemben subjekt (besonders wichtige oziroma wichtige Einrichtung), mora po 4. točki drugega odstavka § 30 BSIG zagotavljati varnost dobavne verige, vključno z varnostnimi vidiki odnosov z neposrednimi dobavitelji, po 5. točki pa tudi varnost pri nabavi, razvoju in vzdrževanju informacijskih sistemov, vključno z obvladovanjem in razkrivanjem ranljivosti. Te zahteve lahko prenese na dobavitelja, na primer s pogodbo. Za nemški trg so torej pomembni akt o kibernetski odpornosti in zahteve nemških strank, ne pa ZInfV-1.
• Ali je vaša organizacija bistveni ali pomembni subjekt, določa zakon države članice, v kateri ima sedež (v Sloveniji ZInfV-1); proizvajalec izdelka WKL Office JSON tega za vas ne presoja.

Bistveni in pomembni subjekti morajo zagotavljati varnost svoje dobavne verige, vključno z varnostnimi vidiki odnosa z vsakim neposrednim dobaviteljem (točka (d) drugega odstavka 21. člena Direktive (EU) 2022/2555). Pri tem upoštevajo ranljivosti, značilne za posameznega dobavitelja, ter splošno kakovost njegovih izdelkov in kibernetskih praks, vključno z njegovimi varnimi razvojnimi postopki (tretji odstavek 21. člena). Če je vaša organizacija takšen subjekt, je proizvajalec izdelka WKL Office JSON eden od vaših dobaviteljev. Izdelek in način dela proizvajalca lahko ocenite na podlagi teh virov:

• ta stran, dnevnik sprememb z vsemi različicami in njihovimi varnostnimi popravki ter stran Vrednosti in omejitve z vsemi omejitvami in zavrnjenimi pretvorbami;
• stran Namestitev in uvajanje WKL Office JSON o tem, kaj registracija zapiše in kako jo odstranite;
• odgovori na vprašanja za oceno dobavitelja, ki jih pošljete na naslova iz razdelka Prijava ranljivosti.

Preostale obveznosti uredbe se začnejo uporabljati 11. decembra 2027. Proizvajalec izdelek WKL Office JSON že danes razvija z mislijo na bistvene zahteve glede kibernetske varnosti iz Priloge I in bo do tega dne izpolnil vse obveznosti, ki jih ima kot proizvajalec (13. člen). Za izdelek WKL Office JSON to pomeni:

• Razvrstitev: po oceni proizvajalca izdelek WKL Office JSON ne spada v nobeno kategorijo pomembnih ali kritičnih izdelkov (prilogi III in IV): knjižnica nima varnostne funkcije, ne dostopa do omrežja in ne upravlja identitet ali ključev.
• Ugotavljanje skladnosti: proizvajalec skladnost ugotovi sam, s postopkom notranje kontrole (modul A, I. del Priloge VIII); priglašeni organ pri tem ni predpisan (prvi odstavek 32. člena).
• Tehnična dokumentacija: med drugim vsebuje oceno tveganj za kibernetsko varnost, poročila o preskusih in utemeljitev obdobja podpore (31. člen, Priloga VII). Ni javna: proizvajalec jo na zahtevo predloži organu za nadzor trga in jo hrani najmanj deset let (trinajsti odstavek 13. člena). Kosovnica programske opreme je poleg tega v paketu izdaje (sbom.cdx.json).
• EU izjava o skladnosti in oznaka CE: vsaki različici je priložena izjava ali poenostavljena izjava s spletnim naslovom celotne izjave (dvajseti odstavek 13. člena, 28. člen). Pri programski opremi je oznaka CE na izjavi ali na spletnem mestu, povezanem z izdelkom (prvi odstavek 30. člena).
• Obdobje podpore: vsaka različica je podprta pet let od meseca izdaje; končni datum z mesecem in letom je naveden ob vsaki različici (osmi in devetnajsti odstavek 13. člena). Varnostni popravki izidejo za najnovejšo različico glavne različice; novejša različica iste glavne različice je brezplačna in od vas ne zahteva prilagoditev (deseti odstavek 13. člena).

Za različice, dane na trg pred 11. decembrom 2027, te zahteve veljajo le, če se pozneje bistveno spremenijo; obveznosti poročanja iz 14. člena veljajo za vse različice (drugi in tretji odstavek 69. člena).

Ta različica še nima EU izjave o skladnosti in oznake CE. Končni datum obdobja podpore nastane ob ugotavljanju skladnosti.

Stran povzema obveznosti proizvajalca in prispevek izdelka WKL Office JSON, na primer kot podlago za vašo oceno dobavitelja. Zavezujoča so spodaj navedena pravna besedila. Ali je vaša organizacija bistveni ali pomembni subjekt in katere obveznosti ima sama, presodite sami ali s svojim pravnim svetovalcem. Viri: Uredba (EU) 2024/2847 (akt o kibernetski odpornosti; UL L št. 2024/2847 z dne 20. 11. 2024, http://data.europa.eu/eli/reg/2024/2847/oj): 13. točka 3. člena, 13., 14., 16., 28., 30. do 32. in 69. člen, drugi odstavek 71. člena ter priloge I do III, V, VII in VIII; Direktiva (EU) 2022/2555 (direktiva NIS 2; UL L št. 333 z dne 27. 12. 2022, str. 80, http://data.europa.eu/eli/dir/2022/2555/oj): 21. in 26. člen; ZInfV-1 (Uradni list RS, št. 40/25): 13., 17., 22., 59. in 62. člen; URSIV, Pojasnila k ZInfV-1, različica 1.4, januar 2026; URSIV, Priporočila za upravljanje tveganj dobavnih verig, različica 1.0, avgust 2026; BSIG v različici zakona o prenosu direktive NIS 2 (§ 30).

• Namestitev in uvajanje WKL Office JSON
• Vrednosti in omejitve
• Obveznosti založnikov, ki aplikacije izdajajo z SDK: „Obveznosti založnika po aktu o kibernetski odpornosti“ v dokumentaciji WKL Office SDK
• Varnost zaganjalnika izdanih aplikacij: „Varnost in obveznosti proizvajalca“ v dokumentaciji WKL Bootstrapper