Obveznosti založnika po aktu o kibernetski odpornosti

graph TD
  P[Založnik aplikacije] --> D[Izdaja z SDK]
  D --> M[app-manifest.json z vrednostjo SHA-256]
  D --> S[delivery.json, podpisan s ključem za izdaje]
  M --> B[Zaganjalnik preveri vsako kopijo]
  S --> B
  P --> R[Postopek poročanja o ranljivostih in incidentih]
  R --> C[CSIRT in ENISA prek enotne platforme za poročanje]
  R --> U[Obveščanje uporabnikov]

Če aplikacijo Access, zgrajeno z WKL Office SDK, dajete na voljo strankam, ste za to aplikacijo proizvajalec po Uredbi (EU) 2024/2847 (akt o kibernetski odpornosti). Ta stran povzema, kaj uredba od vas zahteva in pri čem vam pomagata SDK in zaganjalnik.

• Obveznosti poročanja že veljajo. 14. člen se uporablja od 11. septembra 2026, preostale obveznosti pa od 11. decembra 2027 (drugi odstavek 71. člena). Obveznost poročanja velja od trenutka, ko aplikacijo prvič daste na voljo na trgu Unije, tudi če jo v okviru poslovne dejavnosti dajete brezplačno.
• Preverljiva izdaja. Vsaka izdana podatkovna zbirka je navedena v app-manifest.json, skupaj z velikostjo in vrednostjo SHA-256. Zaganjalnik shrani samo kopije, ki se s tem ujemajo.
• Podpisana izdaja. Seznam vseh datotek posamezne različice podpišete s svojim ključem za izdaje. Zaganjalniki z vašim javnim ključem namestijo samo tisto, kar ste podpisali.
• Predloga postopka poročanja. Navodila Vzpostavitev postopka poročanja o ranljivostih opisujejo korake od prijave do končnega poročila, s predlogo za vsako obvestilo.

Proizvajalec je, kdor izdelek z digitalnimi elementi razvija ali ga da razviti in ga trži pod svojim imenom ali znamko. Za aplikacijo, zgrajeno z SDK, ste to vi, ne ponudnik SDK. SDK in komponente WKL so sestavni deli vaše aplikacije. Če v kateri od komponent odkrijete ranljivost, jo sporočite njenemu proizvajalcu (šesti odstavek 13. člena). Proizvajalec SDK in komponent WKL je EMSR DATA, D.O.O.; kako prijavite ranljivost v SDK, opisuje datoteka SECURITY.sl.md v korenski mapi paketa SDK.

Ranljivost je aktivno izrabljena, kadar obstajajo zanesljivi dokazi, da jo je zlonamerni akter izrabil v sistemu brez dovoljenja lastnika sistema (42. točka 3. člena). Poročate prek enotne platforme za poročanje agencije ENISA (CRA Single Reporting Platform, CRA-SRP), in sicer skupini CSIRT, ki je koordinatorka v državi članici vašega glavnega sedeža. ENISA poročilo prejme hkrati, skupina CSIRT pa ga posreduje skupinam CSIRT držav članic, v katerih je vaša aplikacija na voljo (sedmi odstavek 14. člena in 16. člen). Poleg tega morate prizadete uporabnike obvestiti, katere ukrepe lahko sprejmejo (osmi odstavek 14. člena).

• Koordinator CSIRT: SI-CERT, notranja organizacijska enota javnega infrastrukturnega zavoda Akademska in raziskovalna mreža Slovenije (ARNES). Zakon o informacijski varnosti (ZInfV-1, Uradni list RS, št. 40/25, velja od 19. junija 2025) v 17. členu ureja koordinatorja za usklajeno razkrivanje ranljivosti; po prehodni določbi 59. člena to nalogo opravlja SI-CERT. Odločilna je država članica, v kateri pretežno sprejemate odločitve o kibernetski varnosti svoje aplikacije. Skupino CSIRT izberete na platformi ob poročanju.
• Platforma za poročanje: registracija in vprašanja prek strani s pogostimi vprašanji agencije ENISA, https://www.enisa.europa.eu/cra-srp (služba za pomoč cra-srp-helpdesk@enisa.europa.eu). Registrirajte se pred prvo izdajo, ne šele ob incidentu.
• Razmerje do ZInfV-1: ZInfV-1 bistvenim in pomembnim subjektom nalaga lastne obveznosti priglasitve incidentov. Te veljajo za vaše podjetje le, če je samo tak subjekt, in za vaše stranke, če so one taki subjekti. Poročil po aktu o kibernetski odpornosti ne nadomeščajo.

Od 11. decembra 2027 mora vsaka izdaja med drugim vsebovati podatke o proizvajalcu, enotno kontaktno točko za ranljivosti, končni datum obdobja podpore (najmanj pet let, razen če se pričakuje krajša uporaba aplikacije) in navodila za varno uporabo (osmi, sedemnajsti in devetnajsti odstavek 13. člena ter Priloga II). Voditi morate tudi kosovnico za programsko opremo (SBOM), to je strojno berljiv seznam sestavnih delov, vgrajenih v aplikacijo; vsebovati mora vsaj najpomembnejše odvisnosti (1. točka II. dela Priloge I). Posodobitve morate razširjati varno (7. točka II. dela Priloge I).

Preden aplikacijo od 11. decembra 2027 daste na voljo, ugotovite njeno skladnost. Če ne spada v nobeno kategorijo pomembnih ali kritičnih izdelkov (prilogi III in IV, opisani v Izvedbeni uredbi Komisije (EU) 2025/2392), zadošča postopek notranje kontrole (modul A, I. del Priloge VIII) brez priglašenega organa. Nato pripravite EU izjavo o skladnosti, jo ali poenostavljeno izjavo s spletnim naslovom celotne izjave priložite vsaki izdaji in oznako CE namestite na izjavo ali na spletno mesto, povezano z aplikacijo. Tehnično dokumentacijo in izjavo hranite najmanj deset let (dvanajsti, trinajsti in dvajseti odstavek 13. člena ter 28., 30. in 32. člen).

Kako so lahko videti podatki o proizvajalcu in postopek prijave, kaže SDK sam: njegov paket v korenski mapi vsebuje MANUFACTURER.md (podatki o proizvajalcu, vrsta in konec varnostne podpore) in SECURITY.md (postopek prijave in politika usklajenega razkritja ranljivosti), vsako v angleščini, nemščini (.de.md) in slovenščini (.sl.md). Za svojo aplikacijo potrebujete enakovredne podatke s svojim podjetjem, kontakti in datumi.

SDK danes ne pripravi podatkov o obdobju podpore; te pripravite sami.

Stran povzema obveznosti, ki jih imate kot proizvajalec svoje aplikacije, in kaj k njim prispevata SDK in zaganjalnik. Zavezujoče je besedilo uredbe. Ali je vaša aplikacija pomemben ali kritičen izdelek in kakšno ugotavljanje skladnosti potrebuje, presodite na podlagi prilog III in IV, po potrebi s svojim pravnim svetovalcem. Podatki temeljijo na besedilu uredbe v Uradnem listu Evropske unije (UL L št. 2024/2847 z dne 20. 11. 2024, http://data.europa.eu/eli/reg/2024/2847/oj), na Izvedbeni uredbi Komisije (EU) 2025/2392 (UL L št. 2025/2392 z dne 1. 12. 2025, http://data.europa.eu/eli/reg_impl/2025/2392/oj), na informativnem listu agencije ENISA o enotni platformi za poročanje (september 2026) in na obvestilu Urada Vlade RS za informacijsko varnost o usklajenem razkrivanju ranljivosti (julij 2025).

• Vzpostavitev postopka poročanja o ranljivostih – koraki in predloge obvestil
• Priprava izdaje aplikacije z WKL Office SDK – izdaja z app-manifest.json
• Nastavitve izdaje – delivery-settings.json