Nakon niza kibernetičkih napada koji od 11. listopada pogađaju komercijalne rashladne sustave i srodne uređaje u više država članica Europske unije, Europska komisija, Agencija EU-a za kibernetičku sigurnost (ENISA), Europski centar za kibernetički kriminal pri Europolu (EC3), Mreža nacionalnih CSIRT timova te Mreža EU-CyCLONe objavili su zajedničku izjavu. Povod za reakciju nadležnih tijela bio je novi val incidenata zabilježen 1. i 2. studenoga, a cilj je upozoriti organizacije na potrebu hitnog poduzimanja mjera za zaštitu mrežnih i informacijskih sustava.

Koordinirana suradnja

U zajedničkoj izjavi naglašava se važnost brze razmjene informacija, stalne suradnje i zajedničkog odgovora na razini Unije. Pogođene države članice aktivno istražuju incidente i pružaju smjernice organizacijama na terenu, dok nadležne mreže i agencije kontinuirano prate situaciju radi jačanja ukupne kibernetičke otpornosti. Sva tijela pozivaju organizacije da bez odgode prijavljuju incidente kako bi se omogućila brža reakcija i bolji uvid u aktualne sigurnosne prijetnje.

Institucije podsjećaju i na važeće regulatorne obveze za proizvođače te poslovne subjekte u Europskoj uniji. Prema Uredbi o kibernetičkoj otpornosti (Cyber Resilience Act), proizvođači hardvera i softvera obvezni su od 11. rujna 2026. godine prijavljivati teške incidente i aktivno iskorištene ranjivosti putem Jedinstvene platforme za izvješćivanje. Glavni zahtjevi navedene uredbe, uključujući obvezu ugrađene sigurnosti i tehničke podrške tijekom životnog ciklusa proizvoda, primjenjivat će se od 11. prosinca 2027. godine.

Osim toga, organizacije obuhvaćene Direktivom NIS2 moraju primjenjivati mjere za upravljanje kibernetičkim rizicima te prijavljivati značajne incidente svojim nacionalnim CSIRT timovima ili nadležnim tijelima. ENISA istodobno nastavlja jačati sigurnost promicanjem načela sigurnog oblikovanja (secure-by-design) i zadane sigurnosti (secure-by-default), pružajući podršku kroz priručnike i tehnička savjetovanja o sigurnosti proizvoda.

Situacija u Hrvatskoj

Uime Hrvatske oko ovog se pitanja oglasio SOA-in Nacionalni centar za kibernetičku sigurnost. Oni su također pozvali sve organizacije da prijavljuju incidente kako bi se omogućila brža reakcija nadležnih tijela, pravovremena razmjena informacija i učinkovitija koordinacija odgovora na kibernetičke prijetnje. Od njih, kao niti od europskih partnera, za sada se ne može doznati tko bi mogao stajati iz ovih napada te koji bi mogli biti motivi napadača.

Nacionalni CERT također je objavio priopćenje u kojem kažu da nisu zabilježili prijave kibernetičkih napada niti pokušaja napada na rashladne uređaje i sustave u Hrvatskoj, uključujući one koji se upotrebljavaju u trgovinama, supermarketima i prehrambenoj industriji. Međutim, identificirani su potencijalno ranjivi rashladni sustavi kojima je bio omogućen nadzor ili upravljanje putem Interneta. Stoga su, kažu, kontaktirali administratore i upozorili ih na utvrđene potencijalne ranjivosti, aktivnu kampanju iskorištavanja ranjivosti u pojedinim europskim državama te korake koje je potrebno poduzeti radi smanjenja sigurnosnih rizika.