積極的に悪用された脆弱性および重大インシデントの通知

規則（EU）2024/2847第24条第2項は、オープンソースソフトウェア管理者が不当な遅延なく、かつ実施行為によって定められた期限内に、指令（EU）2022/2555第12条第1項に基づいてコーディネーターとして指定されたCSIRTに以下を通知することを規定している：

• 管理するオープンソースソフトウェアコンポーネントに含まれる積極的に悪用された脆弱性；および
• 当該オープンソースソフトウェアコンポーネントのセキュリティに影響する重大インシデント。

通知後、CSIRTは報告された情報を秘密として取り扱い、協調的な脆弱性開示プラクティスに従ってオープンソースソフトウェア管理者が脆弱性を開示することを支援する。

1. トリガー：積極的な悪用——ソフトウェアの脆弱性が実際に悪用されていることを認識したときに義務が生じる
2. トリガー：重大インシデント——ソフトウェアのセキュリティ特性に影響する重大なセキュリティインシデントにも義務が生じる
3. 通知先：CSIRTコーディネーター——ENISAにではなく、NIS2指令第12条の下で国内CSIRTコーディネーターとして指定された機関に通知する
4. 不当な遅延なく——迅速な通知；正確な期限は実施行為で定められる
5. 秘密保持——CSIRTは報告された情報を秘密として取り扱い協調的開示を支援する

• CSIRTコーディネーターへの通知（日時、内容、方法）
• 積極的な悪用を監視・検出するための内部プロセス
• 認識した時期と実施した措置を記録したインシデントログ
• 協調的開示タイムライン