Evropská unie zpřísňuje dohled nad kybernetickou bezpečností digitálních produktů a nově míří i na výrobce a poskytovatele kryptoměnových peněženek. Podle nových pravidel budou muset firmy hlásit závažné zranitelnosti a aktivně zneužívané chyby ve velmi krátkých lhůtách, jinak jim hrozí vysoké pokuty. Opatření přichází v době, kdy sektor čelí rostoucímu tlaku kvůli únikům dat, phishingu i slabinám v souvisejících službách.
Nová pravidla v rámci Cyber Resilience Act
Evropská komise oznámila, že v platnost vstoupil Cyber Resilience Act, tedy nový legislativní rámec zaměřený na vyšší bezpečnost digitálních produktů dostupných na trhu Evropské unie. Tento režim se vztahuje i na výrobce hardwarových a softwarových kryptopeněženek. Pokud firma zjistí závažnou bezpečnostní zranitelnost nebo chybu, která je aktivně zneužívána, musí na ni podle pravidel reagovat ve stanovených termínech. Cílem je posílit ochranu spotřebitelů i podniků před kybernetickými hrozbami a snížit dopady incidentů napříč digitálním ekosystémem.
Podle nových požadavků musí výrobci odeslat předběžné varování do 24 hodin od okamžiku, kdy se o problému dozvědí. Následně mají povinnost dodat plné oznámení do 72 hodin. Jakmile budou k dispozici nápravná nebo zmírňující opatření, bude nutné předložit i závěrečnou zprávu, a to do 14 dnů. U závažných incidentů navíc pravidla počítají s podáním finální zprávy nejpozději do jednoho měsíce.
Koho se opatření týká
Evropská komise uvedla, že nová pravidla dopadají na všechny produkty s digitálními prvky, které jsou zpřístupněny na trhu v Evropské unii. V praxi to znamená, že se opatření netýká pouze tradičních technologických výrobců, ale také firem působících v kryptosektoru, pokud nabízejí peněženky evropským uživatelům. Do záběru tak spadají jak zařízení pro offline správu privátních klíčů, tak softwarové aplikace určené pro ukládání a správu kryptoměn. Regulace tak rozšiřuje evropskou kyberbezpečnostní strategii i na infrastrukturu, která je pro držitele digitálních aktiv klíčová.
Pro kryptopeněženky jde o významný posun. Dosud se debata v Evropě často soustředila hlavně na burzy, poskytovatele služeb a pravidla proti praní špinavých peněz. Nyní se však pozornost přesouvá i k samotným nástrojům, které uživatelé používají k ochraně svých prostředků. To může znamenat vyšší náklady na interní bezpečnostní procesy, monitoring zranitelností i rychlejší komunikaci s úřady.
Pokuty mohou dosáhnout desítek milionů eur
Největší pozornost vzbuzují sankce, které jsou s novými povinnostmi spojeny. Pokud společnosti nebudou dodržovat kyberbezpečnostní požadavky podle příslušných článků nařízení, mohou čelit administrativní pokutě až 15 milionů eur, což odpovídá zhruba 17,3 milionu dolarů. Alternativně může být sankce stanovena na úrovni 2,5 procenta celosvětového ročního obratu, pokud je tato částka vyšší.
Postihy se navíc nevztahují pouze na úplné nesplnění povinností. Pokutu mohou firmy dostat také tehdy, pokud úřadům poskytnou nesprávné, neúplné nebo zavádějící informace. V takovém případě může sankce dosáhnout až 5 milionů eur. Pro menší i větší hráče v odvětví tak půjde o silnou motivaci nastavit interní reportovací procesy velmi pečlivě a v souladu s novou legislativou.
Načasování souvisí s nedávnými bezpečnostními incidenty
Zavedení přísnějších pravidel přichází jen několik týdnů po sérii incidentů, které zasáhly známé poskytovatele hardwarových peněženek. Tyto případy sice přímo neznamenaly kompromitaci samotných privátních klíčů uživatelů, ale ukázaly, jak nebezpečné mohou být úniky dat a slabiny v dodavatelském řetězci. Právě podobné události často vedou k phishingovým kampaním, sociálnímu inženýrství a dalším útokům zaměřeným na držitele kryptoměn. Regulátor tak reaguje na reálné hrozby, které se v sektoru v poslední době zviditelnily.
Začátkem září společnost Trezor oznámila, že dopady narušení bezpečnosti u jejího přepravního partnera ShipMonk byly větší, než se původně předpokládalo. Riziku bylo podle firmy vystaveno dalších 67 tisíc zákazníků v USA, zatímco dřívější odhad hovořil přibližně o 14 tisících uživatelů. Takové incidenty sice nevypovídají jen o kvalitě samotné peněženky, ale ukazují, že bezpečnostní rizika v kryptoprůmyslu často vznikají i mimo hlavní produkt.
Phishing a třetí strany jako slabé místo
Další varování přišlo ve středu, kdy Trezor a BitBox upozornily uživatele na phishingové e-maily vydávané za naléhavá bezpečnostní oznámení. Podezření padlo na možné kompromitace služeb třetích stran používaných pro e-mailovou komunikaci. I když podobné útoky nemusí přímo souviset s technickým prolomením peněženky, mohou být pro uživatele velmi nebezpečné, protože útočníci často cílí na lidskou chybu.
Právě tento typ hrozeb vysvětluje, proč EU požaduje rychlé oznamování incidentů. Pokud se informace o zranitelnosti nebo narušení bezpečnosti dostane k příslušným orgánům včas, je větší šance koordinovat reakci, vydat doporučení a minimalizovat škody. V případě kryptopeněženek je rychlost obzvlášť důležitá, protože kompromitace může vést ke ztrátě prostředků, kterou nelze snadno zvrátit. Na rozdíl od tradičního bankovnictví totiž transakce na blockchainu obvykle nelze stornovat.
Zranitelnosti se nevyhýbají ani blockchainovým aplikacím
Na rizika spojená s peněženkami a jejich softwarem upozornil také případ z června, kdy blockchainová síť Zilliqa varovala před zranitelností v aplikaci Zilliqa Ledger. Podle zveřejněných informací mohla chyba umožnit útočníkům obnovit privátní klíče uživatelů s využitím veřejně dostupných onchain dat. Takový scénář je v kryptosvětě mimořádně citlivý, protože bezpečnost privátních klíčů je základním předpokladem ochrany digitálních aktiv.
Podobné události ukazují, že kyberbezpečnost v oblasti peněženek není jen otázkou ochrany databází nebo zákaznických kontaktů. Jde také o bezpečnost samotných kryptografických procesů, integrací s blockchainem a doprovodných aplikací. Nová evropská pravidla tak mohou firmy donutit investovat nejen do compliance, ale i do hlubšího technického auditu svých produktů.
Co nová regulace znamená pro trh
Pro výrobce kryptopeněženek bude zásadní, jak rychle dokážou vybudovat nebo upravit interní mechanismy pro detekci incidentů, eskalaci problémů a komunikaci s regulátory. U globálních firem může být výzvou i sladění evropských požadavků s interními procesy používanými na jiných trzích. Menší společnosti zase mohou narazit na vyšší provozní náklady spojené s právní agendou, bezpečnostním monitoringem a externími audity.
Z pohledu uživatelů může nová úprava přinést vyšší transparentnost a rychlejší informování o rizicích. Pokud budou výrobci nuceni incidenty oznamovat prakticky okamžitě, může to snížit prostor pro zatajování problémů nebo opožděnou reakci. Na druhou stranu se dá očekávat, že firmy budou muset pečlivě vyvažovat rychlost oznámení s přesností poskytovaných informací, protože i nepřesné či neúplné reporty mohou být sankcionovány.
Evropa rozšiřuje tlak na kryptosektor
Nové povinnosti pro poskytovatele peněženek zapadají do širšího trendu, v němž Evropská unie postupně zpřísňuje pravidla pro digitální aktiva a související infrastrukturu. Regulace už dávno necílí jen na obchodní platformy a poskytovatele platebních služeb, ale stále více i na technické vrstvy celého ekosystému. Kryptopeněženky, které byly dlouho vnímány hlavně jako nástroj osobní správy aktiv, se tím dostávají pod podrobnější regulatorní dohled.
Výsledek může být dvojí. Na jedné straně se zvýší důvěra části uživatelů i institucí v bezpečnost produktů dostupných v EU. Na straně druhé poroste tlak na výrobce, aby prokázali vysokou úroveň technické i procesní připravenosti. Pro evropský kryptotrh tak začíná období, v němž bude bezpečnost peněženek stále více otázkou nejen technologie, ale i regulatorní disciplíny.
