แจ้งเตือนเร็วภายใน 24 ชม.! กม.ไซเบอร์ EU มีผล กระเป๋าคริปโตเข้าข่ายเป็นรายผลิตภัณฑ์

ผู้ผลิตกระเป๋าคริปโตเชิงพาณิชย์บางรายที่จำหน่ายในสหภาพยุโรป(EU) จะต้องยื่นแจ้งเตือนเร็วต่อหน่วยงานกำกับดูแลภายใน 24 ชั่วโมง หลังพบช่องโหว่ที่ถูกใช้ประโยชน์หรือเหตุการณ์ด้านความปลอดภัยร้ายแรง แต่ไม่ใช่บริการกระเป๋าคริปโตทุกประเภทที่จะเข้าข่ายต้องรายงานโดยอัตโนมัติ

คณะกรรมาธิการยุโรป(European Commission) ระบุว่า ภายใต้กฎหมายว่าด้วยภูมิคุ้มกันทางไซเบอร์(Cyber Resilience Act หรือ CRA) ตั้งแต่วันที่ 11 กันยายน 2026 เป็นต้นไป ผู้ผลิตสินค้าที่มีองค์ประกอบดิจิทัลจะมีหน้าที่ต้องรายงานช่องโหว่ที่ถูกใช้ประโยชน์จริงและเหตุการณ์ร้ายแรงที่ส่งผลต่อความปลอดภัยของผลิตภัณฑ์ โดยผู้ผลิตต้องแจ้งไปยังทีมตอบสนองเหตุฉุกเฉินทางคอมพิวเตอร์(CSIRT) ที่รับผิดชอบ และหน่วยงานความมั่นคงปลอดภัยไซเบอร์แห่งสหภาพยุโรป(ENISA) ผ่านแพลตฟอร์มแจ้งเหตุแบบจุดเดียวที่ ENISA เป็นผู้ดูแล

ขั้นตอนการรายงานแบ่งออกเป็นสามระยะ เมื่อผู้ผลิตทราบว่าช่องโหว่ของผลิตภัณฑ์ถูกใช้ประโยชน์จริง หรือเกิดเหตุการณ์ด้านความปลอดภัยร้ายแรง จะต้องยื่นแจ้งเตือนเร็วภายใน 24 ชั่วโมง

จากนั้นภายใน 72 ชั่วโมง ต้องยื่นรายงานฉบับหลักซึ่งระบุรายละเอียดผลิตภัณฑ์ ช่องโหว่ วิธีที่ถูกใช้ประโยชน์ รวมถึงมาตรการบรรเทาผลกระทบที่ดำเนินการไปแล้วหรือที่ผู้ใช้สามารถทำได้ เหตุผลที่กำหนดกรอบเวลารายงานให้สั้นก็เพื่อให้หน่วยงานกำกับดูแลสามารถประสานการรับมือได้ตั้งแต่ช่วงต้นของการถูกใช้ประโยชน์จากช่องโหว่หรือเหตุการณ์ที่เกิดขึ้น

สำหรับช่องโหว่ที่ถูกใช้ประโยชน์ รายงานฉบับสุดท้ายต้องยื่นภายใน 14 วันหลังมีการแก้ไขหรือบรรเทาผลกระทบแล้ว ส่วนเหตุการณ์ด้านความปลอดภัยร้ายแรงมีขั้นตอนต่างออกไป คือต้องยื่นรายงานฉบับสุดท้ายภายในหนึ่งเดือนหลังจากยื่นรายงานฉบับหลักในกรอบ 72 ชั่วโมง

กระเป๋าคริปโตถูกจัดเป็นกลุ่มผลิตภัณฑ์ที่มีการพูดถึงความเป็นไปได้ว่าจะเข้าข่ายภายใต้ CRA หากฮาร์ดแวร์หรือซอฟต์แวร์เชื่อมต่อกับอุปกรณ์หรือเครือข่ายไม่ว่าทางตรงหรือทางอ้อม และมีการจำหน่ายเชิงพาณิชย์ในตลาด EU ก็อาจเข้าข่ายเป็น “ผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัล” ได้

อย่างไรก็ตาม หน่วยงานกำกับดูแลของ EU ไม่ได้ระบุเจาะจงแบรนด์กระเป๋าคริปโตรายใดเป็นการเฉพาะ การพิจารณาต้องทำเป็นรายกรณีตามลักษณะการเชื่อมต่อและรูปแบบการจำหน่ายของผลิตภัณฑ์ และกฎระเบียบนี้ไม่ใช่การรับรองความปลอดภัยของกระเป๋าคริปโต หรือการยืนยันช่องโหว่ของผลิตภัณฑ์รายใดเป็นการเฉพาะ

การแจ้งเหตุต้องยื่นเพียงครั้งเดียวผ่านแพลตฟอร์มแจ้งเหตุแบบจุดเดียวของ ENISA ข้อมูลที่รับแจ้งจะถูกดำเนินการก่อนโดย CSIRT ของประเทศที่ผู้ผลิตมีสำนักงานใหญ่ตั้งอยู่ และหากจำเป็นจะถูกส่งต่อไปยัง CSIRT และหน่วยงานกำกับตลาดของประเทศสมาชิกอื่นที่มีการจำหน่ายผลิตภัณฑ์ด้วย

หากมีเหตุผลด้านความมั่นคงปลอดภัยไซเบอร์เป็นกรณีพิเศษ การเปิดเผยข้อมูลอาจล่าช้าออกไปได้ จุดเด่นของขั้นตอนนี้คือการรวมช่องทางแจ้งเหตุให้เป็นจุดเดียว เพื่อไม่ให้ผู้ผลิตต้องยื่นเนื้อหาเดียวกันซ้ำไปยังหน่วยงานของหลายประเทศ

หน้าที่การรายงานนี้ครอบคลุมถึงผลิตภัณฑ์ที่วางจำหน่ายในตลาดก่อนวันที่ 11 ธันวาคม 2027 ด้วยเช่นกัน ในขณะที่หน้าที่หลักอื่นๆ เช่น การออกแบบความปลอดภัยของผลิตภัณฑ์และการบริหารจัดการตลอดวงจรชีวิตผลิตภัณฑ์ จะเริ่มบังคับใช้เต็มรูปแบบตั้งแต่วันที่ 11 ธันวาคม 2027

ซอฟต์แวร์กระเป๋าคริปโตแบบโอเพนซอร์สก็ไม่ได้รับการยกเว้นทั้งหมด ผลิตภัณฑ์ฟรีหรือโอเพนซอร์สที่จำหน่ายในตลาดในฐานะส่วนหนึ่งของกิจกรรมเชิงพาณิชย์ ยังอาจเข้าข่ายมีหน้าที่ในฐานะผู้ผลิตได้

นักพัฒนาอิสระที่เพียงแค่ร่วมเขียนโค้ดให้โครงการโอเพนซอร์สที่ตนเองไม่ได้เป็นผู้รับผิดชอบหลัก จะไม่ถูกนับเป็นผู้ผลิตด้วยเหตุผลนั้นเพียงอย่างเดียว แต่นิติบุคคลที่สนับสนุนซอฟต์แวร์โอเพนซอร์สอย่างต่อเนื่องและเป็นผู้นำในการดำรงอยู่ของผลิตภัณฑ์เชิงพาณิชย์ อาจต้องปฏิบัติตามหน้าที่แยกต่างหากในฐานะ “ผู้ดูแลซอฟต์แวร์โอเพนซอร์ส”

กฎระเบียบนี้อาจส่งผลต่อระบบรับมือเหตุการณ์ด้านความปลอดภัยของผู้ประกอบการกระเป๋าคริปโตด้วยเช่นกัน หากผู้ประกอบการในประเทศจำหน่ายผลิตภัณฑ์กระเป๋าคริปโตเข้าสู่ตลาด EU ก็จำเป็นต้องตรวจสอบขั้นตอนภายในของตนเป็นรายผลิตภัณฑ์ ตั้งแต่การรับรู้ช่องโหว่ การแจ้งเตือนเร็ว การรายงานฉบับหลัก ไปจนถึงรายงานฉบับสุดท้าย

ในประเด็นการกำกับดูแลกระเป๋าคริปโต ก่อนหน้านี้ TokenPost เคยรายงานแนวทางเข้มงวดการกำกับดูแลกระเป๋าคริปโตของไอร์แลนด์มาแล้ว โดย CRA ฉบับนี้แยกออกจากการกำกับดูแลด้านการป้องกันการฟอกเงิน และมุ่งเน้นเฉพาะช่องโหว่ด้านความปลอดภัยของผลิตภัณฑ์และขั้นตอนการรายงานเหตุการณ์

ขณะนี้ยังไม่มีท่าทีร่วมอย่างเป็นทางการจากตลาดหรือกลุ่มผู้ผลิตกระเป๋าคริปโต รวมถึงยังไม่มีการตัดสินใจที่ชัดเจนจากบริษัทรายใดว่าเข้าข่ายหรือไม่ ดังนั้นจากกฎระเบียบที่ได้รับการยืนยันในขณะนี้ จึงยังยากที่จะสรุปฟันธงว่าแบรนด์กระเป๋าคริปโตรายใดมีหน้าที่ต้องรายงาน

คณะกรรมาธิการยุโรปและ ENISA ได้เปิดให้บริการแพลตฟอร์มแจ้งเหตุแบบจุดเดียวเพื่อสนับสนุนการรายงานภาคบังคับมาตั้งแต่วันที่ 11 กันยายน 2026 ส่วนประเด็นว่าผลิตภัณฑ์กระเป๋าคริปโตจะเข้าข่ายถูกกำกับดูแลหรือไม่ และผลกระทบโดยตรงต่อผู้ประกอบการในประเทศ จะต้องพิจารณาเพิ่มเติมตามโครงสร้างผลิตภัณฑ์และรูปแบบการจำหน่ายภายใน EU ต่อไป