MiCA skaidrojums

Kibernoturības akts 29.09.2026: maki un CASP

Skaidrojuma raksts Baltijas un Ziemeļeiropas kripto biržu, aparatūras maku, karšu un nodokļu rīku segmentam: pēdējās 24 stundās un pēdējā nedēļā jaunu skaidri datējamu notikumu nav, tāpēc padziļināti aplūkojam ES Kibernoturības akta ziņošanas pienākumus, kas spēkā kopš 2026. gada 11. septembra.

Toms Ābeltiņš

2026. gada 29. septembris7 min lasīšana

Pēdējās 24 stundās un pēdējā nedēļā mūsu segmentā jaunu skaidri datējamu notikumu nav, tāpēc publicējam skaidrojumu. Padziļināti aplūkojam ES Kibernoturības aktu (Regula (ES) 2024/2847): tā ievainojamību un incidentu ziņošanas pienākumi stājās spēkā 2026. gada 11. septembrī un attiecas uz aparatūras maku ražotājiem (Ledger, Trezor, BitBox, Coldcard, Tangem) un daudziem CASP programmatūras produktiem. Ar 24/72 stundu ziņošanas kaskādi, MiCA kontekstu un vērošanas sarakstu.

Otrdiena, 2026. gada 29. septembris. Šī ir skaidrojuma raksta (mica-explainer) formāta publikācija, nevis dienas ziņu apskats. Pēdējās 24–48 stundās mūsu segmentā — kripto biržas un CASP, aparatūras maki, kripto kartes un nodokļu rīki, kas apkalpo Baltiju (LV, LT, EE) un Ziemeļeiropu (FI, SE, NO, DK) — nav neviena skaidri datējama, patstāvīga jauna notikuma, un arī pēdējā nedēļā nav divu vai vairāku pārliecinoši datējamu notikumu, ko pasniegt kā svaigas ziņas. Tāpēc sērijas nepārtrauktības vietā izvēlamies kvalitāti un piedāvājam padziļinātu vienas turpinošas tēmas skaidrojumu: ko mūsu segmentam nozīmē Eiropas Savienības Kibernoturības akts, kura ziņošanas pienākumi stājās spēkā 2026. gada 11. septembrī. Katram faktam zemāk ir norādīts precīzs datums; kur runa ir par fonu, tas ir atklāti apzīmēts kā fons.

Kas ir Kibernoturības akts un kāpēc tas svarīgs tieši tagad

Kibernoturības akts (Cyber Resilience Act, Regula (ES) 2024/2847) ir horizontāls ES tiesību akts, kas nosaka kiberdrošības prasības tā dēvētajiem "produktiem ar digitāliem elementiem". Regula stājās spēkā 2024. gadā ar pakāpenisku piemērošanu. Būtiskākais pavērsiens mūsu segmentam iestājās 2026. gada 11. septembrī, kad kļuva piemērojami akta 14. panta ievainojamību un incidentu ziņošanas pienākumi. To apstiprina Eiropas Komisijas digitālās stratēģijas materiāli, kā arī vairāku starptautisku juridisko firmu (Goodwin, Crowell & Moring, Hogan Lovells, Kirkland & Ellis) 2026. gada septembra klientu paziņojumi.

Pilnā akta piemērošana — tostarp produktu atbilstības un CE marķējuma prasības — sāksies 2027. gada 11. decembrī. Tas nozīmē, ka pašlaik ražotājiem jāievēro ātrās ziņošanas režīms, bet plašākas produktu drošuma saistības iestāsies vēl vairāk nekā gadu vēlāk. Šī divpakāpju struktūra ir svarīga, lai neinterpretētu 11. septembra termiņu kā "viss stājies spēkā": spēkā ir ziņošana, ne vēl viss regulējums.

Kas ietilpst tvērumā: aparatūras maki un maku programmatūra

Akts nenosauc konkrētus zīmolus. Tā vietā tas izmanto juridisku testu: pienākumi attiecas uz produktu, ja tas tiek komerciāli piedāvāts ES tirgū, ir aparatūras vai programmatūras produkts, un tā paredzētā vai saprātīgi paredzamā izmantošana ietver tiešu vai netiešu datu savienojumu ar ierīci vai tīklu.

Šis tests praksē aptver mūsu segmenta pamatproduktu grupu. Aparatūras maki — piemēram, Ledger, Trezor, BitBox, Coldcard un Tangem ierīces — sastāv no fiziskas ierīces, tās programmaparatūras (firmware) un pavadošās lietotnes; visi trīs elementi parasti ietilpst regulas tvērumā. Tāpat tvērumā ietilpst atsevišķas programmatūras maku lietotnes un daudzi CASP piedāvātie klientu programmatūras komponenti. Ražotājam pašam jāizvērtē, vai konkrētais produkts atbilst testam; neatbilstības gadījumā tas nav pamats pieņemt izņēmumu automātiski.

Atsevišķa nianse attiecas uz ražotājiem ārpus ES. BitBox (Šveice), Coldcard/Coinkite (Kanāda) un citi trešo valstu ražotāji, kas pārdod produktus EEZ lietotājiem, ietilpst tvērumā attiecībā uz ES tirgum piedāvātajiem produktiem; koordinējošo iestādi (CSIRT) parasti nosaka ražotāja galvenā uzņēmējdarbības vieta vai tā pilnvarotais pārstāvis ES.

Ziņošanas kaskāde: 24 h, 72 h un gala ziņojums

panta režīms ir trīspakāpju un tiek aktivizēts divos gadījumos: (1) aktīvi izmantota ievainojamība — kad ir pierādījumi, ka ļaunprātīgs aktors to izmanto bez atļaujas (labticīga drošības pētniecība pati par sevi ziņošanu neizraisa), vai (2) nopietns incidents, kas negatīvi ietekmē produkta spēju aizsargāt datu pieejamību, autentiskumu, integritāti vai konfidencialitāti.

Pēc šāda notikuma konstatēšanas ražotājam:

24 stundu laikā jāiesniedz agrīns brīdinājums koordinējošajam CSIRT un ENISA, norādot skarto produktu un attiecīgās dalībvalstis; nopietna incidenta gadījumā jānorāda uz aizdomām par ļaunprātīgu darbību.
72 stundu laikā jāsniedz detalizēts paziņojums ar pieejamo informāciju par ievainojamību vai incidentu, sākotnējo ietekmes novērtējumu un — kas praktiski svarīgi lietotājiem — korektīvajiem vai mazinošajiem pasākumiem, ko lietotāji var veikt.
Gala ziņojums aktīvi izmantotas ievainojamības gadījumā jāiesniedz 14 dienu laikā pēc tam, kad kļuvis pieejams drošības atjauninājums; nopietna incidenta gadījumā — viena mēneša laikā pēc 72 stundu paziņojuma.

Ziņošana notiek caur ENISA Vienoto ziņošanas platformu (Single Reporting Platform), kas informāciju sadala nacionālajām CSIRT komandām. Papildus, saskaņā ar 14. panta 8. punktu, ražotājiem jāinformē arī skartie lietotāji, lai gan tam nav noteikts stingrs stundu termiņš. Neatbilstības gadījumā sods var sasniegt 15 miljonus eiro vai 2,5 % no gada pasaules apgrozījuma, atkarībā no tā, kurš rādītājs ir lielāks; atvērtā pirmkoda uzturētājiem paredzēti atbrīvojumi no sodiem.

Ko tas nozīmē Baltijas un Ziemeļvalstu lietotājiem

Praktiskais efekts reģiona lietotājiem ir ātrāka un standartizētāka informācijas plūsma par nopietnām maku un platformu drošības problēmām. Divi šā gada fona notikumi labi ilustrē, kāpēc tas ir aktuāli. Coldcard (Coinkite) sēklu entropijas incidents, kuram sekojām 2026. gada augusta apskatos, parādīja, cik ātri aparatūras maku problēma var izraisīt reālus līdzekļu zaudējumus. Trezor un BitBox 10. septembra brīdinājumi lietotājiem pēc trešās puses e-pasta pakalpojuma pārkāpuma un tam sekojošās pikšķerēšanas kampaņas savukārt parādīja incidentu komunikācijas nozīmi. Abi ir fons, ne šodienas ziņa; taču tieši šādos gadījumos 24/72 stundu ziņošanas režīms nākotnē paredz skaidru, obligātu procedūru.

Lietotājam pašam akts tiešus pienākumus neuzliek. Tomēr tas paaugstina gaidas pret ražotājiem: aparatūras maku un CASP klientiem Baltijā un Ziemeļvalstīs ir pamats sagaidīt, ka par aktīvi izmantotām ievainojamībām tiks paziņots savlaicīgi un ar konkrētiem norādījumiem par rīcību.

Kā tas mijiedarbojas ar MiCA

Kibernoturības akts nav MiCA aizstājējs, bet paralēls slānis. MiCA regulē kripto aktīvu pakalpojumu sniedzēju (CASP) darbību, licencēšanu un rīcības noteikumus; Kibernoturības akts regulē produktu kiberdrošību un incidentu ziņošanu. CASP, kas jau darbojas ar MiCA atļauju — un daudzi Baltijas un Ziemeļvalstu segmenta operatori tādi ir —, papildus var būt pakļauts Kibernoturības akta prasībām attiecībā uz savu programmatūru un pieslēgtajiem produktiem. Praksē tas nozīmē divus atsevišķus, bet savstarpēji papildinošus atbilstības uzdevumus, nevis vienu.

Vērošanas saraksts un nākamie pārbaudes punkti

Šie punkti nav pēdējo 24 stundu jaunumi; tos turam vērošanā ar precīziem datumiem.

Kibernoturības akta pilnā piemērošana — 2027. gada 11. decembris. Līdz tam ražotājiem jāsagatavo produktu atbilstība un dokumentācija; ziņošanas režīms jau darbojas kopš 11. septembra.

ESMA MiCA reģistrs. Pēdējie publiski apstiprinātie atjauninājumi bija 2026. gada jūlijā (līdz 321 CASP 31. jūlijā). Sekojam nākamajam atjauninājumam attiecībā uz Baltijas un Ziemeļvalstu firmām.

Aparatūras maku firmware. Ražotāju drošības paziņojumi un firmware atjauninājumi turpmāk jāskata arī Kibernoturības akta ziņošanas kontekstā; lietotājiem der pārbaudīt, vai izmanto ražotāja jaunāko oficiālo versiju.

Kopsavilkums tirgus dalībniekiem

Kibernoturības akta ziņošanas pienākumi ir spēkā kopš 2026. gada 11. septembra, un tie attiecas uz aparatūras maku ražotājiem un daudziem CASP programmatūras produktiem, kas tiek piedāvāti ES tirgū, tostarp Baltijā un Ziemeļvalstīs.

Ražotājiem — arī ārpus ES esošajiem, kas pārdod EEZ tirgū — ieteicams pārliecināties par koordinējošo CSIRT un pilnvarotā pārstāvja statusu ES, jo tas nosaka, kur un cik ātri jāziņo.

Lietotājiem tiešu pienākumu nav, bet ir pamats sagaidīt ātrāku un skaidrāku incidentu komunikāciju; līdzekļu drošības ziņā svarīgākais solis paliek nemainīgs — izmantot ražotāja jaunāko oficiālo firmware un uzmanīties no pikšķerēšanas.

Pilnā akta piemērošana 2027. gada 11. decembrī ir nākamais lielais strukturālais datums; līdz tam ziņošanas režīms ir galvenais praktiskais jauninājums mūsu segmentam.

Norriwire Briefing