OBL-ART14-04Binding
積極的に悪用された脆弱性のユーザーへの不当な遅延のない通知
- 対象者
- Manufacturer
- 出典引用
- Art. 14(4)
Last reviewed
わかりやすい説明
製品のバグがユーザーを攻撃するために使用されている場合は、すぐに通知すること。修正を待ってはならない。 リスクは何か、今すぐ安全を保つために何ができるかを伝えること。通常のアップデートまたはアラートチャンネルを使用すること——しかし迅速に行動すること。
法律条文
規則（EU）2024/2847第14条第4項は、製造業者が積極的に悪用された脆弱性の影響を受けるデジタル要素を含む製品のユーザーに対して、不当な遅延なく、当該ユーザーが防護的な措置を取れるよう十分な情報を通知することを義務付けている。
この通知義務はENISAへの報告義務（OBL-ART14-01、OBL-ART14-02、OBL-ART14-03）と並行して実施される——ENISAへの通知はユーザーへの通知の代わりにはならない。
有効日
この義務は2026年9月11日から適用される。
必要なユーザー通知内容
ユーザーへの通知には以下を含めなければならない：
- 影響を受ける製品とバージョン——どの製品とファームウェア/ソフトウェアバージョンが影響を受けるかを正確に
- 脆弱性の性質——リスクのわかりやすい説明
- 悪用の確認——積極的な悪用が観察されたという声明
- 利用可能な緩和措置——完全な修正が出るまでユーザーが直ちに取れる措置（回避策、設定変更、ネットワーク分離）
- アップデートの利用可能性——パッチが利用可能かどうかと入手方法；まだ利用できない場合は予想タイムライン
- 緊急度ガイダンス——アップデート適用の推奨優先度
通知チャンネル
積極的にアップデートを確認しないユーザーにも届くチャンネルを使用する：
- 製品内のセキュリティアラート（プッシュ通知またはバナー）
- 登録ユーザーへのメール
- 製品/サポートウェブサイトの目立つ通知
- アプリストア/プラットフォームのアップデートノート
チャンネルの選択は深刻度と悪用可能性に比例したものでなければならない。
必要となり得る証拠
- ユーザー通知記録——タイムスタンプ、内容、使用チャンネル
- 配信確認（メール受信確認、通知分析）
- ユーザー向け修正ガイダンスを含む公開セキュリティアドバイザリ
- 通知がパッチリリースより前または同時に行われたことを示す記録