Cyberbezpieczeństwo — wiadomości
Amerykańskie firmy chcą przedłużenia ustawy CISA 2015 o 10 lat przed 11 grudnia
Trzy tuziny organizacji branżowych z USA wzywają Kongres do przedłużenia o 10 lat ustawy o wymianie informacji o zagrożeniach. Obecne przedłużenie wygasa 11 grudnia.
Cyber Resilience Act od grudnia 2027 obejmie myszki i inne urządzenia peryferyjne
Od 11 grudnia 2027 roku rozporządzenie UE 2024/2847 nałoży na producentów myszek obowiązek ochrony poufności i integralności danych. Dotyczy to także urządzeń przewodowych.
Departament Sprawiedliwości USA chce ochrony czatów 12 mln użytkowników Character.AI
Departament Sprawiedliwości USA chce rzecznika prywatności w upadłości Character.AI, bo sprzedaż aktywów może objąć czaty 12 mln użytkowników, także nieletnich.
General Motors zapłaci 220 mln dolarów za sprzedaż danych kierowców brokerom
GM zawarł ugodę z 36 stanami USA. Dane o jeździe i lokalizacji z programu Smart Driver trafiały przez brokerów do ubezpieczycieli i wpływały na ceny polis.
noyb składa pięć skarg na Scale AI za śledzenie freelancerów platformy Outlier
Organizacja noyb złożyła skargi we Francji, Włoszech, Holandii i Austrii. Zarzuca Scale AI śledzenie pracy freelancerów i żądanie od nich danych biometrycznych.
Wielka Brytania rozważy odpowiedzialność producentów oprogramowania za włamania
Brytyjski rząd zapowiedział w budżecie konsultacje na przyszły rok w sprawie tego, kto ma odpowiadać za włamania spowodowane niebezpiecznymi produktami technologicznymi.
NIST publikuje harmonogram przejścia na kryptografię postkwantową w raporcie NIST IR 8547
NIST wydał raport NIST IR 8547 z planem migracji na kryptografię postkwantową. Wcześniejsze terminy obejmą wrażliwe systemy federalne USA, a poprzednie takie zmiany trwały od 10 do 20 lat.
CISA 2030 to plan wypchnięcia przeciwników z infrastruktury krytycznej USA
Amerykańska agencja CISA opublikowała strategię CISA 2030: Defend, Harden, Prevail. Dokument stawia na bezpieczeństwo OT, oprogramowania i łańcucha dostaw.
Komisja Europejska wszczęła postępowanie wobec Booking.com na podstawie DSA
Bruksela sprawdzi, czy Booking.com skutecznie ogranicza fikcyjne apartamenty, phishing z prawdziwymi danymi rezerwacji i niejawne promowanie hoteli, które płacą za lepszą widoczność.
Meta ma zapłacić 25 mld dolarów kary za wprowadzanie w błąd w sprawie prywatności
Sąd w Nowym Meksyku nałożył na Meta 25 mld dolarów kar cywilnych po tym, jak ława przysięgłych uznała 26 wypowiedzi Facebooka za wprowadzające w błąd. Meta zapowiada apelację.
Meta ma zapłacić 25 mld dolarów kary w Nowym Meksyku za sprawę Cambridge Analytica
Sąd w Nowym Meksyku obniżył karę dla Mety z 220 do 25 mld dolarów. We wrześniu ława przysięgłych uznała 43 mln naruszeń stanowego prawa o nieuczciwych praktykach.
Następca 23andMe zapłaci Kalifornii 6 mln dolarów za wyciek danych genetycznych
Chrome Holding Company, dawniej 23andMe, zawarło z Kalifornią ugodę na 6 mln dolarów. Dotyczy ona wycieku z 2023 roku, w którym ujawniono dane prawie 7 mln osób.
Atak na sterowniki chłodni we Francji, unijne przepisy nie wymuszą poprawek
Włamania do sterowników chłodni Danfoss, Copeland i Dixell uderzyły w setki francuskich supermarketów. ENISA: producenci zgłoszą ataki na wycofane urządzenia, ale nie muszą ich łatać.
DHS zakazuje produktów DeepSeek w federalnych agencjach cywilnych USA
Departament Bezpieczeństwa Krajowego USA nakazał agencjom federalnym usunąć produkty DeepSeek i usługi na nich oparte. Na wniosek o wyjątek agencje mają 60 dni.
Prezes UODO chce przepisów o dokumentacji medycznej po śmierci lekarza
Mirosław Wróblewski żąda od Ministerstwa Zdrowia zmiany przepisów. Po śmierci lekarza z prywatnej praktyki pacjenci tracą dostęp do historii choroby.
Kanada rozważa furtki w szyfrowaniu, Signal i Psiphon zapowiadają wyjście z kraju
Kanadyjski projekt ustawy wymusiłby furtki i dłuższe przechowywanie danych w usługach szyfrowanych. Signal i Psiphon VPN zapowiadają wyjście z kraju, jeśli przepisy wejdą w życie.
Indie: od 1 listopada operatorzy 4G pokażą zarejestrowaną nazwę dzwoniącego
Od 1 listopada 2026 roku operatorzy w Indiach mają wyświetlać przy połączeniu przychodzącym nazwę dzwoniącego z danych abonenta. Usługa CNAP ma ograniczyć spam i oszustwa telefoniczne.
W wykazie KSC prawie 70,5 tys. podmiotów, termin wdrożenia mija 3 kwietnia 2027
Wykaz Krajowego Systemu Cyberbezpieczeństwa liczy prawie 70,5 tys. podmiotów, niemal dwa razy więcej, niż szacowano. Do 3 kwietnia 2027 r. muszą wdrożyć system zarządzania bezpieczeństwem informacji i S46.
Norwegia nakłada 92 mln NOK kary na Xandr, firmę Microsoftu, za dane użytkowników Grindra
Datatilsynet ukarał Xandr, firmę reklamową Microsoftu, kwotą 92 mln NOK (9,6 mln dolarów) za udostępnianie wrażliwych danych użytkowników Grindra bez sprawdzonej zgody.
PCI SSC: działania agentów AI na danych kart płatniczych ma zatwierdzać człowiek
PCI SSC opublikowała dokument Security Considerations for AI Systems. Agent AI ma dostawać tylko potrzebne uprawnienia, a organizacja ma wskazać działania, które zatwierdza człowiek.
Koalicja OTCC chce obowiązkowych zasad CISA dla systemów OT w agencjach federalnych USA
OTCC wzywa CISA do wydania dyrektywy dla systemów OT w budynkach agencji federalnych. Tylko 7 z 22 agencji w pełni zinwentaryzowało swoje urządzenia OT i IoT.
Australia rozważa obowiązek zgłaszania cyberataków przeprowadzanych przez agentów AI
Po ataku agentów AI na sieci powiązane z Medicare australijski rząd rozważa obowiązkowe zgłaszanie takich incydentów. 6 października komisja przesłuchała OpenAI, Anthropic, Microsoft i Google.
NIS2 i dostępy: dane logowania ucierpiały w 28% naruszeń według Verizon DBIR 2026
Help Net Security pokazuje, jak pod art. 21 NIS2 zacząć od kontroli dostępów. Według Verizon DBIR 2026 dane logowania znalazły się wśród danych naruszonych w 28% przypadków.
IQVIA z karą 7 mln euro za pozorną anonimizację danych miliona pacjentów
Włoski urząd ochrony danych GPDP ukarał IQVIA kwotą 7 mln euro. Kod zamiast nazwiska nie chronił pacjentów, bo razem z pozostałymi danymi pozwalał ich zidentyfikować.
Senat USA jednogłośnie przyjął ustawę o cyberbezpieczeństwie ochrony zdrowia
Health Care Cybersecurity and Resilience Act przeszedł przez Senat jednogłośnie i trafia do Izby Reprezentantów. W 2025 roku 730 włamań dotknęło 270 mln Amerykanów.
Cyber Resilience Act: kontenery i Kubernetes zgłaszają luki do ENISA w 24 godziny
Od 11 września 2026 dostawcy obrazów kontenerów, operatorów Kubernetes i Helm charts na rynku UE zgłaszają wykorzystywane luki do ENISA w 24 godziny. Pełne egzekwowanie CRA od 11 grudnia 2027.
Raport GAO: sektory infrastruktury w USA wskazują dublujące się przepisy cyber
Przedstawiciele energetyki, finansów i ochrony zdrowia wskazali GAO sprzeczne federalne przepisy o cyberbezpieczeństwie, w tym przyszłą regułę CISA o zgłaszaniu incydentów i wymóg ujawniania SEC.
Facebook blisko 44 mln razy wprowadził użytkowników w błąd co do prywatności danych
Ława przysięgłych w Nowym Meksyku uznała, że Facebook blisko 44 mln razy złamał stanowe prawo, okłamując użytkowników w sprawie danych. Za każde naruszenie grozi do 5000 dolarów kary.
Warner i Cruz proponują dobrowolne zasady bezpieczeństwa dla telekomów po Salt Typhoon
Senatorowie USA zgłosili ustawę o dobrowolnych praktykach bezpieczeństwa i opcjonalnej certyfikacji dla operatorów telekomunikacyjnych. To reakcja na ataki Salt Typhoon na co najmniej dziewięciu operatorów.
Facebook winny wprowadzania w błąd co do prywatności, 43 mln naruszeń w Nowym Meksyku
Ława przysięgłych w Nowym Meksyku uznała, że Facebook wprowadzał użytkowników w błąd co do ochrony danych. Stan żąda do 5000 USD kary za każde z ponad 43 mln naruszeń.
Labcorp zapłaci 2,3 mln dolarów kary 44 stanom USA za wyciek u windykatora AMCA
Prokuratorzy generalni 44 stanów USA zawarli ugodę z Labcorp. Firma zapłaci 2,3 mln dolarów kary i przebuduje nadzór nad dostawcami po wycieku z 2019 roku, który objął 10,2 mln klientów.
NIS2 i KSC2: wniosek o wpis do wykazu podmiotów trzeba złożyć do 3 października
Do 3 października podmioty objęte KSC2 i NIS2 muszą złożyć wniosek o wpis do Wykazu Podmiotów Kluczowych i Ważnych. Sekurak rusza 30 września z cyklem szkoleń.
Projekt NIST SP 800-82 Rev. 4 o bezpieczeństwie OT, CISA i FBI o dostępie integratorów ICS
NIST zbiera do 30 listopada 2026 uwagi do projektu przewodnika o bezpieczeństwie OT. CISA i FBI zalecają dawać integratorom ICS tylko minimalny potrzebny dostęp.
Szwedzki IMY nałożył 1,8 mln koron kary na Miljödata za wyciek danych 2,2 mln osób
Szwedzki urząd ochrony danych ukarał dostawcę systemów kadrowych dla gmin za naruszenie art. 32 RODO. Firma nie sprawdzała nowego oprogramowania i nie monitorowała systemów pod kątem włamań.
Google z karą 403 mln euro za przetwarzanie danych lokalizacji niezgodne z RODO
Irlandzka Komisja Ochrony Danych ukarała Google za przetwarzanie danych lokalizacji z naruszeniem RODO w latach 2018-2020. Sprawa dotyczy Web & App Activity, Location History i Androida.
Kanadyjski regulator bada IDScan.net po wycieku skanów praw jazdy
Komisarz ds. prywatności Kanady sprawdzi zabezpieczenia IDScan.net i powiadomienia ofiar po doniesieniach o kradzieży skanów praw jazdy 153 mln osób.
DORA w drugim roku: regulatorzy UE sprawdzaja skutecznosc nadzoru nad ryzykiem ICT
Rozporzadzenie DORA obowiazuje w Unii od stycznia 2025. W drugim roku regulatorzy przenosza uwage z dokumentacji na to, czy przyjete ramy dzialaja w praktyce.
Irlandzki organ ochrony danych nakłada 403 mln euro kary na Google za dane o lokalizacji
Irlandzka DPC ukarała Google kwotą 403 mln euro za przetwarzanie danych o lokalizacji i dała sześć miesięcy na dostosowanie tych procesów do RODO.
Od 11 września obowiązują zasady zgłaszania podatności z Cyber Resilience Act
Unijny Cyber Resilience Act zwiększa odpowiedzialność producentów za podatności. Przy zakupie urządzeń i systemów obok ceny liczy się okres wsparcia bezpieczeństwa.
ENISA uruchomiła platformę zgłoszeń CRA: 24 godziny na wczesne ostrzeżenie
Od 11 września 2026 producenci produktów z elementami cyfrowymi w UE zgłaszają aktywnie wykorzystywane luki przez platformę ENISA: ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny.
Do 3 października 2026 podmioty kluczowe i ważne muszą zarejestrować się w wykazie KSC
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdraża NIS2. Termin samoidentyfikacji i wpisu do wykazu mija 3 października 2026 r., a kadra zarządzająca ma ustawowy obowiązek szkolenia.
Od 11 września 24 godziny na zgłoszenie luki do ENISA, kara do 15 mln euro
Cyber Resilience Act od 11 września 2026 nakłada na firmy sprzedające w UE produkty z łącznością sieciową obowiązek zgłaszania ENISA aktywnie wykorzystywanych luk w 24 godziny. Kara do 15 mln euro.