Докладване на инциденти и уязвимости по CRA

01Какво трябва да се докладва

Член 14 от Акт за киберустойчивост създава две задължения за докладване за производителите на продукти с цифрови елементи. Те са по-тесни, отколкото изглеждат на пръв поглед: обичайните софтуерни грешки и обикновените кръпки не попадат в обхвата. Чл. 14

• Активно експлоатирани уязвимости; уязвимост във вашия продукт, за която има надеждни доказателства, че злонамерен участник я е експлоатирал в система без разрешението на нейния собственик. Уязвимост, която откривате и отстранявате, преди да бъде експлоатирана, се обработва по обичайния начин чрез процеса за управление на уязвимости, а не чрез този канал за докладване.
• Тежки инциденти; инцидент, който се отразява отрицателно или е в състояние да се отрази отрицателно на способността на продукта да защитава наличността, автентичността, целостта или поверителността на данни или функции. Критериите за тежест се съдържат в член 14, параграф 5.

Задълженията не се ограничават до търговските производители. Отговорници за софтуер с отворен код носят свои собствени задължения за докладване, доколкото са свързани с продукти с цифрови елементи. Чл. 24(3)

02Трите срока

Всеки доклад се развива в три етапа, измерени от момента, в който узнаете за експлоатираната уязвимост или тежкия инцидент. Сроковете са кратки и именно затова готовността има значение. Чл. 14(2)–(4)

• В рамките на 24 ч.Ранно предупреждение. Първоначално уведомление, че е настъпила активно експлоатирана уязвимост или тежък инцидент, включително, при инцидентите, дали се подозира, че е причинен от неправомерни или злонамерени действия.
• В рамките на 72 ч.Уведомление за уязвимост / инцидент. По-пълно изложение: общото естество на уязвимостта и на експлойта, първоначална оценка и предприетите корективни или смекчаващи мерки, както и тези, които потребителите могат да предприемат.
• Окончателен докладОкончателен доклад. За уязвимост, не по-късно от 14 дни след като стане достъпна корективна или смекчаваща мярка. За тежък инцидент, в рамките на един месец от уведомлението на 72-рия час. В него се излагат пълното описание, тежестта, въздействието и приложеното отстраняване.

Обърнете внимание на асиметрията в последния ред: часовникът при уязвимостите се задейства от наличието на поправка, а при инцидентите, от по-ранното уведомление. Това са различни механики и си струва да бъдат записани поотделно във вашия оперативен наръчник.

03Кога започва

Задълженията за докладване са най-ранната основна част на CRA, която влиза в сила. Докато повечето разпоредби се прилагат от 11 декември 2027 г., член 14 се прилага от 11 септември 2026 г.; 21 месеца след влизането на Акта в сила. ENISA отвори единната платформа за докладване на същата тази дата. Чл. 71

04До кого докладвате

Докладите се изпращат до ENISA и до CSIRT, определен като координатор, чрез единна входна точка, а не с отделни подавания до всеки национален орган. Тази входна точка е единната платформа за докладване, която ENISA създава, управлява и поддържа съгласно член 16. Чл. 14 · 16

Кой CSIRT е вашият, следва от вашето основно място на установяване в Съюза или, когато не сте установени в ЕС, от това на вашия упълномощен представител. Получаващият CSIRT разпространява уведомлението нататък до CSIRTs в държавите членки, в които продуктът се предлага, и до органите за надзор на пазара, когато е необходимо. Чл. 14(7) · 18

Списъкът на координаторите беше публикуван на 4 септември 2026 г.

До 4 септември 2026 г. нямаше публикуван отговор на най-практичния въпрос на тази страница: кой национален екип всъщност получава вашето подаване. ENISA вече публикува списък на CSIRTs, определени за координатори с един или повече URL адреса за контакт за всяка от 27 държави членки, и го преобозначи на 10 септември 2026 г., така че проверете отново своя ред, преди да разчитате на копие, взето по-рано. Ирландия насочва към специална страница на NCSC за CRA; Испания посочва два отделни канала на INCIBE, един за инциденти и един за координация на уязвимости.

Списъкът ви казва кой е координаторът на всяка държава членка. Той не ви казва кой е вашият, а тестът по член 14, параграф 7 е по-тесен, отколкото повечето организации предполагат. Вашето основно място на установяване е държавата членка, в която решенията относно киберсигурността на вашите продукти с цифрови елементи се вземат предимно, която може да бъде обект за разработка, а не седалище по регистрация или най-голямата търговска дейност. Когато това не може да бъде определено, резервният вариант е държавата членка с най-голям брой ваши служители в ЕС. При липса на каквото и да е установяване в ЕС редът е следният: държавата членка, в която вашият упълномощен представител действа за най-много продукти, след това вносителят, който пуска на пазара най-много продукти, след това дистрибуторът, който предоставя най-много, и накрая държавата членка с най-много потребители. Тъй като това определя получателя за всяко бъдещо подаване, уредете го предварително, с правно становище, и запишете мотивите.

Подкрепа съществува и от двете страни. ENISA поддържа бюро за помощ, с особено внимание към МСП, а CSIRTs, определени за координатори също са длъжни да предоставят помощ по задълженията по член 14. ENISA освен това подава отстранените уязвимости към Европейската база данни за уязвимостии публикува на всеки две години технически доклад за тенденциите, като първият се очаква в рамките на 24 месеца от началото на прилагането на задълженията за докладване. Чл. 17(6)

Разпространението на докладвана уязвимост може да бъде спряно от CSIRT, но не и от вас

Получаващият CSIRT може да забави или да не допусне по-нататъшното разпространение на обосновани съображения за киберсигурност, за строго необходимия срок; например когато уязвимостта е част от процедура за координирано разкриване. Комисията определи условията в Делегиран регламент (ЕС) 2026/881, приет на 11 декември 2025 г.Когато CSIRT задържи уведомление, той трябва незабавно да информира ENISA, като посочи обосновка и кога ще извърши разпространението.

Отделно, при особено изключителни обстоятелства може да отбележите едно от тесните условия по член 16, параграф 2 във вашето уведомление на 72-рия час: че експлоатацията е ограничена до държавата членка на вашия CSIRT, че по-нататъшното разпространение би било в противоречие със съществените интереси на тази държава членка или че разпространението поражда непосредствен висок риск за киберсигурността. Ако го направите, ENISA получава само ограничена информация (че е подадено уведомление, обща информация за продукта, общото естество на експлойта и че са изтъкнати съображения за сигурност), докато CSIRT не освободи пълното уведомление.

05Регистрация в платформата

Указанията на ENISA за регистрация, преобозначени на 10 септември 2026 г., и указанията ѝ за интерфейса, преобозначени на 9 септември 2026 г., показват действителните екрани. Регистрацията беше отворена заедно с платформата на 11 септември 2026 г., така че това вече е процес, през който можете да преминете, а не само да четете за него. Въпреки това ENISA ви моли да не се регистрирате превантивно, по причината, изложена по-долу, което прави предварителното познаване на процеса по-полезно, а не по-малко: първият път, когато го следвате, може съвсем спокойно да е под 24-часов часовник.

Определете двама души, преди да имате нужда от тях

Платформата предоставя на всеки производител два вида потребителски профил и още днес можете да решите кой ще ги заеме. Основният представител се регистрира първи и създава записа на производителя в платформата. След това това лице кани вторичен представител, който изпълнява резервна роля към същия производител и може да подава от негово име. И двамата са поименно определени служители във вашето дружество. Тъй като подаването е ръчно, единствен определен докладващ, който е в отпуск, спи или е напуснал, е реален оперативен риск, затова третирайте второто място като необходимо, а не като по избор.

EU Login е удостоверението и двамата могат да го създадат още днес

Профилите в платформата се удостоверяват чрез EU Login, общата услуга за вписване на Европейската комисия, използвана в нейните онлайн системи. Създайте по един за основния и за вторичния представител на ecas.ec.europa.eu, като използвате служебни имейл адреси, които ще съществуват и след година. Многофакторното удостоверяване е задължително: ENISA изисква MFA на профила в EU Login преди първия достъп до платформата, така че ако вашите хора вече имат обикновени профили в EU Login, накарайте ги да включат MFA сега, а не по време на инцидент. Профилите в EU Login са лични и ENISA не поддържа отделно корпоративно удостоверяване върху тях. Комисията обяснява какво представлява EU Login и как се вписва в по-широката ѝ рамка за идентичност на своите страници за надеждна цифрова идентичност .

Процесът на регистрация

При първия достъп до платформата избирате своята роля, избирате своя определен CSIRT от падащо меню, удостоверявате се чрез EU Login, прочитате и приемате правното споразумение, потвърждавате предварително попълнените си лични данни (име, фамилия, имейл, юридическо наименование) и след това въвеждате наименованието, адреса и допълнителната информация на производителя. Пропускането на задължително поле за производителя блокира процеса. При завършване състоянието на профила ви е „Active“ и притежавате ролята "AR Primary User" и получавате имейл за потвърждение, а субектът на производителя се създава в платформата.

Тя вторичен представител се присъединява чрез покана по имейл от основния, потвърждава предварително попълнените лични данни и данни за производителя и се регистрира в ролята "AR Backup User" към същия производител. Тази покана изтича след 7 дни, след което записът се отбелязва като „Invitation Expired“ и трябва да бъде изпратена нова. Настройте резервния потребител в същия работен сеанс като основния; изтекла покана, открита по време на инцидент, е проблем, който може да се избегне.

CSIRT проверява вашия представител ръчно, но това не ви пречи да подадете

Някой трябва да потвърди, че дадено лице действително може да докладва от името на даден производител, и тази проверка е задача на CSIRT, определен за координатор, който ENISA вече съкращава като CDaC. Това е ръчна стъпка, процедурата се различава между отделните CSIRTs и всеки CSIRT прилага собствен подход. Важното е, че тя се извършва след първия ви достъп до платформата и протича успоредно с вашия доклад. В своята актуализация от 3 август 2026 г. ENISA постави това извън съмнение: валидирането от CDaC не е предпоставка за изпълнение на задължението за докладване по CRA, и не засяга способността ви да подавате уведомления. Невалидиран профил може да подаде в рамките на 24-часовия срок.

Именно затова ENISA съветва регистрацията и стартирането на валидирането да се извършват само когато действително се налага да подадете, вместо целият пазар да се регистрира предварително и CSIRTs да бъдат затрупани със спекулативни проверки. Подготовката, която правите предварително, са профилите в EU Login и решението кой заема двете места, а не самата регистрация в платформата.

Един профил може да обхваща няколко производители

Същите указания описват административните детайли около двете места. Основен представител кани резервен по имейл адрес, което създава запис, отбелязан като "Pending Invitation" без роля, докато не бъде приета. Вторичен представител може да поиска повишаване до основен, което се изпраща на CDaC за преглед. ENISA формализира това на 17 септември 2026 г., като маркира въпрос 9 от ЧЗВ като „[АКТУАЛИЗИРАНО]“, за да посочи, че вторичен АП „няма същите административни права като основния АП, но може да поиска ролята на основен АП, при преглед и одобрение от определения CSIRT“. Всеки от двамата може да премахне асоциация, която тогава се отбелязва като "Deleted". И един-единствен профил може да носи асоциации с няколко производители, всяка добавена чрез Association Management и всяка от тях се верифицира поотделно.

Последната точка е от значение за групи с няколко производствени субекта и за дружества, действащи съгласно член 18 за производители, установени извън ЕС. Именно там капанът с наименованията по-долу хапе най-силно.

06Подаване на доклад

Докладването се извършва от табло за управление. Създавате уведомление и след това допълвате същия запис на всеки етап, вместо да подавате три отделни неща. Всеки етап има собствен раздел и всеки може първо да бъде запазен като чернова. В таблото може да се търси по идентификатор на уведомление, по производител или по заглавие, да се сортира по заглавие или по последна актуализация и да се филтрира по държава членка, по вид на подаването или по флага Action Required .

• Ранно предупреждениеЗапочнете ново уведомление от таблото за управление, попълнете задължителните полета и изберете съществуващ производител или добавете нов. При подаване то става достъпно за вашия определен CSIRT и автоматично за ENISA. Потвърждения по имейл и чрез сигнали се изпращат до CSIRT, до ENISA и до всеки представител, регистриран за този производител, а не само до лицето, което е подало.
• 72 часаДостъпно е само след като съществува ранно предупреждение. Отворете същото уведомление и попълнете раздела за 72 часа. ENISA го получава автоматично, освен ако не се позовете на условията по член 16, параграф 2, в който случай записът се отбелязва с „72h Submitted under PEC“ и достъпът на ENISA е ограничен, докато CSIRT не го освободи.
• Окончателен докладДостъпен само след като съществуват и двата предходни етапа. ENISA го получава автоматично, освен ако не са били приложени условията по член 16, параграф 2.

Какво е задължително и кога

ENISA публикува кои полета са задължителни на всеки етап. Таблицата е полезен коректив на едно широко разпространено допускане: ранното предупреждение в рамките на 24 часа е сигнал, а не разследване.

• На 24-ия час; видът и нивото на уведомлението, наименованието на производителя или на отговорника, продуктът и заглавие. При инцидентите, дали се подозират неправомерни или злонамерени действия. Държавите членки, в които продуктът се предлага, се изискват само ако вече разполагате с тази информация.
• На 72-рия час; общото естество на уязвимостта и на експлойта, предприетите корективни или смекчаващи мерки и мерките, които потребителите могат да предприемат. При инцидентите, кога е бил открит и кога е настъпил, както и първоначална оценка. Чувствителността се отбелязва тук.
• В окончателния доклад; пълното описание, тежестта и въздействието, датата, на която корективната мярка е станала достъпна, и подробности за актуализацията на сигурността. При инцидентите, вероятната първопричина и текущите смекчаващи мерки.

Незадължителните полета, които все пак си струва да бъдат попълнени, включват CVE ID и тя EUVD ID, като и двете са достъпни от първия етап.

Всяко поле има ограничение за брой знаци, а едно от тях е много кратко

Речникът за SRP на ENISA, за първи път с размери на полетата във версия 1.1 от 5 септември 2026 г., а сега във версия 1.3 от 10 септември 2026 г., е документът на ENISA, който публикува размера на всяко поле. Съобразете вътрешните си образци с тези ограничения, вместо да ги откривате в два часа през нощта:

• 4000 знака за описателните полета: обобщението, общата информация за уязвимостта или инцидента, коригиращите мерки, които потребителите могат да предприемат, пълните описания на тежестта и въздействието, първоначалната оценка, а при инцидентите и приложените и текущите смекчаващи мерки.
• 2000 знака за коригиращите или смекчаващите мерки, които вече сте предприели, и за подробностите за актуализацията на сигурността или коригиращата мярка в окончателния доклад.
• 800 знака за обосновката в свободен текст, която придружава искане за PEC при 72-часовото уведомление за уязвимост.
• 255 знака за заглавието, наименованието на продукта, диапазона от версии на продукта, наименованието на компонента, вектора на атака, обосновката за чувствителност и вероятната първопричина.
• 100 знака за злонамерения участник, който е експлоатирал уязвимостта. Това е приблизително един ред, така че предвидете да назовете участника или да посочите препратка към индикатор, вместо да описвате кампанията.

Речникът потвърждава и едно малко удобство: полето Държави членки, в които продуктът се предлага пристига предварително попълнено с вашия координиращ CSIRT, а останалите пазари добавяте сами.

Редактиране и точката, от която няма връщане

Подадено уведомление може да бъде актуализирано, като платформата автоматично изпраща сигнал и имейл до вашия CSIRT, както и до ENISA и всички CSIRTs, които вече са го получили чрез разпространение. Прилагат се две ограничения: закрито уведомление не може да бъде актуализирано, а записът става нередактируем, след като окончателният доклад бъде подаден.

Следете раздела със сигналите, включително през почивните дни

Всеки профил има раздел Alerts , цветово кодиран: непрочетените сигнали са светлосини и стават сиви след отваряне, а червените сигнали се появяват само когато се е случило нещо изключително. Примерът, който ENISA дава, е определен CSIRT, който е обявил подаване за невалидно. Следователно подаването не е краят на обмена и никой срок по член 14 не се измества заради това, че уведомление се е върнало при вас. Този, който следи този раздел, трябва да го следи и извън работно време, което е допълнителен аргумент за наблюдавана екипна пощенска кутия зад двете места, вместо два лични адреса.

Броячът за 72 часа на платформата не тече от момента на узнаване

Често задаваните въпроси разкриват как всъщност се държат отброяванията на екрана и че те не следват законния срок. ENISA актуализира често задаваните въпроси на 10 септември 2026 г., в деня преди отварянето, и остави този отговор непроменен, така че поведението, описано тук, е поведението, което влезе в експлоатация. В текущата версия броячът за 72 часа показва краен срок 48 часа след подаването на доклада на 24-ия час, а не 72 часа след като сте узнали. ENISA заявява ясно, че уведомление може следователно да изглежда просрочено преди да са изтекли 72 часа от узнаването, и че логиката ще бъде променена в по-късна версия, за да се брои от полето „дата и час, когато сте узнали“, както за уязвимостите, така и за инцидентите.

Броячите за окончателния доклад отново се различават. При тежък инцидент броячът показва един месец след уведомлението на 72-ия час. При активно експлоатирана уязвимост изобщо няма брояч, защото срокът зависи от това кога става налична коригираща мярка, което платформата не може да знае.

При пускането платформата не записва кога сте узнали

На 5 септември 2026 г. ENISA замени своя подробен Речник за SRP с версия 1.1, а две бележки под линия в него значат повече от всичко останало на страницата. За активно експлоатирана уязвимост полето Date/time when you become aware носи бележката, че то ще бъде налично в следващата версия на платформата. За тежък инцидент бележката гласи, че в текущата версия еквивалентното поле се нарича Date/time the incident was detected.

Поставено до логиката на броячите по-горе, това затваря кръга. Често задаваните въпроси посочваха, че броячът за 72 часа ще бъде коригиран, след като пристигне полето за узнаване; речникът посочваше, че полето пристига в по-късна версия. Нито едно от двете не се промени преди отварянето: ENISA преработи речника отново до версия 1.3 на 10 септември 2026 г. и остави и двете бележки под линия непокътнати. Така от първия ден платформата изобщо не записва времеви отпечатък за узнаване при уязвимостите, а при инцидентите записва момента на откриване, който не е моментът на узнаване.

07Какво можете да направите днес

Спазването на 24-часов срок е оперативен проблем, а не въпрос на документация. Сега, когато платформата е отворена, списъкът по-долу вече не е подготовка за бъдещо събитие; задължението тече и всичко тук, което не сте направили, е изложеност, а не план.

• Създайте своите профили в EU Login с включено MFA. За основния докладващ и поне за един резервен. Отнема минути на ecas.ec.europa.eu, а платформата няма да допусне никого без многофакторно удостоверяване, така че включването му е част от задачата, а не допълнение към нея.
• Определете своя CSIRT. ENISA публикува списъка на координаторите за всички 27 държави членки на 4 септември 2026 г., така че това вече е задача, която можете да завършите. Приложете теста за основно място на установяване по член 14, параграф 7, изберете своя ред и запишете мотивите.
• Изградете формуляра за 24 часа вътрешно. Кратък образец, съответстващ на задължителните полета на ENISA за ранното предупреждение, така че първото ви реално подаване да бъде преписване, а не съчиняване. Дръжте го някъде, където и двамата представители могат да го отворят, тъй като черновите в платформата са видими само за този, който ги е създал.
• Определете хората, включително извън работно време. Решете кой преценява, че се дължи доклад, кой го изготвя и кой го подава. Тъй като няма API, последната стъпка е поименно определен човек пред клавиатурата.
• Поддържайте точен SBOM. Не можете да докладвате за компонент, за който не сте знаели, че сте доставили. Поддържайте списък на софтуерните компоненти и го актуализирайте с промяната на версиите.
• Наблюдавайте го непрекъснато. Съпоставяйте компонентите си с източници за известни уязвимости, така че активно експлоатиран недостатък да излезе наяве за часове, а не за седмици. Нашият SBOM и анализатор на уязвимости следи вашия списък на софтуерните компоненти спрямо NVD и базата данни на ЕС за уязвимости (EUVD).
• Уверете се какво действително попада в обхвата. Етапът на 72-рия час изисква вида на продукта и категорията по приложение III или IV, затова изяснете класификацията, преди да ви потрябва. Нашият инструмент за класификация отговаря на този въпрос, а матрицата за съответствие обвързва докладването с по-широките задължения за управление на уязвимости по Приложение I, в рамките на които се намира.
• Решете кой чете раздела със сигналите извън работно време. Определен CSIRT може да обяви подаване за невалидно, а сигналът за това пристига в платформата, а не само във вашата пощенска кутия. Поставете наблюдавана пощенска кутия зад двете места на представители.
• Не разчитайте на отброяването на платформата. Записвайте сами времевата отметка за узнаването. Броячът за 72 часа на екрана тече от подаването на доклада на 24-ия час, а не от узнаването, така че може да отбележи подаване като просрочено, преди законният срок да е изтекъл.
• Read the AR User Manual, and watch the tutorial video. ENISA published the manual at launch and added the AR User Tutorial Video within days, so between the two, plus the guidance pages, you have the fullest available description of the live platform.
• Проверете дали сте избрали правилния координатор, преди да подадете. ENISA вече предупреждава, че изборът на грешен CSIRT, определен за координатор, може да доведе до обявяване на уведомлението за невалидно, което ви оставя да подадете отново до правилния, докато часовникът продължава да тече.

08Следете го при източника

Тази страница отразява положението към 11 септември 2026 г., деня, в който платформата отвори. То ще продължи да се променя, а ENISA редактира страниците си тихомълком, вместо да обявява всяка промяна. През седмицата преди пускането често задаваните въпроси бяха пренаписани на 4 септември 2026 г. и актуализирани отново на 10 септември 2026 г., списъкът с координаторите се появи на 4 септември 2026 г. и беше преобозначен на 10 септември 2026 г., речникът достигна версия 1.1 на 5 септември 2026 г. и версия 1.3 на 10 септември 2026 г., указанията относно особено изключителните обстоятелства пристигнаха на 9 септември 2026 г., а ръководството AR User Manual и общите условия на платформата бяха публикувани на 10 септември 2026 г. След пускането ЧЗВ бяха преиздадени отново на 12 септември 2026 г. (видео уроко за АП стана достъпно, а информационният лист за SRP излезе на още девет езика) и на 17 септември 2026 г., когато въпрос 9 бе отбелязан като „[АКТУАЛИЗИРАНО]“, за да се документира, че вторичен АП може да поиска ролята на основен АП, при преглед от CDaC. За въпроси относно поддръжката ENISA публикува адрес на бюрото за помощ на централната страница, cra-srp-helpdesk [at] enisa.europa.eu. Това са първоизточниците; всичко по-горе е нашият прочит на тях.

• ENISA · Самата единна платформа за докладване (в експлоатация от 11 септември 2026 г.); изберете ролята Assigned Representative и влезте през EU Login с многофакторно удостоверяване. Тук се подават уведомленията.portal.cra-srp.enisa.europa.eu
• ENISA · Единна платформа за докладване; централната страница с информационния документ, ръководството за потребителя, адреса на бюрото за помощ и връзки към всяка страница с указания.enisa.europa.eu/topics/product-security/single-reporting-platform-srp
• ENISA · Често задавани въпроси за SRP (актуализирани на 10 септември 2026 г.); правно основание, срокове, маршрутизиране, таблицата с полетата, логиката на броячите, какво да правите при прекъсване и адресът на платформата. Пренаписани на 4 септември и разширени в деня преди пускането. Най-актуалната от страниците на ENISA за SRP и тази, която да предпочетете, когато те си противоречат.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions
• ENISA · CRA SRP AR User Manual (10 септември 2026 г.); ръководството от деня на пускането за Assigned Representatives и най-пълното единно описание на платформата такава, каквато действително отвори.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-ar-user-manual
• ENISA · Списък на CSIRTs, определени за координатори (публикуван на 4 септември 2026 г., актуализиран на 10 септември 2026 г.); точки за контакт за всички 27 държави членки. Определете своя ред, като използвате теста по член 14, параграф 7 в раздел 04.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/list-of-csirts-designated-as-coordinators
• ENISA · Речник за CRA SRP (версия 1.3, 10 септември 2026 г.); подробни указания по полета за това какво означава всяко поле за докладване, как да се попълни, какъв формат се очаква, какво е ограничението за брой знаци и на кой етап се прилага. Обърнете внимание на адреса: ENISA премести речника на URL адрес glossary2 и по-старият все още е посочен на някои от собствените ѝ страници, затова проверете реда с версията най-горе, преди да разчитате на копие.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-glossary2
• ENISA · Указания за регистрация на потребители в SRP; процесът на регистрация стъпка по стъпка за основни и резервни потребители, със снимки на екрана на интерфейса.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-user-registration
• ENISA · Указания за подаване на уведомления в SRP; как се подават и актуализират ранното предупреждение, уведомлението на 72-рия час и окончателният доклад и какво задейства всеки статус.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-notification-submission-and-update
• ENISA · Указания за функциите на интерфейса на SRP (9 септември 2026 г.); настройки, асоциации с производители, таблото и раздела с известия. Преобозначена в самия ден на пускането и вече съвпада с често задаваните въпроси, че неверифицирана асоциация може да подаде до 20 уведомления.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-interface-functions
• ENISA · Общи условия за CRA SRP (версия 1.0, 10 септември 2026 г.); условията, които приемате, когато се регистрирате в платформата, публикувани в деня преди тя да отвори.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-single-reporting-platform-terms-and-conditions
• ENISA · Указания за особено изключителните обстоятелства в SRP (9 септември 2026 г.); кога се прилага PEC, превключвателят и основанията за забавяне във формуляра за 72 часа, и какво прави координиращият CSIRT с обосновката. Петата страница с указания и единствената, която разглежда PEC пряко.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-particular-exceptional-circumstances-pec
• Европейска комисия · Задължения за докладване по CRA; страницата за политиката, включително често задаваните въпроси относно прилагането на CRA, чийто раздел 5 обхваща докладването. Комисията актуализира тази страница на 11 септември 2026 г., за да потвърди, че платформата вече функционира, а отделният документ с често задавани въпроси на Комисията беше последно актуализиран на 4 септември 2026 г.digital-strategy.ec.europa.eu/en/policies/cra-reporting
• Европейска комисия · Указания за прилагане на CRA (27 юли 2026 г.); точка 9.1 излага задълженията за докладване на производителите и на отговорниците за софтуер с отворен код. Нашето обобщение на указанията обхваща останалото.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
• ENISA · CRA SRP status; shows whether the platform is currently available or temporarily unavailable. If it is down, ENISA's FAQ 25 says to wait and submit once it is back, contacting your designated CSIRT directly if immediate communication is needed. The CRA does not pause the 24-hour, 72-hour or final-report deadlines during an outage, so record when you tried to file.enisa.europa.eu/.../cra-srp-status
• EU Login; създайте профила, който платформата използва, и активирайте многофакторно удостоверяване за него. Направете го сега.ecas.ec.europa.eu/cas/login

За обвързващия текст, членове 14 до 17 определят екосистемата на докладването, а член 16 създава платформата; прочетете ги в нашия четец на регламента. Ключовите дати се проследяват на страницата актуално състояние .

09Чести въпроси