Докладване на инциденти и уязвимости по CRA

01Какво трябва да се докладва

Член 14 от Акт за киберустойчивост създава две задължения за докладване за производителите на продукти с цифрови елементи. Те са по-тесни, отколкото изглеждат на пръв поглед: обичайните софтуерни грешки и обикновените кръпки не попадат в обхвата. Чл. 14

• Активно експлоатирани уязвимости; уязвимост във вашия продукт, за която има надеждни доказателства, че злонамерен участник я е експлоатирал в система без разрешението на нейния собственик. Уязвимост, която откривате и отстранявате, преди да бъде експлоатирана, се обработва по обичайния начин чрез процеса за управление на уязвимости, а не чрез този канал за докладване.
• Тежки инциденти; инцидент, който се отразява отрицателно или е в състояние да се отрази отрицателно на способността на продукта да защитава наличността, автентичността, целостта или поверителността на данни или функции. Критериите за тежест се съдържат в член 14, параграф 5.

Задълженията не се ограничават до търговските производители. Отговорници за софтуер с отворен код носят свои собствени задължения за докладване, доколкото са свързани с продукти с цифрови елементи. Чл. 24(3)

02Трите срока

Всеки доклад се развива в три етапа, измерени от момента, в който узнаете за експлоатираната уязвимост или тежкия инцидент. Сроковете са кратки и именно затова готовността има значение. Чл. 14(2)–(4)

• В рамките на 24 ч.Ранно предупреждение. Първоначално уведомление, че е настъпила активно експлоатирана уязвимост или тежък инцидент, включително, при инцидентите, дали се подозира, че е причинен от неправомерни или злонамерени действия.
• В рамките на 72 ч.Уведомление за уязвимост / инцидент. По-пълно изложение: общото естество на уязвимостта и на експлойта, първоначална оценка и предприетите корективни или смекчаващи мерки, както и тези, които потребителите могат да предприемат.
• Окончателен докладОкончателен доклад. За уязвимост, не по-късно от 14 дни след като стане достъпна корективна или смекчаваща мярка. За тежък инцидент, в рамките на един месец от уведомлението на 72-рия час. В него се излагат пълното описание, тежестта, въздействието и приложеното отстраняване.

Обърнете внимание на асиметрията в последния ред: часовникът при уязвимостите се задейства от наличието на поправка, а при инцидентите, от по-ранното уведомление. Това са различни механики и си струва да бъдат записани поотделно във вашия оперативен наръчник.

03Кога започва

Задълженията за докладване са най-ранната основна част на CRA, която влиза в сила. Докато повечето разпоредби се прилагат от 11 декември 2027 г., член 14 се прилага от 11 септември 2026 г.; 21 месеца след влизането на Акта в сила. ENISA е предвидила единната платформа за докладване да бъде в експлоатация до същата тази дата. Чл. 71

04До кого докладвате

Докладите се изпращат до ENISA и до CSIRT, определен като координатор, чрез единна входна точка, а не с отделни подавания до всеки национален орган. Тази входна точка е единната платформа за докладване, която ENISA създава, управлява и поддържа съгласно член 16. Чл. 14 · 16

Кой CSIRT е вашият, следва от вашето основно място на установяване в Съюза или, когато не сте установени в ЕС, от това на вашия упълномощен представител. Получаващият CSIRT разпространява уведомлението нататък до CSIRTs в държавите членки, в които продуктът се предлага, и до органите за надзор на пазара, когато е необходимо. Чл. 14(7) · 18

Подкрепа съществува и от двете страни. ENISA поддържа бюро за помощ, с особено внимание към МСП, а CSIRTs, определени за координатори също са длъжни да предоставят помощ по задълженията по член 14. ENISA освен това подава отстранените уязвимости към Европейската база данни за уязвимостии публикува на всеки две години технически доклад за тенденциите, като първият се очаква в рамките на 24 месеца от началото на прилагането на задълженията за докладване. Чл. 17(6)

Разпространението на докладвана уязвимост може да бъде спряно от CSIRT, но не и от вас

The receiving CSIRT may delay or withhold onward dissemination on justified cybersecurity grounds, for a period strictly necessary; for example where a vulnerability is inside a coordinated disclosure procedure. The Commission specified the terms in Delegated Regulation (EU) 2026/881, adopted on 11 декември 2025 г.Когато CSIRT задържи уведомление, той трябва незабавно да информира ENISA, като посочи обосновка и кога ще извърши разпространението.

Отделно, при особено изключителни обстоятелства може да отбележите едно от тесните условия по член 16, параграф 2 във вашето уведомление на 72-рия час: че експлоатацията е ограничена до държавата членка на вашия CSIRT, че по-нататъшното разпространение би било в противоречие със съществените интереси на тази държава членка или че разпространението поражда непосредствен висок риск за киберсигурността. Ако го направите, ENISA получава само ограничена информация (че е подадено уведомление, обща информация за продукта, общото естество на експлойта и че са изтъкнати съображения за сигурност), докато CSIRT не освободи пълното уведомление.

05Регистрация в платформата

ENISA's guidance, last updated 3 August 2026, is the first material to show the actual screens. You cannot register on the platform itself until it goes live, but you can decide now who will hold the accounts and get their credentials ready, and you should know the flow before you meet it under a 24-hour clock.

Определете двама души, преди да имате нужда от тях

Платформата предоставя на всеки производител два вида потребителски профил и още днес можете да решите кой ще ги заеме. Основният представител се регистрира първи и създава записа на производителя в платформата. След това това лице кани вторичен представител, който изпълнява резервна роля към същия производител и може да подава от негово име. И двамата са поименно определени служители във вашето дружество. Тъй като подаването е ръчно, единствен определен докладващ, който е в отпуск, спи или е напуснал, е реален оперативен риск, затова третирайте второто място като необходимо, а не като по избор.

EU Login е удостоверението и двамата могат да го създадат още днес

Профилите в платформата се удостоверяват чрез EU Login, общата услуга за вписване на Европейската комисия, използвана в нейните онлайн системи. ENISA заявява, че профилът може да бъде създаден предварително, и това е най-полезното нещо, което можете да направите в момента. Създайте по един за основния и за вторичния представител на ecas.ec.europa.eu, като използвате служебни имейл адреси, които ще съществуват и след година. Комисията обяснява какво представлява EU Login и как се вписва в по-широката ѝ рамка за идентичност на своите страници за надеждна цифрова идентичност .

Процесът на регистрация

При първия достъп до платформата избирате своята роля, избирате своя определен CSIRT from a drop-down, authenticate through EU Login, read and accept the legal agreement, confirm your pre-filled personal details (first name, last name, email, legal name), then enter the manufacturer's name, address and additional information. Omitting a mandatory manufacturer field blocks the flow. On completion your account status is "Active" and you hold the "AR Primary User" role, you receive a confirmation email, and the manufacturer entity is created in the platform.

Тя вторичен представител се присъединява чрез покана по имейл from the primary, confirms the pre-filled personal and manufacturer details, and is registered in the "AR Backup User" role against the same manufacturer. That invitation expires after 7 дни, след което записът се отбелязва като „Invitation Expired“ и трябва да бъде изпратена нова. Настройте резервния потребител в същия работен сеанс като основния; изтекла покана, открита по време на инцидент, е проблем, който може да се избегне.

CSIRT проверява вашия представител ръчно, но това не ви пречи да подадете

Someone has to confirm that a given person really may report on behalf of a given manufacturer, and that check falls to the CSIRT designated as coordinator, which ENISA now abbreviates CDaC. It is a manual step, the procedure varies between CSIRTs, and each CSIRT owns its own approach. Crucially, it happens след първия ви достъп до платформата и протича успоредно with your report. In its update of 3 August 2026 ENISA put this beyond doubt: validation by the CDaC is not a prerequisite for fulfilling the CRA reporting obligation, and does not affect your ability to submit notifications. An unvalidated account can still file inside the 24-hour window.

Именно затова ENISA съветва регистрацията и стартирането на валидирането да се извършват само когато действително се налага да подадете, вместо целият пазар да се регистрира предварително и CSIRTs да бъдат затрупани със спекулативни проверки. Подготовката, която правите предварително, са профилите в EU Login и решението кой заема двете места, а не самата регистрация в платформата.

06Подаване на доклад

Докладването се извършва от табло за управление. Създавате уведомление и след това допълвате същия запис на всеки етап, вместо да подавате три отделни неща. Всеки етап има собствен раздел и всеки може първо да бъде запазен като чернова; черновите са видими само за вас.

• Ранно предупреждениеStart a new notification from the dashboard, complete the mandatory fields, and select an existing manufacturer or add one. On submission it is accessible to your designated CSIRT and, automatically, to ENISA. Email and alert confirmations go to the CSIRT, to ENISA, and to every representative registered for that manufacturer, not only the person who submitted.
• 72 часаДостъпно е само след като съществува ранно предупреждение. Отворете същото уведомление и попълнете раздела за 72 часа. ENISA го получава автоматично, освен ако you invoke the Article 16(2) conditions, in which case the record is flagged "72h Submitted under PEC" and ENISA's view is limited until the CSIRT releases it.
• Окончателен докладOnly available once both earlier stages exist. ENISA receives it automatically unless the Article 16(2) conditions were invoked.

Какво е задължително и кога

ENISA публикува кои полета са задължителни на всеки етап. Таблицата е полезен коректив на едно широко разпространено допускане: ранното предупреждение в рамките на 24 часа е сигнал, а не разследване.

• На 24-ия час; видът и нивото на уведомлението, наименованието на производителя или на отговорника, продуктът и заглавие. При инцидентите, дали се подозират неправомерни или злонамерени действия. Държавите членки, в които продуктът се предлага, се изискват само ако вече разполагате с тази информация.
• На 72-рия час; общото естество на уязвимостта и на експлойта, предприетите корективни или смекчаващи мерки и мерките, които потребителите могат да предприемат. При инцидентите, кога е бил открит и кога е настъпил, както и първоначална оценка. Чувствителността се отбелязва тук.
• В окончателния доклад; пълното описание, тежестта и въздействието, датата, на която корективната мярка е станала достъпна, и подробности за актуализацията на сигурността. При инцидентите, вероятната първопричина и текущите смекчаващи мерки.

Незадължителните полета, които все пак си струва да бъдат попълнени, включват CVE ID и тя EUVD ID, като и двете са достъпни от първия етап.

Редактиране и точката, от която няма връщане

A submitted notification can be updated, and the platform automatically sends an alert and an email to your CSIRT plus ENISA and any CSIRTs that already received it through dissemination. Two limits apply: a закрито уведомление не може да бъде актуализирано, а записът става нередактируем, след като окончателният доклад бъде подаден.

07Какво можете да направите днес

Спазването на 24-часов срок е оперативен, а не документален проблем и почти цялата подготовка е възможна още сега. Нищо от изброеното по-долу не зависи от това платформата да е в експлоатация.

• Създайте своите профили в EU Login. За основния докладващ и поне за един резервен. Отнема минути на ecas.ec.europa.eu и премахва стъпка, която не бихте искали да откриете по време на инцидент.
• Определете своя CSIRT. Той следва основното ви място на установяване в Съюза или това на вашия упълномощен представител, ако сте установени извън ЕС. Пълният списък на координаторите на ENISA тепърва предстои да бъде публикуван, затова запишете обосновката си сега и я потвърдете спрямо списъка, когато той се появи.
• Изградете формуляра за 24 часа вътрешно. Кратък образец, съответстващ на задължителните полета на ENISA за ранното предупреждение, така че първото ви реално подаване да бъде преписване, а не съчиняване.
• Определете хората, включително извън работно време. Решете кой преценява, че се дължи доклад, кой го изготвя и кой го подава. Тъй като няма API, последната стъпка е поименно определен човек пред клавиатурата.
• Поддържайте точен SBOM. Не можете да докладвате за компонент, за който не сте знаели, че сте доставили. Поддържайте списък на софтуерните компоненти и го актуализирайте с промяната на версиите.
• Наблюдавайте го непрекъснато. Съпоставяйте компонентите си с източници за известни уязвимости, така че активно експлоатиран недостатък да излезе наяве за часове, а не за седмици. Нашият SBOM и анализатор на уязвимости следи вашия списък на софтуерните компоненти спрямо NVD и базата данни на ЕС за уязвимости (EUVD).
• Уверете се какво действително попада в обхвата. Етапът на 72-рия час изисква вида на продукта и категорията по приложение III или IV, затова изяснете класификацията, преди да ви потрябва. Нашият инструмент за класификация отговаря на този въпрос, а матрицата за съответствие обвързва докладването с по-широките задължения за управление на уязвимости по Приложение I, в рамките на които се намира.
• Отбележете уебинара в календара си. ENISA възнамерява да проведе такъв две седмици преди платформата да влезе в експлоатация и да публикува кратки обучителни видеоклипове по-близо до старта.

08Следете го при източника

Тази страница отразява положението към 13 August 2026. The platform is still moving, and ENISA edits its pages quietly rather than announcing every change, so the "last updated" stamps on the pages below are worth checking directly. ENISA moved these pages to new addresses on 3 August 2026; the links below are the current ones. These are the primary sources; everything above is our reading of them.

• ENISA · Единна платформа за докладване; the hub page, with the factsheet, the helpdesk address and links to the guidance. Where the public URL will be announced.enisa.europa.eu/topics/product-security/single-reporting-platform-srp
• ENISA · SRP frequently asked questions; legal basis, deadlines, routing, the field table and platform security.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions
• ENISA · Указания за регистрация на потребители в SRP; процесът на регистрация стъпка по стъпка за основни и резервни потребители, със снимки на екрана на интерфейса.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-user-registration
• ENISA · Указания за подаване на уведомления в SRP; как се подават и актуализират ранното предупреждение, уведомлението на 72-рия час и окончателният доклад и какво задейства всеки статус.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-notification-submission-and-update
• Европейска комисия · Задължения за докладване по CRA; страницата за политиката, включително често задаваните въпроси относно прилагането на CRA, чийто раздел 5 обхваща докладването.digital-strategy.ec.europa.eu/en/policies/cra-reporting
• Европейска комисия · Указания за прилагане на CRA (27 юли 2026 г.); точка 9.1 излага задълженията за докладване на производителите и на отговорниците за софтуер с отворен код. Нашето обобщение на указанията обхваща останалото.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
• EU Login; създайте профила, който платформата ще използва. Направете го сега.ecas.ec.europa.eu/cas/login

За обвързващия текст, членове 14 до 17 определят екосистемата на докладването, а член 16 създава платформата; прочетете ги в нашия четец на регламента. Ключовите дати се проследяват на страницата актуално състояние .

09Чести въпроси