Hlášení incidentů a zranitelností podle CRA

01Co je nutné hlásit

Článek 14 Cyber Resilience Act zavádí pro výrobce produktů s digitálními prvky dvě povinnosti hlášení. Jsou užší, než se na první pohled zdá: běžné chyby a obvyklé opravy do jejich rozsahu nespadají. Čl. 14

• Aktivně zneužívané zranitelnosti; zranitelnost ve vašem produktu, u níž existuje spolehlivý důkaz, že ji škodlivý aktér zneužil v systému bez svolení jeho vlastníka. Zranitelnost, kterou objevíte a opravíte dříve, než dojde k jejímu zneužití, se řeší obvyklou cestou, kterou je proces správy zranitelností, nikoli tento oznamovací kanál.
• Závažné incidenty; incident, který nepříznivě ovlivňuje nebo je způsobilý nepříznivě ovlivnit schopnost produktu chránit dostupnost, autenticitu, integritu nebo důvěrnost dat či funkcí. Kritéria závažnosti jsou uvedena v čl. 14 odst. 5.

Tyto povinnosti se neomezují na komerční výrobce. Správci otevřeného softwaru mají vlastní povinnosti hlášení v rozsahu, v jakém se podílejí na produktech s digitálními prvky. Čl. 24(3)

02Tři lhůty

Každé hlášení se skládá ze tří fází, přičemž lhůty se počítají od okamžiku, kdy si uvědomíte zneužitou zranitelnost nebo závažný incident. Lhůty jsou krátké, a právě proto je připravenost důležitá. Čl. 14 odst. 2–4

• Do 24 hVčasné varování. První oznámení o tom, že došlo k aktivně zneužívané zranitelnosti nebo závažnému incidentu, včetně údaje, zda je u incidentů podezření, že byl způsoben protiprávním nebo škodlivým jednáním.
• Do 72 hOznámení zranitelnosti / incidentu. Ucelenější popis: obecná povaha zranitelnosti a zneužití, prvotní posouzení a přijatá nápravná či zmírňující opatření spolu s těmi, která mohou přijmout uživatelé.
• Závěrečná zprávaZávěrečná zpráva. U zranitelnostinejpozději do 14 dní od okamžiku, kdy je k dispozici nápravné či zmírňující opatření. U závažného incidentudo jednoho měsíce od oznámení po 72 hodinách. Uvádí úplný popis, závažnost, dopad a provedenou nápravu.

Povšimněte si asymetrie v posledním řádku: u zranitelnosti spouští hodiny existence opravy, u incidentu dřívější oznámení. Jde o odlišné mechanismy, které se vyplatí zapsat do vašeho postupu odděleně.

03Kdy začíná

Oznamovací povinnosti jsou nejdřívější zásadní částí CRA, která vstupuje v platnost. Zatímco většina ustanovení se uplatňuje od 11. prosince 2027, článek 14 se uplatňuje od 11. září 2026; 21 měsíců po vstupu aktu v platnost. ENISA otevřela jednotnou platformu pro hlášení ke stejnému datu. Čl. 71

04Komu hlášení zasíláte

Hlášení se zasílají ENISA a příslušnému CSIRT určený jako koordinátor, a to prostřednictvím jediného vstupního bodu namísto samostatných podání každému vnitrostátnímu orgánu. Tímto vstupním bodem je jednotná platforma pro hlášení, kterou ENISA zřizuje, spravuje a udržuje podle článku 16. Čl. 14 · 16

Který CSIRT je ten váš, se odvíjí od vaší hlavní provozovny v Unii, nebo, nejste-li usazeni v EU, od provozovny vašeho zplnomocněného zástupce. Přijímající CSIRT předává oznámení dále CSIRTs v členských státech, v nichž je produkt dostupný, a podle potřeby orgánům dozoru nad trhem. Čl. 14(7) · 18

Seznam koordinátorů byl zveřejněn 4. září 2026

Až do 4. září 2026 nebyla zveřejněna odpověď na nejpraktičtější otázku této stránky: který národní tým vaše podání skutečně přijímá. ENISA nyní zveřejnila seznam CSIRTs určených jako koordinátoři s jednou či více kontaktními adresami URL pro každý z 27 členských států, a 10. září 2026 jej přerazítkovala, takže si svůj řádek znovu zkontrolujte, než se spolehnete na dříve pořízenou kopii. Irsko odkazuje na zvláštní stránku NCSC k CRA; Španělsko uvádí dvě samostatné cesty INCIBE, jednu pro incidenty a jednu pro koordinaci zranitelností.

Seznam vám řekne, kdo je koordinátorem každého členského státu. Neřekne vám, který z nich je ten váš, a test podle čl. 14 odst. 7 je užší, než většina organizací předpokládá. Místem vaší hlavní provozovny je členský stát, v němž jsou rozhodnutí o kybernetické bezpečnosti vašich produktů s digitálními prvky přijímána převážně, což může být vývojové pracoviště spíše než sídlo zapsané v rejstříku nebo největší obchodní provoz. Pokud to nelze určit, náhradním kritériem je členský stát s vaším nejvyšším počtem zaměstnanců v EU. Nemáte-li v EU provozovnu vůbec, pořadí je toto: členský stát, v němž váš zplnomocněný zástupce jedná pro nejvíce produktů, poté dovozce uvádějící na trh nejvíce produktů, poté distributor dodávající jich nejvíce a nakonec členský stát s nejvyšším počtem uživatelů. Protože se tím určuje příjemce každého budoucího podání, vyřešte to předem, s právní podporou, a zdůvodnění si písemně zaznamenejte.

Podpora existuje na obou stranách. ENISA provozuje asistenční službu se zvláštním zřetelem k malým a středním podnikům a CSIRTs určené jako koordinátoři jsou povinny poskytovat asistenční podporu i k povinnostem podle článku 14. ENISA rovněž zanáší opravené zranitelnosti do Evropské databáze zranitelnostía jednou za dva roky zveřejňuje technickou zprávu o trendech, přičemž první má vyjít do 24 měsíců od zahájení uplatňování povinností hlášení. Čl. 17(6)

Šíření nahlášené zranitelnosti může pozastavit CSIRT, nikoli vy

Přijímající CSIRT může odložit nebo pozdržet další šíření z odůvodněných důvodů kybernetické bezpečnosti, a to po nezbytně nutnou dobu; například tam, kde je zranitelnost součástí postupu koordinovaného zveřejňování. Podmínky Komise upřesnila v nařízení v přenesené pravomoci (EU) 2026/881, přijatém dne 11. prosince 2025Pokud CSIRT oznámení zadrží, musí to neprodleně sdělit agentuře ENISA spolu s odůvodněním a údajem o tom, kdy je bude šířit.

Odděleně od toho můžete za zcela výjimečných okolností označit jednu z úzce vymezených podmínek podle čl. 16 odst. 2 ve svém oznámení po 72 hodinách: že je zneužívání omezeno na členský stát vašeho CSIRT, že by další šíření bylo v rozporu se základními zájmy tohoto členského státu, nebo že šíření představuje bezprostřední vysoké riziko pro kybernetickou bezpečnost. Pokud tak učiníte, obdrží ENISA pouze omezené informace (že bylo podáno oznámení, obecné informace o produktu, obecnou povahu zneužití a že byly uplatněny bezpečnostní důvody), dokud CSIRT úplné oznámení neuvolní.

05Registrace na platformě

Návod agentury ENISA k registraci, přerazítkovaný 10. září 2026, a její návod k rozhraní, přerazítkovaný 9. září 2026, ukazují skutečné obrazovky. Registrace byla otevřena spolu s platformou 11. září 2026, takže jde nyní o postup, kterým lze skutečně projít, nikoli jen o něm číst. ENISA vás přesto žádá, abyste se neregistrovali předem, a to z důvodu uvedeného níže, což činí předchozí znalost postupu spíše užitečnější než méně užitečnou: poprvé jím možná půjdete pod 24hodinovými hodinami.

Určete dva lidi dříve, než je budete potřebovat

Platforma dává každému výrobci dva druhy uživatelských účtů a o jejich obsazení můžete rozhodnout již dnes. Primární zástupce se registruje jako první a vytváří v platformě záznam výrobce. Tato osoba poté odešle pozvánku dalšímu uživateli, kterým je sekundární zástupce, který zastává záložní roli u téhož výrobce a může za něj podávat hlášení. Oba jsou jmenovitě určenými osobami ve vaší společnosti. Protože je podání ruční, představuje jediný určený ohlašovatel, který je na dovolené, spí nebo odešel, skutečné provozní riziko; berte proto druhé místo jako nezbytné, nikoli volitelné.

Přihlašovacím údajem je EU Login a oba lidé si jej mohou vytvořit již dnes

Účty na platformě se ověřují prostřednictvím EU Login, sdílené přihlašovací služby Evropské komise používané napříč jejími online systémy. Vytvořte jeden pro primárního a jeden pro sekundárního zástupce na ecas.ec.europa.eu, a to s pracovními e-mailovými adresami, které budou existovat i za rok. Vícefaktorové ověřování je povinné: ENISA vyžaduje MFA na účtu EU Login před prvním přístupem k platformě, takže pokud vaši lidé již mají běžné účty EU Login, nechte je zapnout MFA nyní, nikoli až během incidentu. Účty EU Login jsou osobní a ENISA nad nimi neprovozuje žádné samostatné firemní ověřování. Co je EU Login a jak zapadá do jejího širšího rámce identity, vysvětluje Komise na svých stránkách důvěryhodná digitální identita .

Průběh registrace

Při prvním přístupu na platformu zvolíte svou roli, vyberete z rozbalovací nabídky svůj určený CSIRT , ověříte se prostřednictvím EU Login, přečtete si a přijmete právní ujednání, potvrdíte předvyplněné osobní údaje (jméno, příjmení, e-mail, právní název) a poté zadáte název, adresu a doplňující informace výrobce. Vynechání povinného pole u výrobce postup zablokuje. Po dokončení má váš účet stav "Active" a získáváte roli "AR Primary User" , obdržíte potvrzovací e-mail a v platformě vznikne subjekt výrobce.

K sekundární zástupce se připojuje prostřednictvím e-mailové pozvánky od primárního zástupce, potvrdí předvyplněné osobní údaje a údaje o výrobci a je zaregistrován v roli "AR Backup User" u téhož výrobce. Platnost této pozvánky vyprší po 7 dnech; poté je záznam označen jako „Invitation Expired“ a musí být odeslána nová. Nastavte záložního uživatele při stejné příležitosti jako primárního; propadlá pozvánka objevená uprostřed incidentu je zbytečný problém.

CSIRT ověřuje vašeho zástupce ručně, to vám však nebrání v podání

Někdo musí potvrdit, že daná osoba skutečně smí podávat hlášení jménem daného výrobce, a tato kontrola připadá na CSIRT určený jako koordinátor, který ENISA nyní zkracuje na CDaC. Jde o ruční krok, postup se mezi jednotlivými CSIRTs liší a každý CSIRT má vlastní přístup. Podstatné je, že probíhá až po vašem prvním přístupu na platformu a běží souběžně s vaším hlášením. V aktualizaci z 3. srpna 2026 ENISA postavila najisto: ověření ze strany CDaC není podmínkou splnění ohlašovací povinnosti podle CRA, a neovlivňuje vaši schopnost podávat oznámení. I neověřený účet může podat v rámci 24hodinové lhůty.

Právě proto ENISA doporučuje registrovat se a zahajovat ověřování teprve tehdy, kdy skutečně potřebujete podat, namísto předběžné registrace celého trhu a zahlcení CSIRTs spekulativními kontrolami. Příprava, kterou uděláte předem, spočívá v účtech EU Login a v rozhodnutí, kdo obsadí obě místa, nikoli v samotné registraci na platformě.

Jeden účet může držet několik výrobců

Tytéž pokyny popisují organizační náležitosti kolem obou míst. Primární zástupce zve záložního pomocí e-mailové adresy, čímž vznikne záznam označený "Pending Invitation" bez role, dokud není přijata. Sekundární zástupce může požádat o povýšení na primárního, což jde k posouzení CDaC. ENISA to formalizovala 17. září 2026, když otázku 9 v FAQ označila jako „[AKTUALIZOVÁNO]“ s tím, že sekundární AR „nemá stejná administrativní oprávnění jako primární AR, ale může požádat o roli primárního AR, s výhradou posouzení a schválení určeným CSIRT“. Kterýkoli z nich může přiřazení odstranit, které je pak označeno "Deleted". A jediný účet může nést přiřazení k několika výrobcům, z nichž každé se přidává přes Association Management a každé se ověřuje samostatně.

Tento poslední bod je důležitý pro skupiny s několika výrobními subjekty a pro firmy jednající podle článku 18 za výrobce usazené mimo EU. Právě zde také nejcitelněji doléhá níže popsaná past v pojmenování.

06Podání hlášení

Hlášení se provádí z přehledového panelu. Vytvoříte oznámení a poté v každé fázi doplňujete tentýž záznam, místo abyste podávali tři samostatné věci. Každá fáze má vlastní záložku a každou lze nejprve uložit jako koncept. V přehledovém panelu lze vyhledávat podle ID oznámení, výrobce nebo názvu, řadit podle názvu nebo poslední aktualizace a filtrovat podle členského státu, typu podání nebo příznaku Action Required .

• Včasné varováníZaložte nové oznámení z přehledového panelu, vyplňte povinná pole a zvolte existujícího výrobce nebo nějakého přidejte. Po podání je přístupné vašemu určenému CSIRT a automaticky agentuře ENISA. Potvrzení e-mailem a upozorněním jdou CSIRT, agentuře ENISA a každému zástupci registrovanému u daného výrobce, nejen osobě, která podání provedla.
• 72 hodinK dispozici až tehdy, když existuje včasné varování. Otevřete totéž oznámení a vyplňte záložku pro 72 hodin. ENISA je obdrží automaticky, ledaže se dovoláte podmínek podle čl. 16 odst. 2; v takovém případě je záznam označen jako "72h Submitted under PEC" a pohled agentury ENISA je omezen, dokud jej CSIRT neuvolní.
• Závěrečná zprávaDostupná až tehdy, kdy existují obě předchozí fáze. ENISA ji obdrží automaticky, ledaže byly uplatněny podmínky podle čl. 16 odst. 2.

Co je povinné a kdy

ENISA zveřejnila, která pole jsou v jednotlivých fázích povinná. Tabulka je užitečnou opravou rozšířeného předpokladu: včasné varování do 24 hodin je výstraha, nikoli vyšetřování.

• Po 24 hodinách; typ a úroveň oznámení, název výrobce nebo správce, produkt a nadpis. U incidentů údaj, zda je podezření na protiprávní nebo škodlivé jednání. Členské státy, v nichž je produkt dostupný, se vyžadují jen tehdy, máte-li tento údaj již k dispozici.
• Po 72 hodinách; obecná povaha zranitelnosti a zneužití, přijatá nápravná či zmírňující opatření a opatření, která mohou přijmout uživatelé. U incidentů, kdy byl zjištěn a kdy nastal, a dále prvotní posouzení. Zde se označuje citlivost.
• U závěrečné zprávy; úplný popis, závažnost a dopad, datum, kdy bylo nápravné opatření k dispozici, a podrobnosti o bezpečnostní aktualizaci. U incidentů pravděpodobná hlavní příčina a probíhající zmírňující opatření.

K nepovinným polím, která se přesto vyplatí zaznamenat, patří CVE ID a k EUVD ID, obojí dostupné již od první fáze.

Každé pole má limit počtu znaků a jeden z nich je velmi krátký

Glosář SRP agentury ENISA, poprvé s velikostmi polí ve verzi 1.1 z 5. září 2026 a nyní ve verzi 1.3 z 10. září 2026, je dokument ENISA, který zveřejňuje velikost každého pole. Napište své interní šablony podle těchto limitů, místo abyste je objevovali ve dvě hodiny ráno:

• 4000 znaků pro textová pole: shrnutí, obecné informace o zranitelnosti nebo incidentu, nápravná opatření, která mohou přijmout uživatelé, úplné popisy závažnosti a dopadu, prvotní posouzení a u incidentů uplatněná a probíhající zmírňující opatření.
• 2000 znaků pro nápravná či zmírňující opatření, která jste již přijali, a pro podrobnosti o bezpečnostní aktualizaci nebo nápravném opatření v závěrečné zprávě.
• 800 znaků pro volné textové odůvodnění, které doprovází žádost PEC u 72hodinového oznámení zranitelnosti.
• 255 znaků pro název, název produktu, rozsah verzí produktu, název komponenty, vektor útoku, odůvodnění citlivosti a pravděpodobnou hlavní příčinu.
• 100 znaků pro škodlivého aktéra, který zranitelnost zneužil. To je zhruba jeden řádek, počítejte proto s tím, že aktéra pojmenujete nebo odkážete na referenci indikátoru, místo abyste popisovali celou kampaň.

Glosář potvrzuje i jednu drobnou úlevu: pole Členské státy, v nichž je produkt dostupný přichází předvyplněné vaším vlastním koordinujícím CSIRT a ostatní trhy doplníte sami.

Úpravy a bod, odkud není návratu

Podané oznámení lze aktualizovat a platforma automaticky odešle upozornění a e-mail vašemu CSIRT, agentuře ENISA i všem CSIRTs, které je již obdržely v rámci šíření. Platí dvě omezení: uzavřené oznámení nelze aktualizovat a záznam se stává neupravitelným, jakmile je podána závěrečná zpráva.

Sledujte záložku upozornění, i o víkendu

Každý účet má záložku Alerts , barevně odlišenou: nepřečtená upozornění jsou světle modrá a po otevření zšednou, a červená upozornění se objevují pouze tehdy, když se stalo něco výjimečného. Příkladem, který ENISA uvádí, je určený CSIRT, který podání zneplatnil. Podání tedy není koncem výměny a žádná lhůta podle článku 14 se neposouvá tím, že se vám oznámení vrátilo. Kdo tuto záložku sleduje, musí ji sledovat i mimo pracovní dobu, což je další argument pro sledovanou týmovou schránku za oběma místy namísto dvou osobních adres.

72hodinové počítadlo platformy nepočítá od okamžiku zjištění

Často kladené otázky prozrazují, jak se odpočty na obrazovce skutečně chovají, a zákonné lhůtě neodpovídají. ENISA aktualizovala často kladené otázky dne 10. září 2026, den před otevřením, a tuto odpověď ponechala beze změny, takže chování popsané zde je chováním, které bylo skutečně spuštěno. V současném vydání 72hodinové počítadlo zobrazuje termín 48 hodin po podání 24hodinového hlášení, nikoli 72 hodin poté, co jste se o věci dozvěděli. ENISA výslovně uvádí, že oznámení se proto může jevit jako po termínu dříve, než uplyne 72 hodin od okamžiku zjištění, a že tato logika bude v pozdějším vydání změněna tak, aby počítala od pole „datum a čas, kdy jste se o věci dozvěděli“, a to jak u zranitelností, tak u incidentů.

Počítadla závěrečné zprávy se liší znovu. V případě závažného incidentu počítadlo ukazuje jeden měsíc po oznámení po 72 hodinách. V případě aktivně zneužívané zranitelnosti není žádné počítadlo, protože lhůta závisí na tom, kdy bude k dispozici nápravné opatření, což platforma nemůže vědět.

Při spuštění platforma nezaznamenává, kdy jste se o věci dozvěděli

Dne 5. září 2026 ENISA nahradila svůj pole po poli zpracovaný Glosář SRP verzí 1.1 a dvě poznámky pod čarou v něm váží více než cokoli jiného na této stránce. U aktivně zneužívané zranitelnosti nese pole Date/time when you become aware poznámku, že bude k dispozici v příštím vydání platformy. U závažného incidentu poznámka uvádí, že v současném vydání se odpovídající pole jmenuje Date/time the incident was detected.

Postaveno vedle logiky počítadel výše se tím kruh uzavírá. Často kladené otázky uváděly, že 72hodinové počítadlo bude opraveno, jakmile pole o dozvědění se dorazí; glosář uváděl, že pole přijde v pozdějším vydání. Ani jedno se před otevřením nepohnulo: ENISA glosář znovu revidovala na verzi 1.3 dne 10. září 2026 a obě poznámky pod čarou ponechala beze změny. Od prvního dne tedy platforma u zranitelností nezaznamenává žádné časové razítko dozvědění se vůbec a u incidentů zaznamenává okamžik zjištění, což není okamžik dozvědění se.

07Co můžete udělat dnes

Dodržení 24hodinové lhůty je provozní problém, nikoli papírování. Nyní, když je platforma otevřena, není seznam níže již přípravou na budoucí událost; povinnost běží a cokoli zde, co jste neudělali, je expozice, nikoli plán.

• Vytvořte si účty EU Login se zapnutým MFA. Pro primárního ohlašovatele a alespoň jednu záložní osobu. Zabere to pár minut na ecas.ec.europa.eu, a platforma nikoho nevpustí bez vícefaktorového ověřování, takže jeho zapnutí je součástí úkolu, nikoli jeho vylepšením.
• Určete svůj CSIRT. ENISA zveřejnila seznam koordinátorů pro všech 27 členských států dne 4. září 2026, takže tento úkol lze nyní dokončit. Použijte test hlavní provozovny podle čl. 14 odst. 7, vyberte svůj řádek a zdůvodnění si písemně zaznamenejte.
• Vytvořte si 24hodinový formulář interně. Krátká šablona odpovídající povinným polím včasného varování podle ENISA, aby vaše první skutečné podání bylo opisem, nikoli tvorbou textu. Uchovávejte ji tam, kde ji mohou otevřít oba zástupci, protože koncepty na platformě vidí pouze ten, kdo je vytvořil.
• Určete jmenovitě lidi, i mimo pracovní dobu. Rozhodněte, kdo posoudí, že je hlášení namístě, kdo je připraví a kdo je podá. Protože neexistuje API, je posledním krokem konkrétní člověk u klávesnice.
• Udržujte přesný SBOM. Nemůžete hlásit komponentu, o níž jste nevěděli, že jste ji dodali. Udržujte soupis softwarových komponent a průběžně jej aktualizujte, jak se mění vydání.
• Sledujte jej průběžně. Porovnávejte své komponenty se zdroji známých zranitelností, aby se aktivně zneužívaná chyba objevila během hodin, nikoli týdnů. Náš SBOM a analyzátor zranitelností porovnává váš soupis komponent s NVD a s databází zranitelností EU (EUVD).
• Ujasněte si, co skutečně spadá do rozsahu. Fáze po 72 hodinách se ptá na typ produktu a kategorii podle přílohy III nebo IV, vyřešte proto zařazení dříve, než jej budete potřebovat. Náš klasifikační nástroj na to odpovídá a matice shody váže hlášení na širší povinnosti správy zranitelností podle Přílohy I, jejichž je součástí.
• Rozhodněte, kdo čte záložku upozornění mimo pracovní dobu. Určený CSIRT může podání zneplatnit a upozornění, které to sděluje, přistane na platformě, nikoli jen ve vaší schránce. Za obě místa zástupců postavte sledovanou schránku.
• Nespoléhejte na odpočet platformy. Časové razítko okamžiku zjištění si zaznamenejte sami. 72hodinové počítadlo na obrazovce běží od podání 24hodinového hlášení, nikoli od okamžiku zjištění, takže může podání označit jako po termínu dříve, než uplyne zákonná lhůta.
• Read the AR User Manual, and watch the tutorial video. ENISA published the manual at launch and added the AR User Tutorial Video within days, so between the two, plus the guidance pages, you have the fullest available description of the live platform.
• Než podáte, ověřte, že jste vybrali správného koordinátora. ENISA nyní varuje, že výběr nesprávného CSIRT určeného jako koordinátor může vést k zneplatnění oznámení, takže je budete muset podat znovu tomu správnému, zatímco hodiny stále běží.

08Sledujte to u zdroje

Tato stránka odráží stav k 11. září 2026, ke dni, kdy byla platforma otevřena. Stav se bude dále měnit a ENISA své stránky upravuje potichu, místo aby každou změnu oznamovala. V týdnu před spuštěním byly často kladené otázky 4. září 2026 přepsány a 10. září 2026 znovu aktualizovány, seznam koordinátorů se objevil 4. září 2026 a 10. září 2026 byl přerazítkován, glosář dosáhl verze 1.1 dne 5. září 2026 a verze 1.3 dne 10. září 2026, návod ke zvláště výjimečným okolnostem přišel 9. září 2026 a příručka AR User Manual a podmínky platformy byly zveřejněny 10. září 2026. Od spuštění byly FAQ znovu aktualizovány 12. září 2026 (výukové video pro AR bylo zveřejněno a informační list SRP vyšel v dalších devíti jazycích) a 17. září 2026, kdy byla otázka 9 označena jako „[AKTUALIZOVÁNO]“ s cílem zdokumentovat, že sekundární AR může požádat o roli primárního AR, s výhradou posouzení ze strany CDaC. Pro dotazy na podporu zveřejňuje ENISA na rozcestníkové stránce adresu asistenční služby, cra-srp-helpdesk [at] enisa.europa.eu. Toto jsou primární zdroje; vše výše uvedené je naše čtení těchto zdrojů.

• ENISA · Samotná jednotná platforma pro hlášení (v provozu od 11. září 2026); zvolte roli Assigned Representative a přihlaste se přes EU Login s vícefaktorovým ověřováním. Zde se podávají oznámení.portal.cra-srp.enisa.europa.eu
• ENISA · Jednotná platforma pro hlášení; rozcestníková stránka s informačním přehledem, uživatelskou příručkou, adresou asistenční služby a odkazy na každou návodnou stránku.enisa.europa.eu/topics/product-security/single-reporting-platform-srp
• ENISA · Často kladené otázky k SRP (aktualizováno 10. září 2026); právní základ, lhůty, směrování, tabulka polí, logika počítadel, co dělat při výpadku a adresa platformy. Přepsáno 4. září a rozšířeno den před spuštěním. Nejaktuálnější ze stránek ENISA k SRP a ta, které dát přednost, pokud si odporují.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions
• ENISA · CRA SRP AR User Manual (10. září 2026); příručka ze dne spuštění pro Assigned Representatives a nejúplnější jednotlivý popis platformy tak, jak se skutečně otevřela.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-ar-user-manual
• ENISA · Seznam CSIRTs určených jako koordinátoři (zveřejněno 4. září 2026, aktualizováno 10. září 2026); kontaktní místa pro všech 27 členských států. Svůj řádek určete pomocí testu podle čl. 14 odst. 7 v oddíle 04.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/list-of-csirts-designated-as-coordinators
• ENISA · Glosář CRA SRP (verze 1.3, 10. září 2026); pokyny pole po poli k tomu, co jednotlivá pole hlášení znamenají, jak je vyplnit, jaký formát se očekává, jaký mají limit znaků a v jaké fázi se uplatní. Všimněte si adresy: ENISA přesunula glosář na URL glossary2 a na starší se stále odkazuje z některých jejích vlastních stránek, ověřte si proto řádek s verzí nahoře, než se na kopii spolehnete.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-glossary2
• ENISA · Pokyny k registraci uživatelů SRP; postup registrace krok za krokem pro primární a záložní uživatele, se snímky obrazovky rozhraní.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-user-registration
• ENISA · Pokyny k podávání oznámení v SRP; jak se podává a aktualizuje včasné varování, oznámení po 72 hodinách a závěrečná zpráva a co který stav spouští.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-notification-submission-and-update
• ENISA · Pokyny k funkcím rozhraní SRP (9. září 2026); nastavení, propojení s výrobci, přehledová obrazovka a záložka upozornění. Přerazítkována v samotný den spuštění a nyní se shoduje s často kladenými otázkami v tom, že neověřené propojení může podat až 20 oznámení.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-interface-functions
• ENISA · Podmínky CRA SRP (verze 1.0, 10. září 2026); podmínky, které přijímáte při registraci na platformě, zveřejněné den předtím, než byla otevřena.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-single-reporting-platform-terms-and-conditions
• ENISA · Pokyny ke zcela výjimečným okolnostem v SRP (9. září 2026); kdy se PEC uplatní, přepínač a důvody odkladu ve formuláři pro 72 hodin a co koordinující CSIRT s odůvodněním dělá. Pátá stránka s pokyny a jediná, která se PEC věnuje přímo.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-particular-exceptional-circumstances-pec
• Evropská komise · Povinnosti hlášení podle CRA; stránka věnovaná politice, včetně často kladených otázek k provádění CRA, jejichž oddíl 5 se týká hlášení. Komise tuto stránku aktualizovala 11. září 2026, aby potvrdila, že platforma je již v provozu, a samostatný dokument s často kladenými otázkami Komise byl naposledy aktualizován 4. září 2026.digital-strategy.ec.europa.eu/en/policies/cra-reporting
• Evropská komise · Pokyny k uplatňování CRA (27. července 2026); bod 9.1 stanoví povinnosti hlášení výrobců a správců otevřeného softwaru. Naše shrnutí pokynů pokrývá zbytek.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
• EU Login; vytvořte účet, který platforma používá, a zapněte na něm vícefaktorové ověřování. Udělejte to nyní.ecas.ec.europa.eu/cas/login

Závazné znění naleznete v článcích 14 až 17, které stanoví ekosystém hlášení, a v článku 16, který zřizuje platformu; přečtěte si je v naší čtečce nařízení. Klíčová data sledujeme na stránce aktuální stav .

09Časté otázky