Αναφορά συμβάντων και ευπαθειών CRA

01Τι πρέπει να αναφέρεται

Άρθρο 14 του Πράξη για την Κυβερνοανθεκτικότητα δημιουργεί δύο υποχρεώσεις αναφοράς για τους κατασκευαστές προϊόντων με ψηφιακά στοιχεία. Είναι στενότερες από ό,τι φαίνονται αρχικά: τα συνήθη σφάλματα και οι τακτικές διορθώσεις δεν εμπίπτουν στο πεδίο εφαρμογής. Άρθ. 14

• Ενεργά εκμεταλλευόμενες ευπάθειες· μια ευπάθεια στο προϊόν σας για την οποία υπάρχουν αξιόπιστα στοιχεία ότι κακόβουλος δράστης την εκμεταλλεύτηκε σε σύστημα χωρίς την άδεια του ιδιοκτήτη. Μια ευπάθεια που εντοπίζετε και διορθώνετε πριν εκμεταλλευτεί αντιμετωπίζεται από τη συνήθη διαδικασία διαχείρισης ευπαθειών, όχι μέσω αυτού του καναλιού αναφοράς.
• Σοβαρά συμβάντα· ένα συμβάν που επηρεάζει αρνητικά, ή είναι ικανό να επηρεάσει αρνητικά, την ικανότητα του προϊόντος να προστατεύει τη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα ή την εμπιστευτικότητα δεδομένων ή λειτουργιών. Τα κριτήρια σοβαρότητας βρίσκονται στο άρθρο 14(5).

Οι υποχρεώσεις δεν περιορίζονται στους εμπορικούς κατασκευαστές. Θεματοφύλακες λογισμικού ανοικτού κώδικα φέρουν δικές τους υποχρεώσεις αναφοράς στον βαθμό που εμπλέκονται με προϊόντα με ψηφιακά στοιχεία. Άρθ. 24(3)

02Οι τρεις προθεσμίες

Κάθε αναφορά αναπτύσσεται σε τρία στάδια, μετρούμενα από τη στιγμή που λάβετε γνώση της εκμεταλλευόμενης ευπάθειας ή του σοβαρού συμβάντος. Τα χρονικά παράθυρα είναι στενά, γι' αυτό και η ετοιμότητα έχει σημασία. Άρθ. 14(2)–(4)

• Εντός 24ωΈγκαιρη προειδοποίηση. Μια πρώτη κοινοποίηση ότι σημειώθηκε ενεργά εκμεταλλευόμενη ευπάθεια ή σοβαρό συμβάν, συμπεριλαμβανομένου, για τα συμβάντα, του κατά πόσον υπάρχει υποψία ότι οφείλεται σε παράνομες ή κακόβουλες πράξεις.
• Εντός 72ωΚοινοποίηση ευπάθειας / συμβάντος. Μια πληρέστερη περιγραφή: η γενική φύση της ευπάθειας και της εκμετάλλευσης, μια αρχική εκτίμηση, καθώς και τα διορθωτικά ή μετριαστικά μέτρα που λήφθηκαν και εκείνα που μπορούν να λάβουν οι χρήστες.
• Τελική έκθεσηΤελική έκθεση. Για ευπάθεια, το αργότερο 14 ημέρες μετά τη διαθεσιμότητα διορθωτικού ή μετριαστικού μέτρου. Για σοβαρό συμβάν, εντός ενός μήνα από την κοινοποίηση των 72 ωρών. Καθορίζει την πλήρη περιγραφή, τη σοβαρότητα, τον αντίκτυπο και την αποκατάσταση που εφαρμόστηκε.

Σημειώστε την ασυμμετρία στην τελευταία γραμμή: το χρονόμετρο της ευπάθειας ενεργοποιείται από την ύπαρξη διόρθωσης, ενώ του συμβάντος από την προηγούμενη κοινοποίηση. Πρόκειται για διαφορετικούς μηχανισμούς και αξίζει να καταγραφούν χωριστά στο εγχειρίδιο διαδικασιών σας.

03Πότε αρχίζει

Οι υποχρεώσεις αναφοράς είναι το πρώτο κύριο τμήμα του CRA που τίθεται σε ισχύ. Ενώ οι περισσότερες διατάξεις ισχύουν από τις 11 Δεκεμβρίου 2027, το Άρθρο 14 ισχύει από 11 Σεπτεμβρίου 2026· 21 μήνες μετά την έναρξη ισχύος της Πράξης. Ο ENISA άνοιξε την Ενιαία Πλατφόρμα Αναφοράς την ίδια ακριβώς ημερομηνία. Άρθ. 71

04Σε ποιον υποβάλλετε αναφορά

Οι αναφορές αποστέλλονται στο ENISA και στο CSIRT που έχει οριστεί ως συντονιστής, μέσω ενός ενιαίου σημείου εισόδου και όχι με χωριστές υποβολές προς κάθε εθνική αρχή. Το σημείο αυτό είναι η Ενιαία Πλατφόρμα Αναφοράς, την οποία ο ENISA θεσπίζει, διαχειρίζεται και συντηρεί βάσει του άρθρου 16. Άρθ. 14 · 16

Το CSIRT που σας αντιστοιχεί ακολουθεί την κύρια εγκατάστασή σας στην Ένωση ή, εφόσον δεν είστε εγκατεστημένοι στην ΕΕ, εκείνη που έχει ο δικός σας εξουσιοδοτημένος αντιπρόσωπος. Η παραλήπτρια CSIRT διαβιβάζει περαιτέρω την κοινοποίηση στις CSIRT των κρατών μελών όπου διατίθεται το προϊόν, καθώς και στις αρχές εποπτείας της αγοράς όπου χρειάζεται. Άρθ. 14(7) · 18

Ο κατάλογος των συντονιστών δημοσιεύθηκε στις 4 Σεπτεμβρίου 2026

Έως τις 4 Σεπτεμβρίου 2026 δεν υπήρχε δημοσιευμένη απάντηση στο πιο πρακτικό ερώτημα αυτής της σελίδας: ποια εθνική ομάδα παραλαμβάνει στην πραγματικότητα την υποβολή σας. Ο ENISA έχει πλέον δημοσιεύσει κατάλογο των CSIRT που έχουν οριστεί ως συντονιστές που δίνει μία ή περισσότερες διευθύνσεις επικοινωνίας για καθένα από τα 27 κράτη μέλη, και του έδωσε νέα σήμανση στις 10 Σεπτεμβρίου 2026, οπότε ελέγξτε ξανά τη γραμμή σας προτού βασιστείτε σε αντίγραφο που πήρατε νωρίτερα. Η Ιρλανδία παραπέμπει σε ειδική σελίδα του NCSC για τον CRA· η Ισπανία δίνει δύο χωριστές οδούς INCIBE, μία για συμβάντα και μία για τον συντονισμό ευπαθειών.

Ο κατάλογος σας λέει ποιος είναι ο συντονιστής κάθε κράτους μέλους. Δεν σας λέει ποιος είναι ο δικός σας, και το κριτήριο του άρθρου 14(7) είναι στενότερο από ό,τι υποθέτουν οι περισσότεροι οργανισμοί. Η κύρια εγκατάστασή σας είναι το κράτος μέλος στο οποίο οι αποφάσεις για την κυβερνοασφάλεια των προϊόντων σας με ψηφιακά στοιχεία λαμβάνονται κατά κύριο λόγο, το οποίο μπορεί να είναι τόπος ανάπτυξης και όχι η καταστατική έδρα ή η μεγαλύτερη εμπορική δραστηριότητα. Όπου αυτό δεν μπορεί να προσδιοριστεί, εναλλακτικά ισχύει το κράτος μέλος με τον μεγαλύτερο αριθμό εργαζομένων σας στην ΕΕ. Χωρίς καμία εγκατάσταση στην ΕΕ, η σειρά είναι: το κράτος μέλος όπου ο εξουσιοδοτημένος αντιπρόσωπός σας ενεργεί για τα περισσότερα προϊόντα, στη συνέχεια ο εισαγωγέας που διαθέτει τα περισσότερα προϊόντα στην αγορά, στη συνέχεια ο διανομέας που καθιστά διαθέσιμα τα περισσότερα, και τέλος το κράτος μέλος με τους περισσότερους χρήστες. Επειδή αυτό καθορίζει τον παραλήπτη για κάθε μελλοντική υποβολή, τακτοποιήστε το εκ των προτέρων, με νομική συνδρομή, και καταγράψτε το σκεπτικό.

Υπάρχει υποστήριξη και από τις δύο πλευρές. ENISA λειτουργεί γραφείο υποστήριξης, με ιδιαίτερη προσοχή στις ΜΜΕ, και τα CSIRT που έχουν οριστεί ως συντονιστές υποχρεούνται επίσης να παρέχουν υποστήριξη για τις υποχρεώσεις του άρθρου 14. Ο ENISA τροφοδοτεί επίσης τις διορθωμένες ευπάθειες στην Ευρωπαϊκή Βάση Δεδομένων Ευπαθειών, και δημοσιεύει ανά διετία τεχνική έκθεση τάσεων, η πρώτη εκ των οποίων οφείλεται εντός 24 μηνών από την έναρξη των υποχρεώσεων αναφοράς. Άρθ. 17(6)

Η διάδοση μιας αναφερθείσας ευπάθειας μπορεί να ανασταλεί από την CSIRT, όχι όμως από εσάς

Η παραλήπτρια CSIRT μπορεί να καθυστερήσει ή να παρακρατήσει την περαιτέρω διάδοση για δικαιολογημένους λόγους κυβερνοασφάλειας, για χρονικό διάστημα αυστηρά αναγκαίο· για παράδειγμα, όταν μια ευπάθεια βρίσκεται εντός διαδικασίας συντονισμένης γνωστοποίησης. Η Επιτροπή καθόρισε τους όρους στον κατ' εξουσιοδότηση κανονισμό (ΕΕ) 2026/881, που εκδόθηκε στις 11 Δεκεμβρίου 2025. Όταν μια CSIRT παρακρατεί κοινοποίηση, οφείλει να ενημερώσει αμέσως τον ENISA, με αιτιολόγηση και ένδειξη του πότε θα προβεί στη διάδοση.

Χωριστά, σε ιδιαίτερα εξαιρετικές περιστάσεις μπορείτε να επισημάνετε μία από τις στενά οριοθετημένες προϋποθέσεις στο άρθρο 16(2) στην κοινοποίησή σας των 72 ωρών: ότι η εκμετάλλευση περιορίζεται στο κράτος μέλος της CSIRT σας, ότι η περαιτέρω διάδοση θα ήταν αντίθετη προς τα ουσιώδη συμφέροντα του κράτους μέλους αυτού, ή ότι η διάδοση ενέχει επικείμενο υψηλό κίνδυνο για την κυβερνοασφάλεια. Εάν το πράξετε, ο ENISA λαμβάνει μόνο περιορισμένες πληροφορίες (ότι έγινε κοινοποίηση, γενικές πληροφορίες για το προϊόν, τη γενική φύση της εκμετάλλευσης και ότι προβλήθηκαν λόγοι ασφάλειας) έως ότου η CSIRT αποδεσμεύσει την πλήρη κοινοποίηση.

05Εγγραφή στην πλατφόρμα

Οι οδηγίες του ENISA για την εγγραφή, με νέα σήμανση της 10ης Σεπτεμβρίου 2026, και οι οδηγίες του για τη διεπαφή, με νέα σήμανση της 9ης Σεπτεμβρίου 2026, δείχνουν τις πραγματικές οθόνες. Η εγγραφή άνοιξε μαζί με την πλατφόρμα στις 11 Σεπτεμβρίου 2026, οπότε πρόκειται πλέον για διαδικασία που μπορείτε να διανύσετε και όχι απλώς να διαβάσετε γι' αυτήν. Ο ENISA ωστόσο σας ζητά να μην εγγραφείτε προληπτικά, για τον λόγο που εκτίθεται παρακάτω, γεγονός που καθιστά τη γνώση της διαδικασίας εκ των προτέρων περισσότερο και όχι λιγότερο χρήσιμη: την πρώτη φορά που θα την ακολουθήσετε ενδέχεται κάλλιστα να τρέχει ρολόι 24 ωρών.

Ορίστε δύο πρόσωπα πριν τα χρειαστείτε

Η πλατφόρμα δίνει σε κάθε κατασκευαστή δύο είδη λογαριασμού χρήστη, και μπορείτε να αποφασίσετε σήμερα ποιος τα καλύπτει. Ένας πρωτεύων εκπρόσωπος εγγράφεται πρώτος και δημιουργεί την καταχώριση του κατασκευαστή στην πλατφόρμα. Στη συνέχεια, το πρόσωπο αυτό αποστέλλει πρόσκληση. Το δευτερεύον πρόσωπο έχει εφεδρικό ρόλο έναντι του ίδιου κατασκευαστή και μπορεί να υποβάλλει για λογαριασμό του. Και τα δύο είναι επώνυμα άτομα της εταιρείας σας. Δεδομένου ότι η υποβολή είναι χειροκίνητη, ένας μοναδικός ορισμένος αναφέρων που βρίσκεται σε άδεια, κοιμάται ή έχει αποχωρήσει αποτελεί πραγματικό λειτουργικό κίνδυνο· αντιμετωπίστε επομένως τη δεύτερη θέση ως αναγκαία και όχι ως προαιρετική.

Το EU Login είναι το διαπιστευτήριο, και τα δύο πρόσωπα μπορούν να το δημιουργήσουν σήμερα

Οι λογαριασμοί της πλατφόρμας ταυτοποιούνται μέσω του EU Login, της κοινής υπηρεσίας σύνδεσης της Ευρωπαϊκής Επιτροπής που χρησιμοποιείται σε όλα τα διαδικτυακά της συστήματα. Δημιουργήστε έναν για τον πρωτεύοντα εκπρόσωπο και έναν για τον δευτερεύοντα στο ecas.ec.europa.eu, χρησιμοποιώντας εταιρικές διευθύνσεις ηλεκτρονικού ταχυδρομείου που θα εξακολουθούν να υπάρχουν σε έναν χρόνο. Ο έλεγχος ταυτότητας πολλαπλών παραγόντων είναι υποχρεωτικός: ο ENISA απαιτεί MFA στον λογαριασμό EU Login πριν από την πρώτη πρόσβαση στην πλατφόρμα, οπότε αν οι άνθρωποί σας διαθέτουν ήδη απλούς λογαριασμούς EU Login, ζητήστε τους να ενεργοποιήσουν τώρα το MFA και όχι κατά τη διάρκεια ενός συμβάντος. Οι λογαριασμοί EU Login είναι προσωπικοί, και ο ENISA δεν λειτουργεί χωριστό εταιρικό σύστημα ελέγχου ταυτότητας πάνω από αυτούς. Στις σελίδες της για την αξιόπιστη ψηφιακή ταυτότητα η Επιτροπή εξηγεί τι είναι το EU Login και πώς εντάσσεται στο ευρύτερο πλαίσιο ταυτότητας που εφαρμόζει.

Η ροή εγγραφής

Κατά την πρώτη πρόσβαση στην πλατφόρμα επιλέγετε τον ρόλο σας, επιλέγετε το ορισμένο CSIRT σας από αναπτυσσόμενη λίστα, ταυτοποιείστε μέσω του EU Login, διαβάζετε και αποδέχεστε τη νομική συμφωνία, επιβεβαιώνετε τα προσυμπληρωμένα προσωπικά σας στοιχεία (όνομα, επώνυμο, ηλεκτρονικό ταχυδρομείο, νομική επωνυμία) και στη συνέχεια εισάγετε την επωνυμία, τη διεύθυνση και πρόσθετες πληροφορίες του κατασκευαστή. Η παράλειψη υποχρεωτικού πεδίου κατασκευαστή μπλοκάρει τη ροή. Με την ολοκλήρωση, η κατάσταση του λογαριασμού σας είναι "Active" και κατέχετε τον ρόλο "AR Primary User" και λαμβάνετε μήνυμα επιβεβαίωσης, ενώ η οντότητα του κατασκευαστή δημιουργείται στην πλατφόρμα.

Το δευτερεύον πρόσωπο εντάσσεται μέσω πρόσκλησης με ηλεκτρονικό ταχυδρομείο από τον πρωτεύοντα, επιβεβαιώνει τα προσυμπληρωμένα προσωπικά στοιχεία και στοιχεία κατασκευαστή, και καταχωρίζεται στον ρόλο "AR Backup User" έναντι του ίδιου κατασκευαστή. Η πρόσκληση αυτή λήγει μετά από 7 ημέρες, οπότε η εγγραφή σημειώνεται ως "Invitation Expired" και πρέπει να αποσταλεί νέα. Ρυθμίστε τον εφεδρικό χρήστη στην ίδια συνεδρία με τον πρωτεύοντα· μια ληγμένη πρόσκληση που ανακαλύπτεται στη μέση ενός συμβάντος είναι πρόβλημα που μπορεί να αποφευχθεί.

Η CSIRT ελέγχει τον εκπρόσωπό σας χειροκίνητα, αυτό όμως δεν σας εμποδίζει να υποβάλετε

Κάποιος πρέπει να επιβεβαιώσει ότι ένα συγκεκριμένο πρόσωπο μπορεί πράγματι να αναφέρει για λογαριασμό συγκεκριμένου κατασκευαστή, και ο έλεγχος αυτός ανήκει στην CSIRT που έχει οριστεί ως συντονιστής, την οποία ο ENISA συντομογραφεί πλέον ως CDaC. Πρόκειται για χειροκίνητο βήμα, η διαδικασία διαφέρει μεταξύ των CSIRT, και κάθε CSIRT καθορίζει τη δική της προσέγγιση. Κρίσιμο είναι ότι συμβαίνει μετά την πρώτη σας πρόσβαση στην πλατφόρμα και εκτελείται παράλληλα με την αναφορά σας. Στην επικαιροποίηση του 3 Αυγούστου 2026 ο ENISA το κατέστησε αναμφισβήτητο: η επικύρωση από τη CDaC δεν αποτελεί προϋπόθεση για την εκπλήρωση της υποχρέωσης αναφοράς του CRA, και δεν επηρεάζει τη δυνατότητά σας να υποβάλλετε κοινοποιήσεις. Ένας μη επικυρωμένος λογαριασμός μπορεί να υποβάλει εντός του παραθύρου των 24 ωρών.

Γι' αυτό επίσης ο ENISA συνιστά να εγγράφεστε και να ξεκινάτε την επικύρωση μόνο όταν πραγματικά χρειάζεται να υποβάλετε, αντί να προεγγράφεται όλη η αγορά και να κατακλύζονται οι CSIRT με υποθετικούς ελέγχους. Η προετοιμασία που κάνετε εκ των προτέρων είναι οι λογαριασμοί EU Login και η απόφαση για το ποιος καλύπτει τις δύο θέσεις, όχι η ίδια η εγγραφή στην πλατφόρμα.

Ένας λογαριασμός μπορεί να καλύπτει πολλούς κατασκευαστές

Οι ίδιες οδηγίες περιγράφουν τη διαχείριση γύρω από τις δύο θέσεις. Ένας πρωτεύων αντιπρόσωπος προσκαλεί έναν εφεδρικό μέσω διεύθυνσης ηλεκτρονικού ταχυδρομείου, γεγονός που δημιουργεί μια εγγραφή με την ένδειξη "Pending Invitation" χωρίς ρόλο έως ότου γίνει αποδεκτή. Ένας δευτερεύων αντιπρόσωπος μπορεί να ζητήσει προαγωγή σε πρωτεύοντα, αίτημα που παραπέμπεται στη CDaC για εξέταση. Ο ENISA το επισημοποίησε στις 17 Σεπτεμβρίου 2026, σημειώνοντας την ερώτηση 9 των συχνών ερωτήσεων ως «[ΕΝΗΜΕΡΩΜΕΝΟ]» για να δηλώσει ότι ένας δευτερεύων AR «δεν διαθέτει τα ίδια διοικητικά δικαιώματα με τον πρωτεύοντα AR, αλλά μπορεί να διεκδικήσει τον ρόλο του πρωτεύοντος AR, υπό την επιφύλαξη εξέτασης και έγκρισης από το καθορισμένο CSIRT». Οποιοσδήποτε από τους δύο μπορεί να καταργήσει μια συσχέτιση, η οποία τότε σημειώνεται ως "Deleted". Και ένας μόνο λογαριασμός μπορεί να φέρει συσχετίσεις με πολλούς κατασκευαστές, καθεμία από τις οποίες προστίθεται μέσω της λειτουργίας Association Management και καθεμία επαληθεύεται χωριστά.

Το τελευταίο αυτό σημείο έχει σημασία για ομίλους με πολλές κατασκευαστικές οντότητες, καθώς και για επιχειρήσεις που ενεργούν βάσει του άρθρου 18 για κατασκευαστές εγκατεστημένους εκτός ΕΕ. Εκεί επίσης δαγκώνει πιο δυνατά η παγίδα ονοματοδοσίας που περιγράφεται παρακάτω.

06Υποβολή αναφοράς

Η αναφορά γίνεται από έναν πίνακα ελέγχου. Δημιουργείτε μια κοινοποίηση και στη συνέχεια προσθέτετε στην ίδια εγγραφή σε κάθε στάδιο, αντί να υποβάλλετε τρία χωριστά έγγραφα. Κάθε στάδιο έχει τη δική του καρτέλα, και καθένα μπορεί πρώτα να αποθηκευτεί ως προσχέδιο. Ο πίνακας ελέγχου μπορεί να αναζητηθεί βάσει αναγνωριστικού κοινοποίησης, κατασκευαστή ή τίτλου, να ταξινομηθεί κατά τίτλο ή τελευταία ενημέρωση και να φιλτραριστεί κατά κράτος μέλος, τύπο υποβολής ή βάσει της σήμανσης Action Required .

• Έγκαιρη προειδοποίησηΞεκινήστε νέα κοινοποίηση από τον πίνακα ελέγχου, συμπληρώστε τα υποχρεωτικά πεδία και επιλέξτε υφιστάμενο κατασκευαστή ή προσθέστε έναν. Με την υποβολή είναι προσβάσιμη στην ορισμένη CSIRT σας και, αυτόματα, στον ENISA. Επιβεβαιώσεις μέσω ηλεκτρονικού ταχυδρομείου και ειδοποιήσεων αποστέλλονται στην CSIRT, στον ENISA και σε κάθε αντιπρόσωπο που είναι καταχωρισμένος για τον συγκεκριμένο κατασκευαστή, όχι μόνο στο πρόσωπο που υπέβαλε.
• 72 ωρώνΔιατίθεται μόνο εφόσον υπάρχει έγκαιρη προειδοποίηση. Ανοίξτε την ίδια κοινοποίηση και συμπληρώστε την καρτέλα των 72 ωρών. Ο ENISA τη λαμβάνει αυτόματα, εκτός εάν επικαλεστείτε τις προϋποθέσεις του άρθρου 16(2), οπότε η εγγραφή επισημαίνεται ως "72h Submitted under PEC" και η εικόνα του ENISA παραμένει περιορισμένη έως ότου η CSIRT την αποδεσμεύσει.
• Τελική έκθεσηΔιαθέσιμη μόνο εφόσον υπάρχουν και τα δύο προηγούμενα στάδια. Ο ENISA τη λαμβάνει αυτόματα, εκτός εάν είχαν επικληθεί οι προϋποθέσεις του άρθρου 16(2).

Τι είναι υποχρεωτικό, και πότε

Ο ENISA έχει δημοσιεύσει ποια πεδία είναι υποχρεωτικά σε κάθε στάδιο. Ο πίνακας διορθώνει χρήσιμα μια διαδεδομένη παραδοχή: η έγκαιρη προειδοποίηση των 24 ωρών είναι ειδοποίηση, όχι έρευνα.

• Στις 24 ώρες· ο τύπος και το επίπεδο της κοινοποίησης, η επωνυμία του κατασκευαστή ή του θεματοφύλακα, το προϊόν και ένας τίτλος. Για τα συμβάντα, το κατά πόσον υπάρχει υποψία παράνομων ή κακόβουλων πράξεων. Τα κράτη μέλη όπου διατίθεται το προϊόν απαιτούνται μόνο εφόσον τα γνωρίζετε ήδη.
• Στις 72 ώρες· η γενική φύση της ευπάθειας και της εκμετάλλευσης, τα διορθωτικά ή μετριαστικά μέτρα που λήφθηκαν και τα μέτρα που μπορούν να λάβουν οι χρήστες. Για τα συμβάντα, πότε εντοπίστηκε και πότε σημειώθηκε, καθώς και αρχική εκτίμηση. Η ευαισθησία επισημαίνεται εδώ.
• Στην τελική έκθεση· η πλήρης περιγραφή, η σοβαρότητα και ο αντίκτυπος, η ημερομηνία κατά την οποία κατέστη διαθέσιμο διορθωτικό μέτρο και λεπτομέρειες της ενημέρωσης ασφαλείας. Για τα συμβάντα, η πιθανή γενεσιουργός αιτία και τα συνεχιζόμενα μέτρα μετριασμού.

Προαιρετικά πεδία που αξίζει ούτως ή άλλως να καταγράφονται περιλαμβάνουν το CVE ID και το EUVD ID, και τα δύο διαθέσιμα από το πρώτο στάδιο.

Κάθε πεδίο έχει όριο χαρακτήρων, και ένα από αυτά είναι πολύ μικρό

Το Γλωσσάρι SRP του ENISA, με μεγέθη πεδίων για πρώτη φορά στην έκδοση 1.1 της 5ης Σεπτεμβρίου 2026 και πλέον στην έκδοση 1.3 της 10ης Σεπτεμβρίου 2026, είναι το έγγραφο του ENISA που δημοσιεύει το μέγεθος κάθε πεδίου. Γράψτε τα εσωτερικά σας πρότυπα με βάση αυτά τα όρια αντί να τα ανακαλύψετε στις δύο τα ξημερώματα:

• 4000 χαρακτήρες για τα περιγραφικά πεδία: τη σύνοψη, τις γενικές πληροφορίες για την ευπάθεια ή το συμβάν, τα διορθωτικά μέτρα που μπορούν να λάβουν οι χρήστες, τις πλήρεις περιγραφές σοβαρότητας και αντικτύπου, την αρχική εκτίμηση και, για τα συμβάντα, τα εφαρμοσθέντα και τα εν εξελίξει μέτρα μετριασμού.
• 2000 χαρακτήρες για τα διορθωτικά ή μετριαστικά μέτρα που έχετε ήδη λάβει, και για τις λεπτομέρειες της ενημέρωσης ασφαλείας ή του διορθωτικού μέτρου στην τελική έκθεση.
• 800 χαρακτήρες για την αιτιολόγηση ελεύθερου κειμένου που συνοδεύει αίτημα PEC στην κοινοποίηση ευπάθειας των 72 ωρών.
• 255 χαρακτήρες για τον τίτλο, την ονομασία του προϊόντος, το εύρος εκδόσεων του προϊόντος, την ονομασία του στοιχείου, τον φορέα επίθεσης, την αιτιολόγηση ευαισθησίας και την πιθανή γενεσιουργό αιτία.
• 100 χαρακτήρες για τον κακόβουλο δράστη που εκμεταλλεύτηκε την ευπάθεια. Αυτό είναι περίπου μία γραμμή, οπότε σχεδιάστε να κατονομάσετε τον δράστη ή να παραπέμψετε σε αναφορά δείκτη αντί να περιγράψετε την εκστρατεία.

Το γλωσσάρι επιβεβαιώνει επίσης μια μικρή διευκόλυνση: το πεδίο Κράτη μέλη όπου διατίθεται το προϊόν έρχεται προσυμπληρωμένο με τη δική σας συντονίστρια CSIRT, και τις υπόλοιπες αγορές τις προσθέτετε εσείς.

Επεξεργασία, και το σημείο χωρίς επιστροφή

Μια υποβληθείσα κοινοποίηση μπορεί να επικαιροποιηθεί, και η πλατφόρμα αποστέλλει αυτόματα ειδοποίηση και μήνυμα ηλεκτρονικού ταχυδρομείου στην CSIRT σας, καθώς και στον ENISA και σε όσες CSIRT την έχουν ήδη λάβει μέσω διάδοσης. Ισχύουν δύο όρια: μια κλειστή κοινοποίηση δεν μπορεί να επικαιροποιηθεί, και η εγγραφή καθίσταται μη επεξεργάσιμη μόλις υποβληθεί η τελική έκθεση.

Παρακολουθείτε την καρτέλα ειδοποιήσεων, και το σαββατοκύριακο

Κάθε λογαριασμός έχει καρτέλα Alerts , με χρωματική κωδικοποίηση: οι μη αναγνωσμένες ειδοποιήσεις είναι γαλάζιες και γίνονται γκρι μόλις ανοιχτούν, και οι κόκκινες ειδοποιήσεις εμφανίζονται μόνο όταν έχει συμβεί κάτι εξαιρετικό. Το παράδειγμα που δίνει ο ENISA είναι μια ορισμένη CSIRT που έχει ακυρώσει μια υποβολή. Επομένως, η υποβολή δεν είναι το τέλος της επικοινωνίας, και καμία προθεσμία του άρθρου 14 δεν μετατίθεται επειδή μια κοινοποίηση επέστρεψε σε εσάς. Όποιος παρακολουθεί αυτή την καρτέλα πρέπει να την παρακολουθεί και εκτός ωραρίου, γεγονός που αποτελεί επιπλέον επιχείρημα υπέρ ενός παρακολουθούμενου ομαδικού γραμματοκιβωτίου πίσω από τις δύο θέσεις αντί για δύο προσωπικές διευθύνσεις.

Ο μετρητής των 72 ωρών της πλατφόρμας δεν μετρά από τη λήψη γνώσης

Οι συχνές ερωτήσεις αποκαλύπτουν πώς συμπεριφέρονται στην πραγματικότητα οι αντίστροφες μετρήσεις στην οθόνη, και ότι δεν παρακολουθούν τη νόμιμη προθεσμία. Ο ENISA επικαιροποίησε τις συχνές ερωτήσεις στις 10 Σεπτεμβρίου 2026, την παραμονή του ανοίγματος, και άφησε αυτή την απάντηση ως είχε, οπότε η συμπεριφορά που περιγράφεται εδώ είναι η συμπεριφορά που τέθηκε σε λειτουργία. Στην τρέχουσα έκδοση ο μετρητής των 72 ωρών εμφανίζει ημερομηνία λήξης 48 ώρες μετά την υποβολή της αναφοράς των 24 ωρών, όχι 72 ώρες αφότου λάβατε γνώση. Ο ENISA δηλώνει ρητά ότι μια κοινοποίηση μπορεί επομένως να εμφανίζεται εκπρόθεσμη προτού συμπληρωθούν 72 ώρες από τη λήψη γνώσης, και ότι η λογική θα αλλάξει σε μεταγενέστερη έκδοση ώστε να μετρά από το πεδίο «ημερομηνία και ώρα κατά την οποία λάβατε γνώση», τόσο για τις ευπάθειες όσο και για τα συμβάντα.

Οι μετρητές της τελικής έκθεσης διαφέρουν και πάλι. Για σοβαρό συμβάν ο μετρητής δείχνει έναν μήνα μετά την κοινοποίηση των 72 ωρών. Για ενεργά αξιοποιούμενη ευπάθεια δεν υπάρχει κανένας μετρητής, επειδή η προθεσμία εξαρτάται από το πότε καθίσταται διαθέσιμο διορθωτικό μέτρο, κάτι που η πλατφόρμα δεν μπορεί να γνωρίζει.

Κατά την έναρξη λειτουργίας η πλατφόρμα δεν καταγράφει πότε λάβατε γνώση

Στις 5 Σεπτεμβρίου 2026 ο ENISA αντικατέστησε το αναλυτικό ανά πεδίο Γλωσσάρι SRP με την έκδοση 1.1, και δύο υποσημειώσεις του μετρούν περισσότερο από οτιδήποτε άλλο στη σελίδα. Για ενεργά αξιοποιούμενη ευπάθεια, το πεδίο Date/time when you become aware φέρει τη σημείωση ότι θα είναι διαθέσιμο στην επόμενη έκδοση της πλατφόρμας. Για σοβαρό συμβάν, η σημείωση αναφέρει ότι στην τρέχουσα έκδοση το αντίστοιχο πεδίο ονομάζεται Date/time the incident was detected.

Δίπλα στη λογική των μετρητών παραπάνω, ο κύκλος κλείνει. Οι συχνές ερωτήσεις έλεγαν ότι ο μετρητής των 72 ωρών θα διορθωνόταν μόλις ερχόταν το πεδίο λήψης γνώσης· το γλωσσάρι έλεγε ότι το πεδίο έρχεται σε μεταγενέστερη έκδοση. Τίποτε από τα δύο δεν κινήθηκε πριν από το άνοιγμα: ο ENISA αναθεώρησε ξανά το γλωσσάρι σε έκδοση 1.3 στις 10 Σεπτεμβρίου 2026 και άφησε αμφότερες τις υποσημειώσεις άθικτες. Έτσι, από την πρώτη ημέρα η πλατφόρμα δεν καταγράφει καμία απολύτως χρονοσήμανση λήψης γνώσης για τις ευπάθειες, ενώ για τα συμβάντα καταγράφει τη στιγμή του εντοπισμού, που δεν είναι η στιγμή της λήψης γνώσης.

07Τι μπορείτε να κάνετε σήμερα

Η τήρηση ενός παραθύρου 24 ωρών είναι επιχειρησιακό πρόβλημα, όχι γραφειοκρατικό. Τώρα που η πλατφόρμα είναι ανοιχτή, ο παρακάτω κατάλογος δεν αποτελεί πλέον προετοιμασία για μελλοντικό γεγονός· η υποχρέωση τρέχει, και οτιδήποτε εδώ δεν έχετε κάνει αποτελεί έκθεση και όχι σχέδιο.

• Δημιουργήστε τους λογαριασμούς σας EU Login, με ενεργοποιημένο MFA. Για τον πρωτεύοντα αναφέροντα και τουλάχιστον έναν εφεδρικό. Χρειάζονται λίγα λεπτά στο ecas.ec.europa.eu, και η πλατφόρμα δεν θα επιτρέψει σε κανέναν την είσοδο χωρίς έλεγχο ταυτότητας πολλαπλών παραγόντων, οπότε η ενεργοποίησή του αποτελεί μέρος της εργασίας και όχι βελτίωσή της.
• Προσδιορίστε την ορισμένη CSIRT σας. Ο ENISA δημοσίευσε τον κατάλογο των συντονιστών για όλα τα 27 κράτη μέλη στις 4 Σεπτεμβρίου 2026, οπότε αυτό είναι πλέον έργο που μπορείτε να ολοκληρώσετε. Εφαρμόστε το κριτήριο της κύριας εγκατάστασης του άρθρου 14(7), επιλέξτε τη γραμμή σας και καταγράψτε το σκεπτικό.
• Δημιουργήστε εσωτερικά τη φόρμα των 24 ωρών. Ένα σύντομο πρότυπο που αντιστοιχεί στα υποχρεωτικά πεδία έγκαιρης προειδοποίησης του ENISA, ώστε η πρώτη σας πραγματική υποβολή να είναι μεταγραφή και όχι σύνταξη. Κρατήστε το κάπου όπου μπορούν να το ανοίξουν και οι δύο αντιπρόσωποι, επειδή τα προσχέδια στην πλατφόρμα είναι ορατά μόνο σε όποιον τα δημιούργησε.
• Ονομάστε τα πρόσωπα, και για τις ώρες εκτός ωραρίου. Αποφασίστε ποιος κρίνει ότι απαιτείται αναφορά, ποιος τη συντάσσει και ποιος την υποβάλλει. Δεδομένου ότι δεν υπάρχει API, το τελευταίο βήμα είναι ένας επώνυμος άνθρωπος μπροστά σε πληκτρολόγιο.
• Τηρείτε ακριβές SBOM. Δεν μπορείτε να αναφέρετε ένα εξάρτημα που δεν γνωρίζατε ότι διαθέσατε. Τηρείτε κατάλογο υλικών λογισμικού και ενημερώνετέ τον καθώς αλλάζουν οι εκδόσεις.
• Παρακολουθείτε το συνεχώς. Αντιπαραβάλλετε τα εξαρτήματά σας με πηγές γνωστών ευπαθειών, ώστε ένα ενεργά εκμεταλλευόμενο ελάττωμα να αναδεικνύεται σε ώρες και όχι σε εβδομάδες. Ο δικός μας SBOM και αναλυτής ευπαθειών παρακολουθεί τον κατάλογο υλικών σας έναντι της NVD και της βάσης δεδομένων ευπαθειών της ΕΕ (EUVD).
• Επιβεβαιώστε τι εμπίπτει πραγματικά στο πεδίο εφαρμογής. Το στάδιο των 72 ωρών ζητά τον τύπο προϊόντος και την κατηγορία του Παραρτήματος III ή IV, οπότε τακτοποιήστε την ταξινόμηση πριν τη χρειαστείτε. Το εργαλείο ταξινόμησης απαντά σε αυτό, και η μήτρα συμμόρφωσης συνδέει την αναφορά με τις ευρύτερες υποχρεώσεις διαχείρισης ευπαθειών του Παραρτήματος I στο οποίο εντάσσεται.
• Αποφασίστε ποιος διαβάζει την καρτέλα ειδοποιήσεων εκτός ωραρίου. Μια ορισμένη CSIRT μπορεί να ακυρώσει μια υποβολή, και η ειδοποίηση που το αναφέρει καταλήγει στην πλατφόρμα και όχι μόνο στα εισερχόμενά σας. Τοποθετήστε ένα παρακολουθούμενο γραμματοκιβώτιο πίσω και από τις δύο θέσεις αντιπροσώπων.
• Μη βασίζεστε στην αντίστροφη μέτρηση της πλατφόρμας. Καταγράφετε μόνοι σας τη χρονοσήμανση της λήψης γνώσης. Ο μετρητής των 72 ωρών στην οθόνη τρέχει από την υποβολή της αναφοράς των 24 ωρών, όχι από τη λήψη γνώσης, οπότε μπορεί να επισημάνει μια υποβολή ως εκπρόθεσμη προτού παρέλθει η νόμιμη προθεσμία.
• Read the AR User Manual, and watch the tutorial video. ENISA published the manual at launch and added the AR User Tutorial Video within days, so between the two, plus the guidance pages, you have the fullest available description of the live platform.
• Ελέγξτε ότι επιλέξατε τον σωστό συντονιστή πριν υποβάλετε. Ο ENISA προειδοποιεί πλέον ότι η επιλογή λανθασμένης CSIRT που έχει οριστεί ως συντονιστής ενδέχεται να οδηγήσει σε ακύρωση της κοινοποίησης, αφήνοντάς σας να υποβάλετε εκ νέου στη σωστή ενώ το ρολόι εξακολουθεί να τρέχει.

08Παρακολουθήστε το στην πηγή

Η σελίδα αυτή αποτυπώνει την κατάσταση στις 11 Σεπτεμβρίου 2026, την ημέρα που άνοιξε η πλατφόρμα. Θα συνεχίσει να μεταβάλλεται, και ο ENISA επεξεργάζεται τις σελίδες του διακριτικά αντί να ανακοινώνει κάθε αλλαγή. Την εβδομάδα πριν από την έναρξη λειτουργίας, οι συχνές ερωτήσεις αναδιατυπώθηκαν στις 4 Σεπτεμβρίου 2026 και επικαιροποιήθηκαν εκ νέου στις 10 Σεπτεμβρίου 2026, ο κατάλογος των συντονιστών εμφανίστηκε στις 4 Σεπτεμβρίου 2026 και έλαβε νέα σήμανση στις 10 Σεπτεμβρίου 2026, το γλωσσάρι έφτασε στην έκδοση 1.1 στις 5 Σεπτεμβρίου 2026 και στην έκδοση 1.3 στις 10 Σεπτεμβρίου 2026, οι οδηγίες για τις ιδιαιτέρως εξαιρετικές περιστάσεις ήρθαν στις 9 Σεπτεμβρίου 2026, και το AR User Manual και οι όροι και προϋποθέσεις της πλατφόρμας δημοσιεύθηκαν στις 10 Σεπτεμβρίου 2026. Από την έναρξη λειτουργίας, οι συχνές ερωτήσεις επικαιροποιήθηκαν εκ νέου στις 12 Σεπτεμβρίου 2026 (το βίντεο εκπαίδευσης χρηστών AR τέθηκε σε λειτουργία και το ενημερωτικό δελτίο SRP κυκλοφόρησε σε εννέα ακόμη γλώσσες) και στις 17 Σεπτεμβρίου 2026, όταν η ερώτηση 9 σημειώθηκε ως «[ΕΝΗΜΕΡΩΜΕΝΟ]» για να τεκμηριωθεί ότι ένας δευτερεύων AR μπορεί να διεκδικήσει τον ρόλο του πρωτεύοντος AR, υπό την επιφύλαξη εξέτασης από τη CDaC. Για ερωτήματα υποστήριξης, ο ENISA δημοσιεύει διεύθυνση γραφείου υποστήριξης στην κεντρική σελίδα, cra-srp-helpdesk [at] enisa.europa.eu. Αυτές είναι οι πρωτογενείς πηγές· όλα τα παραπάνω είναι η δική μας ανάγνωσή τους.

• ENISA · Η ίδια η Ενιαία Πλατφόρμα Αναφοράς (σε λειτουργία από τις 11 Σεπτεμβρίου 2026)· επιλέξτε τον ρόλο Assigned Representative και συνδεθείτε μέσω EU Login με έλεγχο ταυτότητας πολλαπλών παραγόντων. Εδώ υποβάλλονται οι κοινοποιήσεις.portal.cra-srp.enisa.europa.eu
• ENISA · Ενιαία Πλατφόρμα Αναφοράς· η κεντρική σελίδα, με το ενημερωτικό δελτίο, το εγχειρίδιο χρήστη, τη διεύθυνση του γραφείου υποστήριξης και συνδέσμους προς κάθε σελίδα οδηγιών.enisa.europa.eu/topics/product-security/single-reporting-platform-srp
• ENISA · Συχνές ερωτήσεις για την SRP (επικαιροποιήθηκαν στις 10 Σεπτεμβρίου 2026)· νομική βάση, προθεσμίες, δρομολόγηση, ο πίνακας πεδίων, η λογική των μετρητών, τι πρέπει να κάνετε κατά τη διάρκεια διακοπής και η διεύθυνση της πλατφόρμας. Αναδιατυπώθηκαν στις 4 Σεπτεμβρίου και επεκτάθηκαν την παραμονή της έναρξης λειτουργίας. Η πιο επίκαιρη από τις σελίδες του ENISA για την SRP, και εκείνη που πρέπει να προτιμάτε όπου συγκρούονται.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions
• ENISA · CRA SRP AR User Manual (10 Σεπτεμβρίου 2026)· το εγχειρίδιο της ημέρας έναρξης λειτουργίας για τους Assigned Representatives, και η πληρέστερη ενιαία περιγραφή της πλατφόρμας όπως πράγματι άνοιξε.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-ar-user-manual
• ENISA · Κατάλογος των CSIRT που έχουν οριστεί ως συντονιστές (δημοσιεύθηκε στις 4 Σεπτεμβρίου 2026, επικαιροποιήθηκε στις 10 Σεπτεμβρίου 2026)· σημεία επαφής για όλα τα 27 κράτη μέλη. Εντοπίστε τη γραμμή σας χρησιμοποιώντας το κριτήριο του άρθρου 14(7) στην ενότητα 04.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/list-of-csirts-designated-as-coordinators
• ENISA · Γλωσσάρι CRA SRP (έκδοση 1.3, 10 Σεπτεμβρίου 2026)· αναλυτικές ανά πεδίο οδηγίες για το τι σημαίνει κάθε πεδίο αναφοράς, πώς συμπληρώνεται, ποια μορφή αναμένεται, ποιο είναι το όριο χαρακτήρων του και σε ποιο στάδιο εφαρμόζεται. Προσοχή στη διεύθυνση: ο ENISA μετέφερε το γλωσσάρι σε διεύθυνση URL glossary2 και η παλαιότερη εξακολουθεί να συνδέεται από ορισμένες δικές του σελίδες, οπότε ελέγξτε τη γραμμή έκδοσης στην κορυφή πριν βασιστείτε σε αντίγραφο.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-glossary2
• ENISA · Οδηγίες εγγραφής χρήστη SRP· η αναλυτική ροή εγγραφής για πρωτεύοντες και εφεδρικούς χρήστες, με στιγμιότυπα της διεπαφής.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-user-registration
• ENISA · Οδηγίες υποβολής κοινοποίησης SRP· πώς υποβάλλονται και επικαιροποιούνται η έγκαιρη προειδοποίηση, η κοινοποίηση των 72 ωρών και η τελική έκθεση, και τι ενεργοποιεί κάθε κατάσταση.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-notification-submission-and-update
• ENISA · Οδηγίες για τις λειτουργίες διεπαφής της SRP (9 Σεπτεμβρίου 2026)· ρυθμίσεις, συσχετίσεις με κατασκευαστές, ο πίνακας ελέγχου και η καρτέλα ειδοποιήσεων. Έλαβε νέα σήμανση την ίδια την ημέρα της έναρξης λειτουργίας και συμφωνεί πλέον με τις συχνές ερωτήσεις ότι μια μη επαληθευμένη συσχέτιση μπορεί να υποβάλει έως 20 κοινοποιήσεις.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-interface-functions
• ENISA · Όροι και προϋποθέσεις CRA SRP (έκδοση 1.0, 10 Σεπτεμβρίου 2026)· οι όροι που αποδέχεστε όταν εγγράφεστε στην πλατφόρμα, οι οποίοι δημοσιεύθηκαν την παραμονή του ανοίγματός της.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-single-reporting-platform-terms-and-conditions
• ENISA · Οδηγίες SRP για τις ιδιαίτερα εξαιρετικές περιστάσεις (9 Σεπτεμβρίου 2026)· πότε ισχύει το PEC, ο διακόπτης και οι λόγοι καθυστέρησης στη φόρμα των 72 ωρών, και τι κάνει η συντονίστρια CSIRT με την αιτιολόγηση. Η πέμπτη σελίδα οδηγιών και η μόνη που εξετάζει άμεσα το PEC.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-particular-exceptional-circumstances-pec
• Ευρωπαϊκή Επιτροπή · Υποχρεώσεις αναφοράς του CRA· η σελίδα πολιτικής, συμπεριλαμβανομένων των συχνών ερωτήσεων για την εφαρμογή του CRA, των οποίων η ενότητα 5 καλύπτει την αναφορά. Η Επιτροπή επικαιροποίησε αυτή τη σελίδα στις 11 Σεπτεμβρίου 2026, επιβεβαιώνοντας ότι η πλατφόρμα λειτουργεί πλέον, ενώ το ξεχωριστό έγγραφο συχνών ερωτήσεων της Επιτροπής επικαιροποιήθηκε τελευταία φορά στις 4 Σεπτεμβρίου 2026.digital-strategy.ec.europa.eu/en/policies/cra-reporting
• Ευρωπαϊκή Επιτροπή · Κατευθυντήριες γραμμές εφαρμογής του CRA (27 Ιουλίου 2026)· το σημείο 9.1 καθορίζει τις υποχρεώσεις αναφοράς των κατασκευαστών και των θεματοφυλάκων ανοικτού κώδικα. Η δική μας σύνοψη των κατευθυντήριων γραμμών καλύπτει τα υπόλοιπα.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
• EU Login· δημιουργήστε τον λογαριασμό που χρησιμοποιεί η πλατφόρμα και ενεργοποιήστε σε αυτόν τον έλεγχο ταυτότητας πολλαπλών παραγόντων. Κάντε το τώρα.ecas.ec.europa.eu/cas/login

Για το δεσμευτικό κείμενο, τα άρθρα 14 έως 17 καθορίζουν το οικοσύστημα αναφοράς και το άρθρο 16 θεσπίζει την πλατφόρμα· διαβάστε τα στον δικό μας αναγνώστη του Κανονισμού. Οι ημερομηνίες ορόσημα παρακολουθούνται στη σελίδα τρέχουσα κατάσταση του ιστοτόπου.

09Συνήθεις ερωτήσεις