01Mida tuleb teatada
Artikli 14 Küberturvalisuse vastupidavuse seadus loob kaks teavitamiskohustust digielementidega toodete tootjatele. Need on kitsamad, kui esmapilgul näib: tavapärased vead ja tavalised paigad ei kuulu kohaldamisalasse. Art. 14
- Aktiivselt ärakasutatavad haavatavused; teie toote haavatavus, mille puhul on usaldusväärseid tõendeid, et pahatahtlik osaleja on seda süsteemis omaniku loata ära kasutanud. Haavatavust, mille avastate ja parandate enne selle ärakasutamist, käsitletakse teie tavapärase haavatavuste käsitlemise protsess, mitte seda teavituskanalit.
- Tõsised intsidendid; intsident, mis mõjutab negatiivselt või võib negatiivselt mõjutada toote võimet kaitsta andmete või funktsioonide käideldavust, autentsust, terviklust või konfidentsiaalsust. Raskusastme kriteeriumid on artiklis 14(5).
Kohustused ei piirdu ärilistel eesmärkidel tegutsevate tootjatega. Avatud lähtekoodiga tarkvara haldajad kannavad omaenda teavitamiskohustust ulatuses, milles nad on seotud digielementidega toodetega. Art. 24(3)
Kui teie tootes olevat turvanõrkust kasutatakse aktiivselt ära või turvavahejuhtum on seda tõsiselt mõjutanud, algab artikli 14 kohane tähtaeg. Kõik muu jääb teie igapäevase haavatavuste käsitlemise raames.
Haavatavust, mille aktiivsest ärakasutamisest te juba teadsite enne teavitamiskohustuse kohaldumise kuupäeva 11. september 2026, ei ole vaja teatada. Kohustus seondub hetkega, mil te teadlikuks saate, seega hõlmab see seda, mida saate teada alates sellest kuupäevast, ja mitte varasemat.
Just see osa jääb inimestel kahe silma vahele ja siin tasub olla täpne. Artikkel 69(2) sätestab üldise üleminekureegli: tooted, mis lasti turule enne 11. detsembrit 2027 kuuluvad määruse kohaldamisalasse üksnes siis, kui neid on oluliselt muudetud alates sellest kuupäevast. Eraldi loetuna võib jääda mulje, et teie olemasolev tootevalik jääb puutumata.
Artikkel 69(3) võtab seejärel artikli 14 sellest otse välja. Sõnaselge erandi kohaselt kohaldatakse teavitamiskohustust kõigile määruse kohaldamisalasse kuuluvatele digielementidega toodetele, mis lasti turule enne 11. detsembrit 2027, olenemata sellest, kas neid kunagi muudetakse.
Nii toimivad need kaks reeglit eri telgedel. Toode, mille müüsite 2025. aastal, ei pruugi kunagi vajada CRA kohast CE-märgist, kuid kui selles olevat haavatavust aktiivselt ära kasutatakse ja te saate sellest teada 11. septembril 2026 või hiljem, tuleb sellest teatada. Teie kasutuses olev tootepark kuulub teavitamise kohaldamisalasse isegi seal, kus see jääb tootenõuete kohaldamisalast välja. Komisjon jõuab samale järeldusele oma CRA rakendamise KKK punktis 5.3. Art. 69(2)–(3)
02Kolm tähtaega
Iga aruanne koosneb kolmest etapist, mõõdetuna hetkest, mil te teadlikuks saate ärakasutatud haavatavusest või tõsisest intsidendist. Ajaaknad on napid ja just seetõttu on valmisolek oluline. Art. 14(2)–(4)
- 24 tunni jooksulVarajane hoiatus. Esimene teade selle kohta, et on ilmnenud aktiivselt ärakasutatav haavatavus või tõsine intsident, sealhulgas intsidentide puhul teave selle kohta, kas seda kahtlustatakse olevat põhjustatud õigusvastastest või pahatahtlikest tegudest.
- 72 tunni jooksulHaavatavuse / intsidendi teatis. Põhjalikum ülevaade: haavatavuse ja ärakasutamise üldine laad, esialgne hinnang ning võetud parandus- või leevendusmeetmed koos meetmetega, mida saavad võtta kasutajad.
- LõpparuanneLõpparuanne. Kui tegemist on haavatavusega, siis hiljemalt 14 päeva pärast parandus- või leevendusmeetme kättesaadavaks muutumist. Kui tegemist on tõsise intsidendiga, siis ühe kuu jooksul alates 72 tunni teate esitamisest. Selles esitatakse täielik kirjeldus, raskusaste, mõju ja rakendatud parandusmeetmed.
Pange tähele viimase rea asümmeetriat: haavatavuse kella käivitab paranduse olemasolu, intsidendi kella aga varasem teade. Need on erinevad mehhanismid ja need tasub oma tegevusjuhendisse eraldi kirja panna.
03Millal see algab
Teavitamiskohustused on CRA kõige varasem jõustuv peamine osa. Kuigi enamik sätteid kehtib alates 11. detsembrist 2027, kehtib artikkel 14 alates 11. september 2026; 21 kuud pärast õigusakti jõustumist. ENISA on kavandanud, et ühtne teavitamisplatvorm on samaks kuupäevaks töövalmis. Art. 71
Platvorm ei ole veel töös ja selle avalikku URL-i ei ole avaldatud. ENISA teatab, et see antakse teada tema ühtse teavitamisplatvormi lehel enne käivitamist. Enne seda on kavas kasutaja- ja turvatestimine, milles osaleb CSIRTide võrgustik.
ENISA on siiski avaldanud teabelehe, laiendatud KKK ja kaks samm-sammult juhendlehte, mis käsitlevad registreerimist ja teate esitamist; nende kõigi viimase uuendamise kuupäev on 31. juuli 2026. Lühikesed juhendvideod ja veebiseminar kaks nädalat enne käivitamist on alles tulemas. ENISA märgib, et avaldatud juhend võib muutuda.
Puudu on veel kaks asja: koordinaatoriteks määratud riiklike CSIRTide loetelu, mille ENISA lubab esitada hiljem, ja ühtlustatud standardid mis on haavatavuste käsitlemise aluseks; neid oodatakse 30. augusti 2026 paiku ja ühelegi neist ei ole veel Euroopa Liidu Teatajas viidatud.
Erinevalt CE-märgisest, mille vormistate ühe korra enne toote turule laskmist, on teavitamine elav ja pidev kohustus, mis algab 2026. aasta septembris ja mis võib igal hetkel käivituda. Valmisolek ei ole ühekordne projekt. Ehitage sisemine avastamis- ja teavitamisprotsess üles juba praegu; kohustus kehtib alates 11. septembrist 2026 olenemata sellest, kas tööriistad on valmis.
04Kellele teatate
Aruanded esitatakse ENISA ja Koordinaatoriks määratud CSIRT, ühe sisenemispunkti kaudu, mitte eraldi esildistena igale riiklikule asutusele. See sisenemispunkt on ühtne teavitamisplatvorm, mille ENISA loob ning mida ta haldab ja hooldab artikli 16 alusel. Art. 14 · 16
See, milline CSIRT on teie oma, tuleneb teie peamisest tegevuskohast liidus või, kui te ei ole ELis asutatud, sellest, kus asub teie volitatud esindaja. Vastuvõttev CSIRT edastab teate edasi nende liikmesriikide CSIRTidele, kus toode on kättesaadav, ning vajaduse korral turujärelevalveasutustele. Art. 14(7) · 18
Tuge pakuvad mõlemad pooled. ENISA peab kasutajatuge, pöörates erilist tähelepanu VKEdele, ja ka koordinaatoriteks määratud CSIRTid peavad pakkuma kasutajatuge artikli 14 kohustuste osas. ENISA kannab parandatud haavatavused ka Euroopa haavatavuste andmebaasining avaldab iga kahe aasta järel tehnilise trendiaruande, millest esimest oodatakse 24 kuu jooksul pärast teavitamiskohustuste algust. Art. 17(6)
Teatatud haavatavuse levitamise võib peatada CSIRT, kuid mitte teie
Vastuvõttev CSIRT võib edasise levitamise põhjendatud küberturvalisuse kaalutlustel edasi lükata või sellest hoiduda rangelt vajaliku aja jooksul; näiteks kui haavatavus on koordineeritud avalikustamise menetluses. Komisjon täpsustas tingimused delegeeritud õigusaktis, mis võeti vastu 11. detsembril 2025. Kui CSIRT peab teate kinni, peab ta sellest viivitamata ENISAle teatama, esitades põhjenduse ja märkides, millal ta selle levitab.
Eraldi võite eriti erandlikel asjaoludel märkida ühe kitsastest tingimustest, mis on sätestatud artiklis 16(2) oma 72 tunni teates: et ärakasutamine piirdub teie CSIRTi liikmesriigiga, et edasine levitamine oleks vastuolus selle liikmesriigi oluliste huvidega või et levitamine kujutab endast vahetut suurt küberturvalisuse riski. Kui te seda teete, saab ENISA üksnes piiratud teavet (et teade esitati, üldist teavet toote kohta, ärakasutamise üldist laadi ja seda, et tugineti turvalisuse kaalutlustele), kuni CSIRT vabastab täieliku teate.
Kumbki mehhanism ei peata teie kella. Te ei saa edasi lükata esitamist; 24 tunni, 72 tunni ja lõpparuande tähtajad kulgevad alates teadasaamisest. Küll aga saate märkida tundlikkuse, mis piirab seda, kes sisu näeb. Otsus levitamine kinni pidada kuulub vastuvõtvale CSIRTile.
05Platvormil registreerumine
ENISA juhend kuupäevaga 31. juuli 2026 on esimene materjal, mis näitab tegelikke ekraanivaateid. Te ei saa platvormil endal registreeruda enne selle käivitamist, kuid saate juba praegu otsustada, kes kontosid haldab, ja valmistada ette nende juurdepääsuandmed; ning teil tasub protsessi tunda enne, kui puutute sellega kokku 24 tunni kella all.
Määrake kaks inimest enne, kui neid vajate
Platvorm annab igale tootjale kaks liiki kasutajakontot ja te saate juba täna otsustada, kes neid täidab. Esmane esindaja registreerub esimesena ja loob platvormil tootja kirje. Seejärel kutsub see isik teise inimese, kes on teisene esindaja, kes täidab sama tootja juures varurolli ja saab tema nimel teateid esitada. Mõlemad on teie ettevõttes nimeliselt määratud isikud. Kuna esitamine on käsitsi tehtav, on ainus määratud teavitaja, kes on puhkusel, magab või lahkunud, tõeline operatiivne risk, seega käsitage teist kohta pigem vajaliku kui valikulisena.
EU Login on juurdepääsuvahend ja mõlemad inimesed saavad selle juba täna luua
Platvormi kontod autenditakse teenuse EU Login kaudu; see on Euroopa Komisjoni ühine sisselogimisteenus, mida kasutatakse kõigis tema veebisüsteemides. ENISA teatab, et konto saab luua ette, ja see on kõige kasulikum asi, mida saate praegu teha. Looge üks esmasele esindajale ja üks teisesele esindajale aadressil ecas.ec.europa.eu, kasutades tööalaseid e-posti aadresse, mis on olemas ka aasta pärast. Komisjon selgitab, mis on EU Login ja kuidas see sobitub tema laiemasse identiteediraamistikku, oma usaldusväärse digiidentiteedi lehtedel.
Registreerimisprotsess
Platvormile esmakordsel sisenemisel valite oma rolli, valite oma määratud CSIRTi rippmenüüst, autendite EU Logini kaudu, loete ja aktsepteerite õigusliku kokkuleppe, kinnitate oma eeltäidetud isikuandmed (eesnimi, perekonnanimi, e-post, juriidiline nimi) ning sisestate seejärel tootja nime, aadressi ja lisateabe. Kohustusliku tootjavälja täitmata jätmine blokeerib protsessi. Lõpuleviimisel muutub teie konto aktiivseks rollis „AR Active“, saate kinnituse e-kirja ja platvormil luuakse tootja üksus.
The teisene esindaja liitub e-posti kutse kaudu esmaselt esindajalt; ta kinnitab eeltäidetud isiku- ja tootjaandmed ning registreeritakse sama tootja juures varukasutajana. See kutse aegub 7 päeva pärast, misjärel märgitakse kirje olekuks „Invitation Expired“ ja tuleb saata uus kutse. Seadistage varukonto samal ajal kui peamine konto; keset intsidenti avastatud aegunud kutse on välditav probleem.
CSIRT kontrollib teie esindajat käsitsi, kuid see ei takista teil teateid esitada
Keegi peab kinnitama, et konkreetne isik tohib tõepoolest konkreetse tootja nimel teateid esitada, ja see kontroll on koordinaatoriks määratud CSIRTi ülesanne. Tegemist on käsitsi tehtava sammuga, menetlus on CSIRTide lõikes erinev ja iga CSIRT vastutab oma lähenemise eest. Oluline on, et see toimub pärast teie esimest sisenemist platvormile ja kulgeb paralleelselt teie teatega: ENISA kinnitab, et valideerimine ei mõjuta teie võimet teateid esitada. Valideerimata konto saab siiski 24 tunni akna jooksul teate esitada.
Seetõttu soovitab ENISA registreeruda ja valideerimist alustada alles siis, kui teil on tõepoolest vaja teade esitada, selle asemel et registreerida kogu turg ette ja matta CSIRTid spekulatiivsete kontrollide alla. Ettevalmistus, mille saate ette teha, on EU Logini kontod ja otsus selle kohta, kes kaks kohta täidab, mitte platvormil registreerimine ise.
ENISA juhend on kirjutatud terminile „Assigned Representatives“ (AR), kus on peakasutajad ja varukasutajad. See on platvormi konto roll. See ei ole volitatud esindaja ehk isik, kes on määratud kirjaliku volitusega CRA artikli 18 alusel. Esimene võib teil olla ilma teiseta. Hoidke need kaks oma sisemenetluses lahus, muidu vaidlete lõpuks juriidilise määramise üle, kuigi vaja on üksnes teist sisselogimist.
06Teate esitamine
Teavitamine toimub töölaualt. Te loote teate ja täiendate seejärel igas etapis sama kirjet, selle asemel et esitada kolm eraldi dokumenti. Igal etapil on oma vahekaart ja iga saab esmalt salvestada mustandina; mustandid on nähtavad ainult teile.
- Varajane hoiatusAlustage töölaualt uut teadet, täitke kohustuslikud väljad ja valige olemasolev tootja või lisage uus. Esitamisel saadetakse see teie määratud CSIRTile ja automaatselt ENISAle. Kinnitused e-kirja ja teavitusena saadetakse teile, CSIRTile ja ENISAle.
- 72 tundiKättesaadav alles siis, kui varajane hoiatus on olemas. Avage sama teade ja täitke 72 tunni vahekaart. ENISA saab selle automaatselt, välja arvatud juhul, kui tuginete artikli 16(2) tingimustele, mille korral märgistatakse kirje ja ENISA vaade on piiratud, kuni CSIRT selle vabastab.
- LõpparuanneKättesaadav alles siis, kui mõlemad varasemad etapid on olemas. Teised asjaomased CSIRTid saavad lõpparuande alles pärast seda, kui teie koordineeriv CSIRT selle käsitsi edasi levitab.
Mis on kohustuslik ja millal
ENISA on avaldanud, millised väljad on igas etapis kohustuslikud. Tabel korrigeerib kasulikult laialt levinud eeldust: 24 tunni varajane hoiatus on hoiatus, mitte uurimine.
- 24 tunni jooksul; teate liik ja tase, tootja või haldaja nimi, toode ja pealkiri. Intsidentide puhul see, kas kahtlustatakse õigusvastaseid või pahatahtlikke tegusid. Liikmesriike, kus toode on kättesaadav, nõutakse üksnes siis, kui teil on see teave juba olemas.
- 72 tunni jooksul; haavatavuse ja ärakasutamise üldine laad, võetud parandus- või leevendusmeetmed ning meetmed, mida saavad võtta kasutajad. Intsidentide puhul see, millal see avastati ja millal see toimus, ning esialgne hinnang. Tundlikkus märgitakse siin.
- Lõpparuandes; täielik kirjeldus, raskusaste ja mõju, kuupäev, mil parandusmeede muutus kättesaadavaks, ning turvavärskenduse üksikasjad. Intsidentide puhul tõenäoline algpõhjus ja käimasolevad leevendusmeetmed.
Vabatahtlike väljade hulgas, mida tasub siiski täita, on CVE ID ja the EUVD ID, mis mõlemad on saadaval alates esimesest etapist.
Muutmine ja tagasipöördumatuse punkt
Esitatud teadet saab uuendada ja platvorm teavitab automaatselt teie CSIRTi ning ENISAt ja kõiki CSIRTe, kes on selle levitamise kaudu juba saanud. Kehtib kaks piirangut: suletud teadet ei saa uuendada ja kirje muutub mittemuudetavaks, kui lõpparuanne on esitatud.
ENISA teatab, et selles etapis rakendusliidest ei pakuta. Te saate avastamise, triaaži ja koostamise ettevõttesiseselt automatiseerida, kuid esitamine ise tähendab inimest, kes täidab brauseris vormi. Kavandage see üleandmine teadlikult ja tagage, et seda saab teha rohkem kui üks inimene ka väljaspool tööaega ja nädalavahetusel.
Platvorm võtab vastu ka vabatahtlikke teateid haavatavuste, küberohtude, intsidentide ja ohuolukordade kohta, mis võivad tulla igalt füüsiliselt või juriidiliselt isikult, mitte üksnes tootjatelt. ENISA teatab, et see funktsioon on kasutatav pärast 11. septembrit 2026, seega ei ole see viis teha enne tähtaega madala riskiga proovivoor.
07Mida saate juba täna teha
24 tunni akna järgimine on operatiivne, mitte paberimajanduse probleem, ja peaaegu kogu ettevalmistus on juba praegu võimalik. Miski allpool ei sõltu sellest, kas platvorm on töös.
- Looge oma EU Logini kontod. Peamisele teavitajale ja vähemalt ühele varuisikule. See võtab minuteid aadressil ecas.ec.europa.eu ja kõrvaldab sammu, mida te ei taha avastada keset intsidenti.
- Tehke kindlaks oma määratud CSIRT. See tuleneb teie peamisest tegevuskohast liidus või teie volitatud esindaja omast, kui olete asutatud väljaspool ELi. ENISA täielik koordinaatorite loetelu on veel avaldamata, seega pange oma põhjendus praegu kirja ja kinnitage see loetelu ilmumisel.
- Koostage 24 tunni vorm ettevõttesiseselt. Lühike mall, mis vastab ENISA kohustuslikele varajase hoiatuse väljadele, nii et teie esimene tegelik teade on ümberkirjutamine, mitte koostamine.
- Nimetage inimesed, sealhulgas väljaspool tööaega. Otsustage, kes hindab, et teade tuleb esitada, kes selle koostab ja kes selle esitab. Kuna API-t ei ole, on viimane samm nimeliselt määratud inimene klaviatuuri taga.
- Pidage täpset SBOM-i. Te ei saa teatada komponendist, mille tarnimisest te ei teadnud. Pidage tarkvara koostisosade loendit ja hoidke seda väljalasete muutudes ajakohasena.
- Jälgige seda pidevalt. Võrrelge oma komponente teadaolevate haavatavuste allikatega, et aktiivselt ärakasutatav viga tuleks välja tundidega, mitte nädalatega. Meie SBOM ja haavatavuse analüsaator jälgib teie koostisosade loendit NVD ja ELi haavatavuste andmebaasi (EUVD) suhtes.
- Kinnitage, mis tegelikult kuulub kohaldamisalasse. 72 tunni etapis küsitakse toote liiki ning III või IV lisa kategooriat, seega otsustage klassifikatsioon enne, kui seda vajate. Klassifitseerimistööriist vastab sellele ja vastavusmaatriks seob teavitamise laiema I lisa haavatavuste käsitlemise kohustuste raamistikuga, mille raames see asub.
- Pange veebiseminar kalendrisse. ENISA kavatseb korraldada ühe kaks nädalat enne platvormi kasutuselevõttu ning avaldada lühikesed juhendvideod lähemal ajal enne käivitamist.
08Jälgige seda algallikast
See leht kajastab olukorda seisuga 6. august 2026. Platvorm on veel muutumises ja ENISA muudab oma lehti vaikselt, selle asemel et igast muudatusest teatada, seega tasub allpool olevate lehtede „viimati uuendatud“ märkeid otse kontrollida. Need on esmased allikad; kõik eespool öeldu on meie tõlgendus neist.
- ENISA · Ühtne teavitamisplatvorm; keskne leht koos teabelehe ja üksikasjaliku KKK-ga, mis käsitleb õiguslikku alust, tähtaegu, suunamist, väljade tabelit ja platvormi turvalisust. Seal teatatakse avalik URL.enisa.europa.eu/topics/product-security-and-certification/single-reporting-platform-srp
- ENISA · SRP kasutaja registreerimise juhend; samm-sammult registreerimisprotsess peamistele ja varukasutajatele koos liidese ekraanipiltidega.enisa.europa.eu/cra-srp-ar-user-registration
- ENISA · SRP teate esitamise juhend; kuidas varajast hoiatust, 72 tunni teadet ja lõpparuannet esitatakse ja uuendatakse ning mida iga staatus käivitab.enisa.europa.eu/cra-srp-ar-notification-submission-and-update
- Euroopa Komisjon · CRA teavitamiskohustused; poliitikaleht, sealhulgas CRA rakendamise KKK, mille 5. jagu käsitleb teavitamist.digital-strategy.ec.europa.eu/en/policies/cra-reporting
- Euroopa Komisjon · CRA kohaldamise juhend (27. juuli 2026); punkt 9.1 sätestab tootjate ja avatud lähtekoodiga tarkvara haldajate teavitamiskohustused. Meie juhendi kokkuvõte käsitleb ülejäänut.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
- EU Login; looge konto, mida platvorm kasutab. Tehke seda kohe.ecas.ec.europa.eu/cas/login
Siduva teksti leiate artiklitest 14 kuni 17, mis sätestavad teavitamise ökosüsteemi, ja artiklist 16, mis loob platvormi; lugege neid meie määruse lugejas. Verstapostide kuupäevi jälgitakse praeguse seisu lehel.
09Levinud küsimused
Mida pean CRA alusel teatama ja kui kiiresti?
Aktiivselt ärakasutatavatest haavatavustest ja tõsistest intsidentidest, mis mõjutavad teie toote turvalisust. Varajane hoiatus 24 tunni jooksul alates teadasaamisest, põhjalikum teade 72 tunni jooksul ja lõpparuanne 14 päeva jooksul alates parandusmeetme kättesaadavaks muutumisest haavatavuse puhul või ühe kuu jooksul alates 72 tunni teatest tõsise intsidendi puhul. Art. 14
Millal algavad teavitamiskohustused?
11. september 2026; 21 kuud pärast seaduse jõustumist, kaugelt enne täielikku kohaldamist 11. detsembril 2027.
Kellele pean teatama?
ENISAle ja koordinaatoriks määratud riiklikule CSIRTile artikli 16 alusel loodud ühtse teavitamisplatvormi kaudu. Teie CSIRT tuleneb teie peamisest tegevuskohast liidus või teie volitatud esindaja omast, kui te ei ole ELis asutatud.
Kas pean teatama igast veast või haavatavusest?
Ei. Teatatavad on ainult aktiivselt ärakasutatavad haavatavused ja tõsised intsidendid. Haavatavusi, mille leiate ja parandate enne nende ärakasutamist, hallatakse teie tavapärase haavatavuste käsitlemise protsessi kaudu.
Kas ENISA ühtne teavitamisplatvorm on juba saadaval?
Mitte 6. augusti 2026 seisuga. Platvorm ei ole töös ja selle avalikku URL-i ei ole avaldatud; ENISA teatab sellest oma SRP lehel enne käivitamist. Kavakohaselt peaks see olema töövalmis 11. septembriks 2026, kusjuures enne seda toimuvad kasutaja- ja turvatestid.
Kas ma saan juba praegu registreeruda või midagi ette valmistada?
Jah, ja peaksitegi. Looge EU Login kontod, mida platvorm kasutab, peamisele teavitajale ja varuisikule. Te ei saa platvormil endal registreeruda enne selle käivitamist ja ENISA soovitab alustada platvormil registreerimist alles siis, kui teil on tõepoolest vaja teade esitada, sest koordineeriv CSIRT valideerib konto pärast esmakordset sisenemist, mitte enne seda. See valideerimine ei blokeeri esitamist.
Kas ma saan teateid esitada API kaudu?
Ei. ENISA teatab, et selles etapis rakendusliidest ei pakuta. Te saate sisemise avastamise ja koostamise automatiseerida, kuid esitamine tähendab inimest, kes täidab brauseris vormi.
Mida peab 24 tunni varajane hoiatus tegelikult sisaldama?
Vähem, kui enamik inimesi eeldab. Kohustuslikud väljad on teate liik ja tase, tootja või haldaja nimi, toode, pealkiri ning intsidentide puhul see, kas kahtlustatakse õigusvastaseid või pahatahtlikke tegusid. Sisuline analüüs tuleb esitada 72 tunni jooksul, mitte esimesel päeval.
Kas teatamiseks on juba standardvorm või mall?
Andmeväljad on avaldatud. ENISA KKK sätestab, millised on kohustuslikud 24 tunni, 72 tunni ja lõpparuande etapis, nii et saate juba täna koostada vastava sisemise malli. Komisjon võib vormingut ja menetlust rakendusaktidega veel täpsustada.
Kas ma saan teate esitamist edasi lükata, kui avalikustamine oleks riskantne?
Esitamist mitte. 24 tunni, 72 tunni ja lõpparuande tähtajad kulgevad alates teadasaamisest ja miski neid ei peata. Te võite märkida tundlikkuse: artikli 16(2) alusel saate märkida kitsad tingimused, mis piiravad seda, mida ENISA näeb, kuni CSIRT vabastab täieliku teate. Otsus edasine levitamine edasi lükata kuulub vastuvõtvale CSIRTile 11. detsembril 2025 vastu võetud delegeeritud õigusakti alusel.
Kas ma pean teatama ärakasutamisest, millest ma juba enne 2026. aasta septembrit teadsin?
Ei. Kohustus kohaldub alates hetkest, mil te teadlikuks saate, ega laiene haavatavustele, mille aktiivsest ärakasutamisest te olite juba teadlik enne 11. septembrit 2026.
Kas teavitamine kohaldub toodetele, mille lasin turule aastaid tagasi?
Jah. Artikkel 69(2) sätestab, et enne 11. detsembrit 2027 turule lastud tooted kuuluvad määruse kohaldamisalasse üksnes siis, kui neid on alates sellest kuupäevast oluliselt muudetud, kuid artikkel 69(3) teeb sellest artikli 14 puhul sõnaselge erandi: teavitamiskohustust kohaldatakse kõigile kohaldamisalasse kuuluvatele toodetele, mis lasti turule enne 11. detsembrit 2027, olenemata sellest, kas neid on muudetud. Toode võib seega jääda CRA tootenõuete kohaldamisalast välja, kuuludes samal ajal teavitamise kohaldamisalasse. Art. 69(2)–(3)
Kas midagi sellest kohaldub avatud lähtekoodiga projektidele?
Avatud lähtekoodiga tarkvara haldajatel on teavitamiskohustus ulatuses, milles nad on seotud digielementidega toodetega, artikli 24(3) alusel. Komisjoni 27. juuli 2026 juhend käsitleb avatud lähtekoodi üksikasjalikumalt.
Kust saan abi, kui olen väikeettevõte?
ENISA peab kasutajatuge, pöörates erilist tähelepanu VKEdele, ja ka koordinaatoriteks määratud CSIRTid peavad pakkuma kasutajatuge artikli 14 kohustuste osas. Lisaks kavandab ENISA juhendvideoid ja veebiseminari kaks nädalat enne platvormi kasutuselevõttu.