01Mida tuleb teatada
Artikli 14 Küberturvalisuse vastupidavuse seadus loob kaks teavitamiskohustust digielementidega toodete tootjatele. Need on kitsamad, kui esmapilgul näib: tavapärased vead ja tavalised paigad ei kuulu kohaldamisalasse. Art. 14
- Aktiivselt ärakasutatavad haavatavused; teie toote haavatavus, mille puhul on usaldusväärseid tõendeid, et pahatahtlik osaleja on seda süsteemis omaniku loata ära kasutanud. Haavatavust, mille avastate ja parandate enne selle ärakasutamist, käsitletakse teie tavapärase haavatavuste käsitlemise protsess, mitte seda teavituskanalit.
- Tõsised intsidendid; intsident, mis mõjutab negatiivselt või võib negatiivselt mõjutada toote võimet kaitsta andmete või funktsioonide käideldavust, autentsust, terviklust või konfidentsiaalsust. Raskusastme kriteeriumid on artiklis 14(5).
Kohustused ei piirdu ärilistel eesmärkidel tegutsevate tootjatega. Avatud lähtekoodiga tarkvara haldajad kannavad omaenda teavitamiskohustust ulatuses, milles nad on seotud digielementidega toodetega. Art. 24(3)
Kui teie tootes olevat turvanõrkust kasutatakse aktiivselt ära või turvavahejuhtum on seda tõsiselt mõjutanud, algab artikli 14 kohane tähtaeg. Kõik muu jääb teie igapäevase haavatavuste käsitlemise raames.
Haavatavust, mille aktiivsest ärakasutamisest te juba teadsite enne teavitamiskohustuse kohaldumise kuupäeva 11. september 2026, ei ole vaja teatada. Kohustus seondub hetkega, mil te teadlikuks saate, seega hõlmab see seda, mida saate teada alates sellest kuupäevast, ja mitte varasemat.
Just see osa jääb inimestel kahe silma vahele ja siin tasub olla täpne. Artikkel 69(2) sätestab üldise üleminekureegli: tooted, mis lasti turule enne 11. detsembrit 2027 kuuluvad määruse kohaldamisalasse üksnes siis, kui neid on oluliselt muudetud alates sellest kuupäevast. Eraldi loetuna võib jääda mulje, et teie olemasolev tootevalik jääb puutumata.
Artikkel 69(3) võtab seejärel artikli 14 sellest otse välja. Sõnaselge erandi kohaselt kohaldatakse teavitamiskohustust kõigile määruse kohaldamisalasse kuuluvatele digielementidega toodetele, mis lasti turule enne 11. detsembrit 2027, olenemata sellest, kas neid kunagi muudetakse.
Nii toimivad need kaks reeglit eri telgedel. Toode, mille müüsite 2025. aastal, ei pruugi kunagi vajada CRA kohast CE-märgist, kuid kui selles olevat haavatavust aktiivselt ära kasutatakse ja te saate sellest teada 11. septembril 2026 või hiljem, tuleb sellest teatada. Teie kasutuses olev tootepark kuulub teavitamise kohaldamisalasse isegi seal, kus see jääb tootenõuete kohaldamisalast välja. Komisjon jõuab samale järeldusele oma CRA rakendamise KKK punktis 5.3. Art. 69(2)–(3)
02Kolm tähtaega
Iga aruanne koosneb kolmest etapist, mõõdetuna hetkest, mil te teadlikuks saate ärakasutatud haavatavusest või tõsisest intsidendist. Ajaaknad on napid ja just seetõttu on valmisolek oluline. Art. 14(2)–(4)
- 24 tunni jooksulVarajane hoiatus. Esimene teade selle kohta, et on ilmnenud aktiivselt ärakasutatav haavatavus või tõsine intsident, sealhulgas intsidentide puhul teave selle kohta, kas seda kahtlustatakse olevat põhjustatud õigusvastastest või pahatahtlikest tegudest.
- 72 tunni jooksulHaavatavuse / intsidendi teatis. Põhjalikum ülevaade: haavatavuse ja ärakasutamise üldine laad, esialgne hinnang ning võetud parandus- või leevendusmeetmed koos meetmetega, mida saavad võtta kasutajad.
- LõpparuanneLõpparuanne. Kui tegemist on haavatavusega, siis hiljemalt 14 päeva pärast parandus- või leevendusmeetme kättesaadavaks muutumist. Kui tegemist on tõsise intsidendiga, siis ühe kuu jooksul alates 72 tunni teate esitamisest. Selles esitatakse täielik kirjeldus, raskusaste, mõju ja rakendatud parandusmeetmed.
Pange tähele viimase rea asümmeetriat: haavatavuse kella käivitab paranduse olemasolu, intsidendi kella aga varasem teade. Need on erinevad mehhanismid ja need tasub oma tegevusjuhendisse eraldi kirja panna.
03Millal see algab
Teavitamiskohustused on CRA kõige varasem jõustuv peamine osa. Kuigi enamik sätteid kehtib alates 11. detsembrist 2027, kehtib artikkel 14 alates 11. september 2026; 21 kuud pärast õigusakti jõustumist. ENISA avas ühtse teavitamisplatvormi täpselt samal kuupäeval. Art. 71
Platvorm töötab ja kohustus, mida see teenib, kehtib koos sellega. ENISA avaldab aadressi kujul portal.cra-srp.enisa.europa.eu, kus valite rolli Assigned Representative ja logite sisse mitmeteguriline autentimisega EU Logini kontoga. Aadress avaldati ENISA 10. septembri 2026 KKK uuenduses, avamisele eelnenud päeval.
ENISA marked the launch by publishing an AR User Manual and a set of platform terms and conditions, version 1.0 of 10 September 2026, and by adding four questions to the FAQ: how to connect, when the obligations start, what to do if you are not a manufacturer, and how to report a security problem in the platform itself. The AR User Tutorial Video, promised for launch, went live within days, and the SRP Factsheet followed in nine further EU languages. The platform interface itself still runs in English only, with other languages deferred to a later phase.
Neli asja sellega kaasa ei tulnud ja suur osa sellest leheküljest on kirjutatud nende ümber: artikli 15 kohane vabatahtlik teavitamine puudub endiselt ja kuupäeva ei ole, API-t ikka veel ei ole, 72 tunni loendur jookseb endiselt teie varajase hoiatuse esitamisest, mitte hetkest, mil te teada saite, ning väli, mis salvestaks, millal te aktiivselt ärakasutatavast haavatavusest teada saite, on endiselt hilisema versiooni jaoks kinni hoitud. Ka haavatavuste käsitlemise aluseks olevad harmoneeritud standardid on endiselt väljastamata; neid oodatakse nüüd 30. oktoobri 2026 paiku, pärast seda kui komisjoni 2026. aasta juuli standardimistaotluse M/606 muutmise eelnõu lükkas 2026. aasta tähtajad kaks kuud edasi, ning neile ei ole Euroopa Liidu Teatajas veel viidatud.
Erinevalt CE-märgisest, mille vormistate ühe korra enne toote turule laskmist, on teavitamine elav ja pidev kohustus, mis algab 2026. aasta septembris ja mis võib igal hetkel käivituda. Valmisolek ei ole ühekordne projekt. Ehitage sisemine avastamis- ja teavitamisprotsess üles juba praegu; kohustus kehtib alates 11. septembrist 2026 olenemata sellest, kas tööriistad on valmis.
04Kellele teatate
Aruanded esitatakse ENISA ja Koordinaatoriks määratud CSIRT, ühe sisenemispunkti kaudu, mitte eraldi esildistena igale riiklikule asutusele. See sisenemispunkt on ühtne teavitamisplatvorm, mille ENISA loob ning mida ta haldab ja hooldab artikli 16 alusel. Art. 14 · 16
See, milline CSIRT on teie oma, tuleneb teie peamisest tegevuskohast liidus või, kui te ei ole ELis asutatud, sellest, kus asub teie volitatud esindaja. Vastuvõttev CSIRT edastab teate edasi nende liikmesriikide CSIRTidele, kus toode on kättesaadav, ning vajaduse korral turujärelevalveasutustele. Art. 14(7) · 18
Koordinaatorite loetelu avaldati 4. septembril 2026
Alles kuupäeval 4. september 2026 avaldati vastus kõige praktilisemale küsimusele sellel lehel: milline riiklik meeskond teie teate tegelikult vastu võtab. ENISA on nüüd avaldanud koordinaatoriteks määratud CSIRTide loetelu , mis annab ühe või mitu kontakti-URL-i kõigi 27 liikmesriigi kohta, ja varustas selle 10. septembril 2026 uue kuupäevaga, seega kontrollige oma rida uuesti, enne kui toetute varem võetud koopiale. Iirimaa viitab CRA jaoks mõeldud eraldi NCSC lehele; Hispaania annab kaks eraldi INCIBE teed, ühe intsidentide ja teise haavatavuste koordineerimise jaoks.
Loetelu ütleb teile, kes on iga liikmesriigi koordinaator. See ei ütle, milline neist on teie oma, ja artikli 14(7) test on kitsam, kui enamik organisatsioone eeldab. Kõik sõltub teie peamisest tegevuskohast : see on liikmesriik, kus otsused teie digielementidega toodete küberturvalisuse kohta tehakse peamiselt, mis võib olla arenduskoht, mitte registrijärgne asukoht või suurim äritegevuse koht. Kui seda ei ole võimalik kindlaks teha, on varulahenduseks liikmesriik, kus on teie suurim ELi töötajate arv. Kui ELis ei ole üldse tegevuskohta, on järjekord järgmine: liikmesriik, kus teie volitatud esindaja tegutseb kõige suurema arvu toodete osas, seejärel importija, kes laseb turule kõige rohkem tooteid, seejärel levitaja, kes teeb kättesaadavaks kõige rohkem tooteid, seejärel liikmesriik, kus on kõige rohkem kasutajaid. Kuna see määrab saaja kõigi tulevaste teadete jaoks, otsustage see ette ära, juriidilise nõustamisega, ja pange põhjendus kirja.
Tuge pakuvad mõlemad pooled. ENISA peab kasutajatuge, pöörates erilist tähelepanu VKEdele, ja ka koordinaatoriteks määratud CSIRTid peavad pakkuma kasutajatuge artikli 14 kohustuste osas. ENISA kannab parandatud haavatavused ka Euroopa haavatavuste andmebaasining avaldab iga kahe aasta järel tehnilise trendiaruande, millest esimest oodatakse 24 kuu jooksul pärast teavitamiskohustuste algust. Art. 17(6)
Teatatud haavatavuse levitamise võib peatada CSIRT, kuid mitte teie
Vastuvõttev CSIRT võib edasise levitamise põhjendatud küberturvalisuse kaalutlustel edasi lükata või sellest hoiduda rangelt vajaliku aja jooksul; näiteks kui haavatavus on koordineeritud avalikustamise menetluses. Komisjon täpsustas tingimused õigusaktiga Delegeeritud määrus (EL) 2026/881, mis võeti vastu 11. detsembril 2025. Kui CSIRT peab teate kinni, peab ta sellest viivitamata ENISAle teatama, esitades põhjenduse ja märkides, millal ta selle levitab.
Eraldi võite eriti erandlikel asjaoludel märkida ühe kitsastest tingimustest, mis on sätestatud artiklis 16(2) oma 72 tunni teates: et ärakasutamine piirdub teie CSIRTi liikmesriigiga, et edasine levitamine oleks vastuolus selle liikmesriigi oluliste huvidega või et levitamine kujutab endast vahetut suurt küberturvalisuse riski. Kui te seda teete, saab ENISA üksnes piiratud teavet (et teade esitati, üldist teavet toote kohta, ärakasutamise üldist laadi ja seda, et tugineti turvalisuse kaalutlustele), kuni CSIRT vabastab täieliku teate.
9. septembril 2026 avaldas ENISA eraldi juhendlehe eriti erandlike asjaolude kohta ning see lahendab kohaldamisala küsimuse, mille varasem materjal lahtiseks jättis. PEC-ile saab tugineda ainult aktiivselt ärakasutatava haavatavuse 72 tunni teate puhul. Midagi samaväärset ei ole seoses tõsise intsidendiga, ja platvorm ei paku intsidenditeate puhul ühtegi PEC-i juhtelementi.
Tehniliselt on tegemist lülitiga 72 tunni vormi allservas, mis avab kolm viivitamise põhjust ning vabatahtliku vabas vormis põhjenduse. See põhjendus ei ole kaunistus: ENISA sõnul on see abiks, kui CDaC otsustab, kas võtta esitus PEC-i alusel vastu. PEC-ile tuginemine seega taotleb piirangut, mitte ei kehtesta seda, ja kirje lihtsalt liigub olekusse 72h Submitted under PEC ja jääb sinna, kuni koordinaator otsustab. Kirjutage põhjendus nii, nagu loeks seda keegi, kes peab seda kaaluma vastukaaluks vajadusele teistele liikmesriikidele kiiresti teada anda, sest just nii ka läheb.
Kumbki mehhanism ei peata teie kella. Te ei saa edasi lükata esitamist; 24 tunni, 72 tunni ja lõpparuande tähtajad kulgevad alates teadasaamisest. Küll aga saate märkida tundlikkuse, mis piirab seda, kes sisu näeb. Otsus levitamine kinni pidada kuulub vastuvõtvale CSIRTile.
05Platvormil registreerumine
ENISA registreerimisjuhend, uue kuupäevaga 10. september 2026, ja tema liidesejuhend, uue kuupäevaga 9. september 2026, näitavad tegelikke ekraanivaateid. Registreerimine avanes koos platvormiga 11. septembril 2026, nii et see on nüüd protsess, mille saab tegelikult läbi teha, mitte ainult sellest lugeda. Sellegipoolest palub ENISA, et te ei registreeruks ennetavalt, allpool esitatud põhjusel, mis muudab protsessi eelneva tundmise pigem kasulikumaks kui vähem kasulikuks: esimesel korral, kui te seda järgite, võib täiesti hästi käia 24 tunni kell.
Määrake kaks inimest enne, kui neid vajate
Platvorm annab igale tootjale kaks liiki kasutajakontot ja te saate juba täna otsustada, kes neid täidab. Esmane esindaja registreerub esimesena ja loob platvormil tootja kirje. Seejärel kutsub see isik teise inimese, kes on teisene esindaja, kes täidab sama tootja juures varurolli ja saab tema nimel teateid esitada. Mõlemad on teie ettevõttes nimeliselt määratud isikud. Kuna esitamine on käsitsi tehtav, on ainus määratud teavitaja, kes on puhkusel, magab või lahkunud, tõeline operatiivne risk, seega käsitage teist kohta pigem vajaliku kui valikulisena.
EU Login on juurdepääsuvahend ja mõlemad inimesed saavad selle juba täna luua
Platvormi kontod autenditakse teenuse EU Login kaudu; see on Euroopa Komisjoni ühine sisselogimisteenus, mida kasutatakse kõigis tema veebisüsteemides. Looge üks esmasele esindajale ja üks teisesele esindajale aadressil ecas.ec.europa.eu, kasutades tööalaseid e-posti aadresse, mis on olemas ka aasta pärast. Mitmeteguriline autentimine on kohustuslik: ENISA nõuab EU Logini kontol MFA-d enne esimest juurdepääsu platvormile, seega kui teie inimestel on juba tavalised EU Logini kontod, laske neil MFA praegu sisse lülitada, mitte intsidendi ajal. EU Logini kontod on isiklikud ja ENISA ei halda nende peal eraldi ettevõtte autentimist. Komisjon selgitab, mis on EU Login ja kuidas see sobitub tema laiemasse identiteediraamistikku, oma usaldusväärse digiidentiteedi lehtedel.
Registreerimisprotsess
Platvormile esmakordsel sisenemisel valite oma rolli, valite oma määratud CSIRTi rippmenüüst, autendite EU Logini kaudu, loete ja aktsepteerite õigusliku kokkuleppe, kinnitate oma eeltäidetud isikuandmed (eesnimi, perekonnanimi, e-post, juriidiline nimi) ning sisestate seejärel tootja nime, aadressi ja lisateabe. Kohustusliku tootjavälja täitmata jätmine blokeerib protsessi. Lõpetamisel on teie konto olek „Active“ ja teil on "AR Primary User" roll, saate kinnituse e-kirja ja platvormil luuakse tootja üksus.
The teisene esindaja liitub e-posti kutse kaudu esmaselt esindajalt; ta kinnitab eeltäidetud isiku- ja tootjaandmed ning registreeritakse rollis "AR Backup User" sama tootja juures. See kutse aegub 7 päeva pärast, misjärel märgitakse kirje olekuks „Invitation Expired“ ja tuleb saata uus kutse. Seadistage varukonto samal ajal kui peamine konto; keset intsidenti avastatud aegunud kutse on välditav probleem.
CSIRT kontrollib teie esindajat käsitsi, kuid see ei takista teil teateid esitada
Keegi peab kinnitama, et konkreetne isik tohib tõepoolest konkreetse tootja nimel teateid esitada, ja see kontroll on koordinaatoriks määratud CSIRTi ülesanne, mida ENISA lühendab nüüd CDaC. Tegemist on käsitsi tehtava sammuga, menetlus on CSIRTide lõikes erinev ja iga CSIRT vastutab oma lähenemise eest. Oluline on, et see toimub pärast teie esimest sisenemist platvormile ja kulgeb paralleelselt teie teatega. Oma uuenduses kuupäevaga 3. august 2026 kinnitas ENISA selle lõplikult: CDaC valideerimine ei ole CRA teavitamiskohustuse täitmise eeltingimus, ega mõjuta teie võimet teateid esitada. Valideerimata konto saab siiski 24 tunni akna jooksul teate esitada.
Seetõttu soovitab ENISA registreeruda ja valideerimist alustada alles siis, kui teil on tõepoolest vaja teade esitada, selle asemel et registreerida kogu turg ette ja matta CSIRTid spekulatiivsete kontrollide alla. Ettevalmistus, mille saate ette teha, on EU Logini kontod ja otsus selle kohta, kes kaks kohta täidab, mitte platvormil registreerimine ise.
Kui esindaja seob oma konto tootjaga menüüs Association Management, luuakse seos olekuga Unverified ja kontrollitaotlus läheb CDaC-le. Liidese juhendis kuupäevaga 14. august 2026 seati ülempiiriks 10 teadet. Kuupäeval 4. september 2026 kahekordistas selle: mittevalideeritud esindaja võib esitada ühe tootja kohta kuni 20 teadet enne kui valideerimine muutub kohustuslikuks, ja liidesejuhend, mis sai uue kuupäeva 9. september 2026 , ütleb nüüd samuti kakskümmend.
Mõlemad väited kehtivad koos: valideerimine ei ole takistus teie esimesele teatele, kuid seda ei saa ka lõputult edasi lükata. ENISA ei ütle, mis juhtub kahekümne esimesel katsel ega seda, kas ülempiir loeb sündmusi või üksikuid esitusi. Kui kopeerisite augustis oma sisemenetlusse „kümme“, parandage see kahekümneks. Kakskümmend on ühe tootega ettevõtte jaoks helde ja mitme üksuse kaudu teateid esitava kontserni jaoks siiski piiratud, seega kui see puudutab teid, alustage vestlust oma koordineeriva CSIRTiga, selle asemel et oodata, kuni intsident selle peale sunnib.
Üks konto võib hõlmata mitut tootjat
Sama juhend sätestab kahe kohaga seotud korralduse. Peamine esindaja kutsub varuisiku e-posti aadressi kaudu, mis loob kirje märkega "Pending Invitation" ilma rollita, kuni see vastu võetakse. Teisene esindaja võib taotleda ülendamist peamiseks, mis läheb CDaC-le läbivaatamiseks. ENISA vormistas selle 17. septembril 2026, märkides KKK küsimuse 9 kui „[UUENDATUD]“, sedastades, et teisene AR „ei oma samu haldusõigusi mis peamine AR, kuid võib taotleda peamise AR rolli, tingimusel et määratud CSIRT selle läbi vaatab ja kinnitab“. Kumbki võib seose eemaldada, mis seejärel märgitakse "Deleted". Ja üks konto võib kanda seoseid mitme tootjaga, millest igaüks lisatakse menüüs Association Management ja igaüks kontrollitakse eraldi.
See viimane punkt on oluline kontsernidele, kellel on mitu tootmisüksust, ja ettevõtetele, kes tegutsevad artikli 18 alusel väljaspool ELi asuvate tootjate eest. Just seal hammustab allpool kirjeldatud nimetuslõks kõige valusamalt.
ENISA juhend on kirjutatud terminile „Assigned Representatives“ (AR), kus on peakasutajad ja varukasutajad. See on platvormi konto roll. See ei ole volitatud esindaja ehk isik, kes on määratud kirjaliku volitusega CRA artikli 18 alusel. Esimene võib teil olla ilma teiseta. Hoidke need kaks oma sisemenetluses lahus, muidu vaidlete lõpuks juriidilise määramise üle, kuigi vaja on üksnes teist sisselogimist.
06Teate esitamine
Teavitamine käib töölaualt. Te loote teate ja lisate seejärel igas etapis samale kirjele, selle asemel et esitada kolm eraldi asja. Igal etapil on oma vahekaart ja igaühe saab esmalt mustandina salvestada. Töölaualt saab otsida teate ID, tootja või pealkirja järgi, sortida pealkirja või viimase uuenduse järgi ning filtreerida liikmesriigi, esitusliigi või Action Required märgise järgi.
Liidesejuhend, mis sai uue kuupäeva 9. september 2026, on üheselt selge: peamine esindaja näeb kõiki tootjaga seotud teateid, kuid teisene esindaja näeb ainult enda esitatud teateid ja enda loodud mustandeid ega saa vaadata teateid, mille on sama tootja kohta esitanud teine esindaja. Mustandid on nende autori jaoks privaatsed, neid ei jagata ettevõtte sees.
Kujutlege tagajärge. Keegi alustab 24 tunni varajast hoiatust, salvestab mustandi ja muutub siis kättesaamatuks; varuisik avab töölaua ega leia midagi ning 24 tunni aken on kogu selle aja teadasaamisest kulgenud. Koostage sõnastuse mustand väljaspool platvormi, dokumendis, mida teie intsidendimeeskond juba jagab, ja kasutage platvormi selle ümberkirjutamiseks.
- Varajane hoiatusAlustage töölaualt uut teadet, täitke kohustuslikud väljad ja valige olemasolev tootja või lisage uus. Esitamisel on see kättesaadav teie määratud CSIRTile ja automaatselt ENISAle. Kinnitused e-kirja ja teavitusena saadetakse CSIRTile, ENISAle ja kõigile sellele tootjale registreeritud esindajatele, mitte ainult esitajale.
- 72 tundiKättesaadav alles siis, kui varajane hoiatus on olemas. Avage sama teade ja täitke 72 tunni vahekaart. ENISA saab selle automaatselt, välja arvatud juhul, kui tuginete artikli 16(2) tingimustele, mille korral märgistatakse kirje märkega „72h Submitted under PEC“ ja ENISA vaade on piiratud, kuni CSIRT selle vabastab.
- LõpparuanneKättesaadav alles siis, kui mõlemad varasemad etapid on olemas. ENISA saab selle automaatselt, välja arvatud juhul, kui tugineti artikli 16(2) tingimustele.
ENISA juhend kuupäevaga 3. august 2026 märgib, et teised asjaomased CSIRTid saavad varajase hoiatuse, 72 tunni teate ja lõpparuande alles pärast käsitsi levitamist koordinaatoriks määratud CSIRTi poolt. 31. juuli tekstis öeldi seda üksnes lõpparuande kohta. Teie kohustuses ei muutu midagi ja CDaC on artikli 16(2) alusel endiselt kohustatud levitama viivitamata, kuid tasub teada, et teie teate ja teiste turgude vahel, kus teie toodet müüakse, seisab üks inimene ühes riiklikus CSIRTis.
Mis on kohustuslik ja millal
ENISA on avaldanud, millised väljad on igas etapis kohustuslikud. Tabel korrigeerib kasulikult laialt levinud eeldust: 24 tunni varajane hoiatus on hoiatus, mitte uurimine.
- 24 tunni jooksul; teate liik ja tase, tootja või haldaja nimi, toode ja pealkiri. Intsidentide puhul see, kas kahtlustatakse õigusvastaseid või pahatahtlikke tegusid. Liikmesriike, kus toode on kättesaadav, nõutakse üksnes siis, kui teil on see teave juba olemas.
- 72 tunni jooksul; haavatavuse ja ärakasutamise üldine laad, võetud parandus- või leevendusmeetmed ning meetmed, mida saavad võtta kasutajad. Intsidentide puhul see, millal see avastati ja millal see toimus, ning esialgne hinnang. Tundlikkus märgitakse siin.
- Lõpparuandes; täielik kirjeldus, raskusaste ja mõju, kuupäev, mil parandusmeede muutus kättesaadavaks, ning turvavärskenduse üksikasjad. Intsidentide puhul tõenäoline algpõhjus ja käimasolevad leevendusmeetmed.
Vabatahtlike väljade hulgas, mida tasub siiski täita, on CVE ID ja the EUVD ID, mis mõlemad on saadaval alates esimesest etapist.
Igal väljal on tähemärgipiirang ja üks neist on väga lühike
ENISA SRP sõnastik, milles väljade suurused anti esimest korda versioonis 1.1 kuupäevaga 5. september 2026 ja mis on nüüd versioonis 1.3 kuupäevaga 10. september 2026, on ENISA dokument, mis avaldab iga lahtri suuruse. Kirjutage oma sisemised mallid nende piirangute järgi, selle asemel et avastada neid kell kaks öösel:
- 4000 tähemärki kirjeldavate väljade jaoks: kokkuvõte, üldine teave haavatavuse või intsidendi kohta, parandusmeetmed, mida kasutajad saavad võtta, raskusastme ja mõju täielikud kirjeldused, esialgne hinnang ning intsidentide puhul rakendatud ja käimasolevad leevendusmeetmed.
- 2000 tähemärki paranduslike või leevendavate meetmete jaoks, mille olete juba võtnud, ning lõpparuandes turvavärskenduse või parandusmeetme üksikasjade jaoks.
- 800 tähemärki vabatekstilise põhjenduse jaoks, mis lisatakse PEC-taotlusele 72 tunni haavatavusteate juures.
- 255 tähemärki pealkirja, tootenime, toote versioonivahemiku, komponendi nime, ründevektori, tundlikkuse põhjenduse ja tõenäolise algpõhjuse jaoks.
- 100 tähemärki haavatavust ära kasutanud pahatahtliku osaleja jaoks. See on umbes üks rida, seega kavandage osaleja nimetamist või viitamist indikaatorile, mitte kampaania kirjeldamist.
Sõnastik kinnitab ka üht väikest mugavust: väli Liikmesriigid, kus toode on kättesaadav saabub eeltäidetuna teie enda koordineeriva CSIRT-iga ja ülejäänud turud lisate ise.
Muutmine ja tagasipöördumatuse punkt
Esitatud teadet saab uuendada ja platvorm saadab automaatselt teavituse ja e-kirja teie CSIRTile ning ENISAle ja kõigile CSIRTidele, kes on selle levitamise kaudu juba saanud. Kehtib kaks piirangut: suletud teadet ei saa uuendada ja kirje muutub mittemuudetavaks, kui lõpparuanne on esitatud.
Jälgige teavituste vahekaarti, ka nädalavahetusel
Igal kontol on Alerts vahekaart, mis on värvikoodiga: lugemata teavitused on helesinised ja muutuvad pärast avamist halliks ning punased teavitused ilmuvad ainult siis, kui on juhtunud midagi erakorralist. ENISA toob näiteks määratud CSIRTi, kes on esituse kehtetuks tunnistanud. Esitamine ei ole seega suhtluse lõpp ja ükski artikli 14 tähtaeg ei nihku seetõttu, et teade tuli teile tagasi. See, kes seda vahekaarti jälgib, peab seda jälgima ka väljaspool tööaega, mis on täiendav argument mõlema koha taga oleva jälgitava meeskonnapostkasti kasuks kahe isikliku aadressi asemel.
Platvormi 72 tunni loendur ei alga teadasaamisest
KKK avab, kuidas ekraanil kuvatavad loendurid tegelikult käituvad, ja need ei järgi seaduses sätestatud tähtaega. ENISA uuendas KKK-d 10. september 2026, avamisele eelnenud päeval, ja jättis selle vastuse alles, nii et siin kirjeldatud käitumine on see käitumine, mis päriselt käivitus. Praeguses versioonis 72 tunni loendur näitab tähtaega, mis on 48 tundi pärast 24 tunni teate esitamist, mitte 72 tundi pärast teadasaamist. ENISA ütleb selgelt, et teade võib seetõttu näida hilinenud enne, kui teadasaamisest on möödunud 72 tundi, ning et loogikat muudetakse hilisemas versioonis nii, et see loeb väljast „date and time when you became aware“, ja seda nii haavatavuste kui ka intsidentide puhul.
Lõpparuande loendurid on jälle teistsugused. Kui tegemist on tõsise intsidendiga , näitab loendur ühte kuud pärast 72 tunni teadet. Kui tegemist on aktiivselt ärakasutatava haavatavusega , ei ole loendurit üldse, sest tähtaeg sõltub sellest, millal parandusmeede kättesaadavaks muutub, ja seda platvorm teada ei saa.
ENISA ütleb selgelt, et loendurid on olemas nähtavuse huvides ja ei asenda artiklis 14 sätestatud kohustust. Alustage oma ajaarvestust teadasaamise hetkest ja märkige see oma intsidendipäevikusse. Varajase hoiatuse kiire esitamine, mida seadus just soovibki, muudab ekraanil oleva loenduri rangemaks kui seaduses sätestatu. Ekraanil olev märge „overdue“ ei ole nõuetele mittevastavuse tuvastamine ja roheline loendur ei ole kaitseargument.
Käivitamisel platvorm ei salvesta, millal te teadlikuks saite
5. septembril 2026 asendas ENISA oma väljade kaupa koostatud SRP sõnastiku versiooniga 1.1 ja kaks selles olevat joonealust märkust loevad rohkem kui miski muu sellel lehel. Aktiivselt ärakasutatava haavatavuse puhul kannab väli Date/time when you become aware märkust, et see muutub kättesaadavaks platvormi järgmises versioonis. Tõsise intsidendi puhul märgitakse, et praeguses versioonis kannab samaväärne väli nime Date/time the incident was detected.
Kõrvutatuna ülaltoodud loenduriloogikaga sulgub sellega ring. KKK ütles, et 72 tunni loendur parandatakse siis, kui teadasaamise väli saabub; sõnastik ütles, et väli saabub hilisemas versioonis. Kumbki ei liikunud enne avamist: ENISA vaatas sõnastiku uuesti läbi versiooniks 1.3 kuupäeval 10. september 2026 ja jättis mõlemad joonealused märkused puutumata. Nii ei salvesta platvorm esimesest päevast peale haavatavuste puhul üldse teadasaamise ajatemplit ja intsidentide puhul salvestab avastamise hetke, mis ei ole teadasaamise hetk.
Komisjoni suuniste kohaselt, mis on antud 27. juuli 2026 , saate teadlikuks siis, kui esialgne hinnang annab teile mõistliku kindluse taseme selles, et teie tootes olevat haavatavust kasutatakse ära või et on toimunud tõsine intsident. Avastamine toimub tavaliselt varem, mõnikord palju varem. Kuna platvorm salvestab avastamise hetke, mitte hinnangu hetke, ei ole selle säilitatav kirje see hetk, millest arvestab artikkel 14. Pidage ise ajatempliga märkust selle kohta, millal esialgne hinnang lõpetati ja kes selle otsuse tegi. Kui turujärelevalveasutus kunagi küsib, miks varajane hoiatus saabus just siis, on teie tõendiks see märkus, mitte platvorm.
ENISA lisas katkestusi käsitleva vastuse kuupäeval 4. september 2026. Kui SRP on ajutiselt kättesaamatu, oodake, kuni see taastub, ja esitage siis teade. Kui vahepeal on vaja viivitamatut suhtlust, võite pöörduda otse oma määratud CSIRTi poole, kuid teade tuleb siiski esitada platvormi kaudu, kui teenus taastub.
Tasub selgelt öelda, sest ENISA seda ei tee: miski CRA-s ei peata katkestuse ajal 24 tunni, 72 tunni, 14 päeva ega ühe kuu tähtaegu. Märkige katkestuse ja iga otsekontakti ajatempel ning hoidke mõlemat koos oma teadasaamise ajatempliga.
ENISA teatab, et esialgses versioonis rakendusliidest ei pakuta, ja et API funktsionaalsust võidakse kaaluda tulevases etapis. Te saate avastamise, triaaži ja koostamise ettevõttesiseselt automatiseerida, kuid esitamine ise tähendab inimest, kes täidab brauseris vormi. Kavandage see üleandmine teadlikult ja tagage, et seda saab teha rohkem kui üks inimene ka väljaspool tööaega ja nädalavahetusel.
Platvorm hakkab lõpuks vastu võtma vabatahtlikke teateid haavatavuste, küberohtude, intsidentide ja ohuolukordade kohta mis tahes füüsiliselt või juriidiliselt isikult, mitte ainult tootjatelt. 31. juuli 2026 KKK ütles, et see võimaldatakse pärast 11. septembrit 2026. Nii ei läinud. Avatud platvorm võtab vastu ainult artiklite 14 ja 24 kohaseid kohustuslikke teateid ning artikli 15 kohane vabatahtlik teavitamine on lükatud kuupäevata tulevasse etappi.
ENISA sõnastab nüüd tagajärje kõigi teiste jaoks. Kui te ei ole tootja ja soovite teatada haavatavusest või muust turvaprobleemist, võtke otse ühendust asjaomase riikliku CSIRTiga, sest selle asemel platvormi kaudu tehtud esitus võidakse märkida „kehtetuks“. Midagi õiguslikult nõutut ei puudu, kuid puudub madala riskiga proovivoor ja avalikustamisprotsessil, mis kavatses suunata ärakasutamata haavatavused SRP kaudu, ei ole neid endiselt kuhugi saata.
07Mida saate juba täna teha
24 tunni akna järgimine on tegevuslik, mitte paberitöö probleem. Nüüd, kui platvorm on avatud, ei ole allolev nimekiri enam ettevalmistus tulevaseks sündmuseks; kohustus kehtib ja kõik siinne, mida te ei ole teinud, on risk, mitte plaan.
- Looge oma EU Logini kontod koos sisselülitatud MFA-ga. Peamisele teavitajale ja vähemalt ühele varuisikule. See võtab minuteid aadressil ecas.ec.europa.eu, ja platvorm ei lase kedagi sisse ilma mitmeteguriline autentimiseta, seega on selle sisselülitamine osa ülesandest, mitte selle täiendus.
- Tehke kindlaks oma määratud CSIRT. ENISA avaldas koordinaatorite loetelu kõigi 27 liikmesriigi kohta 4. septembril 2026, seega on see nüüd ülesanne, mille saate lõpuni viia. Kohaldage artikli 14(7) peamise tegevuskoha testi, valige oma rida ja pange põhjendus kirja.
- Koostage 24 tunni vorm ettevõttesiseselt. Lühike mall, mis vastab ENISA kohustuslikele varajase hoiatuse väljadele, nii et teie esimene tegelik teade on ümberkirjutamine, mitte koostamine. Hoidke seda kohas, mida mõlemad esindajad saavad avada, sest platvormi mustandid on nähtavad ainult nende loojale.
- Nimetage inimesed, sealhulgas väljaspool tööaega. Otsustage, kes hindab, et teade tuleb esitada, kes selle koostab ja kes selle esitab. Kuna API-t ei ole, on viimane samm nimeliselt määratud inimene klaviatuuri taga.
- Pidage täpset SBOM-i. Te ei saa teatada komponendist, mille tarnimisest te ei teadnud. Pidage tarkvara koostisosade loendit ja hoidke seda väljalasete muutudes ajakohasena.
- Jälgige seda pidevalt. Võrrelge oma komponente teadaolevate haavatavuste allikatega, et aktiivselt ärakasutatav viga tuleks välja tundidega, mitte nädalatega. Meie SBOM ja haavatavuse analüsaator jälgib teie koostisosade loendit NVD ja ELi haavatavuste andmebaasi (EUVD) suhtes.
- Kinnitage, mis tegelikult kuulub kohaldamisalasse. 72 tunni etapis küsitakse toote liiki ning III või IV lisa kategooriat, seega otsustage klassifikatsioon enne, kui seda vajate. Klassifitseerimistööriist vastab sellele ja vastavusmaatriks seob teavitamise laiema I lisa haavatavuste käsitlemise kohustuste raamistikuga, mille raames see asub.
- Otsustage, kes loeb teavituste vahekaarti väljaspool tööaega. Määratud CSIRT võib esituse kehtetuks tunnistada ja sellekohane teavitus jõuab platvormile, mitte üksnes teie postkasti. Pange mõlema esindajakoha taha jälgitav postkast.
- Ärge lootke platvormi loendurile. Registreerige teadasaamise ajatempel ise. Ekraanil olev 72 tunni loendur kulgeb 24 tunni teate esitamisest, mitte teadasaamisest, seega võib see märkida teate hilinenuks enne, kui seaduslik tähtaeg on möödunud.
- Read the AR User Manual, and watch the tutorial video. ENISA published the manual at launch and added the AR User Tutorial Video within days, so between the two, plus the guidance pages, you have the fullest available description of the live platform.
- Enne esitamist kontrollige, et valisite õige koordinaatori. ENISA hoiatab nüüd, et vale koordinaatoriks määratud CSIRTi valimine võib viia teate kehtetuks tunnistamiseni, jättes teid esitama seda uuesti õigele, samal ajal kui kell endiselt tiksub.
08Jälgige seda algallikast
See lehekülg kajastab olukorda 11. septembril 2026, päeval, mil platvorm avati. Olukord muutub edasi ja ENISA toimetab oma lehekülgi vaikselt, selle asemel et igast muudatusest teada anda. Käivitamisele eelnenud nädalal kirjutati KKK 4. septembril 2026 ümber ja uuendati uuesti 10. septembril 2026, koordinaatorite nimekiri ilmus 4. septembril 2026 ja sai 10. septembril 2026 uue kuupäeva, sõnastik jõudis versioonini 1.1 5. septembril 2026 ja versioonini 1.3 10. septembril 2026, eriti erandlike asjaolude juhend saabus 9. septembril 2026 ning AR User Manual ja platvormi tingimused avaldati 10. septembril 2026. Alates käivitamisest uuendati KKK-d uuesti 12. septembril 2026 (AR-kasutaja juhendvideo läks käiku ja SRP teabeleht ilmus veel üheksas keeles) ning 17. septembril 2026, mil küsimus 9 märgiti kui „[UUENDATUD]“, dokumenteerimaks, et teisene AR võib taotleda peamise AR rolli, tingimusel et CDaC selle läbi vaatab. Toeküsimuste jaoks avaldab ENISA kesklehel kasutajatoe aadressi, cra-srp-helpdesk [at] enisa.europa.eu. Need on esmased allikad; kõik ülaltoodu on meie lugemisviis neist.
Soovitasime varem märkida see tempel kõige juurde, mille kopeerite sisemenetlusse. See nõuanne vajab täpsustust. Ajavahemikus 7.–9. septembrini 2026 vahel kirjutas ENISA põhjalikult ümber lehe AR Notification submission and update jättes selle märke kuupäevaks 3/08/2026: terminoloogia muutus läbivalt vormiks CDaC , viited riiklikule lõpp-punktide andmekihile jäeti välja, esitamise kinnitused lähevad nüüd kõigile tootja määratud esindajatele, mitte üksnes esitajale, ning varajase hoiatuse kohta öeldakse nüüd sõnaselgelt, et see jõuab teiste asjaomaste CSIRTideni alles pärast käsitsi levitamist. Kui mõni juhendleht on teie menetluse jaoks oluline, hoidke alles oma dateeritud koopia tekstist, selle asemel et usaldada kuupäeva, mille ENISA sellele trükib.
Käivituspäev näitas seda taas. 11. septembri 2026 hommikul oli AR liidese funktsioonide lehel endiselt kuupäev 14/08/2026 ja kinnitamata esindajate ülempiir oli endiselt kümme; pärastlõunal oli lehel 9. september 2026 ja seal seisis kakskümmend, ilma igasuguse teadaandeta. Keskleht märgib PEC-juhendi uuendatuks 10. septembril 2026, samal ajal kui leht ise kannab kuupäeva 9. september 2026, ja sõnastik liikus versioonist 1.1 versiooni 1.3 samal vaiksel viisil. Kui kaks ENISA lehte on vastuolus, pidage KKK-d neist kahest ajakohasemaks.
- ENISA · Ühtne teavitamisplatvorm ise (töös alates 11. septembrist 2026); valige roll Assigned Representative ja logige sisse EU Logini kaudu mitmeteguriline autentimisega. Siin esitatakse teated.portal.cra-srp.enisa.europa.eu
- ENISA · Ühtne teavitamisplatvorm; keskleht koos teabelehe, kasutusjuhendi, kasutajatoe aadressi ja linkidega igale juhendleheküljele.enisa.europa.eu/topics/product-security/single-reporting-platform-srp
- ENISA · SRP korduma kippuvad küsimused (uuendatud 10. septembril 2026); õiguslik alus, tähtajad, suunamine, väljade tabel, loendurite loogika, mida teha katkestuse ajal, ja platvormi aadress. Ümber kirjutatud 4. septembril ja täiendatud käivitamisele eelnenud päeval. ENISA SRP lehtedest kõige ajakohasem ja see, mida eelistada, kui need on vastuolus.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions
- ENISA · CRA SRP AR User Manual (10. september 2026); käivitamispäeva juhend Assigned Representativede jaoks ja kõige täielikum üksikkirjeldus platvormist sellisena, nagu see tegelikult avanes.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-ar-user-manual
- ENISA · Koordinaatoriteks määratud CSIRTide loetelu (avaldatud 4. september 2026, uuendatud 10. september 2026); kontaktpunktid kõigi 27 liikmesriigi kohta. Leidke oma rida, kasutades artikli 14(7) testi jaotises 04.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/list-of-csirts-designated-as-coordinators
- ENISA · CRA SRP sõnastik (versioon 1.3, 10. september 2026); välja kaupa juhised selle kohta, mida iga teavitusväli tähendab, kuidas seda täita, milline on eeldatav vorming, milline on tähemärgipiirang ja millises etapis see kehtib. Pange tähele aadressi: ENISA viis sõnastiku üle URL-ile glossary2 ja vanemale viidatakse endiselt mõnel tema enda lehel, seega kontrollige ülaosas olevat versioonirida, enne kui koopiale toetute.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-glossary2
- ENISA · SRP kasutaja registreerimise juhend; samm-sammult registreerimisprotsess peamistele ja varukasutajatele koos liidese ekraanipiltidega.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-user-registration
- ENISA · SRP teate esitamise juhend; kuidas varajast hoiatust, 72 tunni teadet ja lõpparuannet esitatakse ja uuendatakse ning mida iga staatus käivitab.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-notification-submission-and-update
- ENISA · SRP liidese funktsioonide juhend (9. september 2026); seaded, seosed tootjatega, töölaud ja teavituste vahekaart. Sai uue kuupäeva käivituspäeval endal ja on nüüd KKK-ga ühel meelel, et kinnitamata seos võib esitada kuni 20 teadet.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-interface-functions
- ENISA · CRA SRP tingimused (versioon 1.0, 10. september 2026); tingimused, millega nõustute, kui platvormil registreerute, avaldatud päeval enne selle avamist.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-single-reporting-platform-terms-and-conditions
- ENISA · SRP juhend eriti erandlike asjaolude kohta (9. september 2026); millal PEC kohaldub, 72 tunni vormi lüliti ja viivitamise põhjused ning mida koordineeriv CSIRT põhjendusega teeb. Viies juhendleht ja ainus, mis käsitleb PEC-i otseselt.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-particular-exceptional-circumstances-pec
- Euroopa Komisjon · CRA teavitamiskohustused; poliitikaleht, sealhulgas CRA rakendamise KKK, mille 5. jagu käsitleb teavitamist. Komisjon uuendas seda lehte 11. septembril 2026, et kinnitada, et platvorm on nüüd töökorras, ning komisjoni eraldiseisev KKK dokument uuendati viimati 4. septembril 2026.digital-strategy.ec.europa.eu/en/policies/cra-reporting
- Euroopa Komisjon · CRA kohaldamise juhend (27. juuli 2026); punkt 9.1 sätestab tootjate ja avatud lähtekoodiga tarkvara haldajate teavitamiskohustused. Meie juhendi kokkuvõte käsitleb ülejäänut.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
- EU Login; looge konto, mida platvorm kasutab, ja lülitage sellel sisse mitmeteguriline autentimine. Tehke seda kohe.ecas.ec.europa.eu/cas/login
Siduva teksti leiate artiklitest 14 kuni 17, mis sätestavad teavitamise ökosüsteemi, ja artiklist 16, mis loob platvormi; lugege neid meie määruse lugejas. Verstapostide kuupäevi jälgitakse praeguse seisu lehel.
09Levinud küsimused
Mida pean CRA alusel teatama ja kui kiiresti?
Aktiivselt ärakasutatavatest haavatavustest ja tõsistest intsidentidest, mis mõjutavad teie toote turvalisust. Varajane hoiatus 24 tunni jooksul alates teadasaamisest, põhjalikum teade 72 tunni jooksul ja lõpparuanne 14 päeva jooksul alates parandusmeetme kättesaadavaks muutumisest haavatavuse puhul või ühe kuu jooksul alates 72 tunni teatest tõsise intsidendi puhul. Art. 14
Millal algavad teavitamiskohustused?
11. september 2026; 21 kuud pärast seaduse jõustumist, kaugelt enne täielikku kohaldamist 11. detsembril 2027.
Kellele pean teatama?
ENISAle ja koordinaatoriks määratud riiklikule CSIRTile artikli 16 alusel loodud ühtse teavitamisplatvormi kaudu. Teie CSIRT tuleneb teie peamisest tegevuskohast liidus või teie volitatud esindaja omast, kui te ei ole ELis asutatud.
Kas koordineerivate CSIRTide loetelu on avaldatud?
Jah, alates 4. septembrist 2026. ENISA avaldab kontaktpunktid kõigi 27 liikmesriigi kohta. Loetelu näitab iga liikmesriigi koordinaatorit; see, milline neist on teie oma, sõltub endiselt artikli 14(7) peamise tegevuskoha testist, mis lähtub sellest, kus tehakse peamiselt otsused teie toodete küberturvalisuse kohta.
Kas pean teatama igast veast või haavatavusest?
Ei. Teatatavad on ainult aktiivselt ärakasutatavad haavatavused ja tõsised intsidendid. Haavatavusi, mille leiate ja parandate enne nende ärakasutamist, hallatakse teie tavapärase haavatavuste käsitlemise protsessi kaudu.
Kas ENISA ühtne teavitamisplatvorm on juba saadaval?
Jah. See avati 11. septembril 2026, samal päeval, mil artikli 14 kohustusi hakati kohaldama, aadressil portal.cra-srp.enisa.europa.eu. Valige roll Assigned Representative ja logige sisse EU Logini kontoga, millel on sisse lülitatud mitmeteguriline autentimine. ENISA avaldas aadressi oma KKK-s 10. septembril 2026, avamisele eelnenud päeval.
Mis puudub avatud platvormil?
Neli asja, millega tasub arvestada. Artikli 15 kohane vabatahtlik teavitamine puudub, kuupäeva ei ole. API-t ei ole, seega on esitamine inimene, kes täidab brauseris vormi. 72 tunni loendur jookseb teie varajase hoiatuse esitamisest, mitte teadasaamisest, nii et see võib näidata esitust hilinenuna enne seaduses sätestatud tähtaja möödumist. Ja väli, mis salvestab, millal te aktiivselt ärakasutatavast haavatavusest teada saite, on hoitud hilisema versiooni jaoks. Platvorm on samuti praegu ainult inglise keeles.
Mida teha, kui platvorm ei tööta ajal, mil pean teate esitama?
ENISA vastus, mis lisati 4. septembril 2026, on oodata ja esitada teade siis, kui platvorm on taas kättesaadav. Kui vahepeal on vaja viivitamatut suhtlust, võite pöörduda otse oma määratud CSIRTi poole, kuid teade tuleb hiljem siiski esitada platvormi kaudu. Pange tähele, et miski CRA-s ei peata katkestuse ajal teie tähtaegu, seega märkige katkestuse ja iga otsekontakti ajatempel.
Kas platvormi loendur vastab minu seaduslikule tähtajale?
Mitte päris. Praeguses versioonis näitab 72 tunni loendur tähtaega, mis on 48 tundi pärast 24 tunni teate esitamist, mitte 72 tundi pärast teadasaamist, seega võib teade näida hilinenuna enne seadusliku tähtaja möödumist. ENISA teatab, et loogikat muudetakse hilisemas versioonis ja et loendurid ei asenda artikli 14 kohustust. Pidage ise aega, alustades teadasaamise hetkest.
Kas platvorm salvestab, millal ma teadlikuks sain?
Käivitamisel mitte. SRP sõnastik, versioon 1.3 kuupäevaga 10. september 2026, ütleb, et aktiivselt ärakasutatava haavatavuse teadasaamise väli tuleb alles hilisemas versioonis ja et tõsise intsidendi puhul salvestab praegune väli avastamise hetke. Avastamine eelneb tavaliselt teadasaamisele, mille Komisjoni 2026. aasta juuli suunised seovad esialgse hinnanguga, mis jõuab mõistliku kindluseni. Pidage ise arvestust selle kohta, millal see hinnang lõpetati.
Kas ma saan tugineda PEC-ile tõsise intsidendi puhul?
Ei. ENISA 9. septembri 2026 juhend sätestab, et eriti erandlikud asjaolud kohalduvad üksnes aktiivselt ärakasutatava haavatavuse 72 tunni teatele. Tõsise intsidendi teate puhul PEC-i juhtelementi ei ole. Pange tähele ka, et PEC-ile tuginemine on taotlus: koordineeriv CSIRT otsustab, kas see vastu võtta, ning talle on abiks vabatahtlik põhjendus, mille esitate.
Kui pikk võib iga väli olla?
Sõnastik avaldab piirangud: 4000 tähemärki kirjeldavate väljade jaoks, 2000 juba võetud meetmete ja turvavärskenduse üksikasjade jaoks, 800 PEC-põhjenduse jaoks, 255 pealkirja, toote, komponendi, ründevektori ja algpõhjuse jaoks ning ainult 100 pahatahtliku osaleja jaoks. Koostage oma sisemine mall nende suuruste järgi.
Kas peaksin platvormil kohe registreeruma?
ENISA ütleb ei ja soovitab registreeruda alles siis, kui teil on tegelikult vaja teadet esitada, mitte ennetavalt. See, mida peaksite praegu tegema, on luua EU Login kontod, mida platvorm kasutab, sisselülitatud mitmeteguriline autentimisega, esmasele teavitajale ja varule. Koordineeriv CSIRT valideerib teie konto pärast esimest juurdepääsu, mitte enne seda, ja ENISA kinnitab, et see valideerimine ei ole teavitamiskohustuse täitmise eeltingimus ega takista esitamist.
Kas enne CSIRTi-poolset kontrollimist kehtib teadete esitamisele piirang?
Jah, ja arv on muutunud. ENISA liidese juhend kuupäevaga 14. august 2026 seadis selleks 10 teadet; 4. septembril 2026 ümber kirjutatud KKK ja 9. septembril 2026 uue kuupäeva saanud liidesejuhend ütlevad mõlemad, et mittevalideeritud esindaja võib esitada kuni 20 teadet ühe tootja kohta, enne kui valideerimine muutub kohustuslikuks. Valideerimine ei ole takistus teie esimesele teatele, kuid seda ei saa ka lõputult edasi lükata.
Kas minu varuteavitaja näeb mustandit, mille ma alustasin?
Ei. Töölaud näitab ainult sisselogitud esindaja loodud mustandeid, seega pooleliolev varajane hoiatus ei ole teie varuisikule nähtav. Koostage mustand väljaspool platvormi, dokumendis, mida teie intsidendimeeskond jagab, ja kasutage platvormi selle ümberkirjutamiseks.
Kas ma saan teateid esitada API kaudu?
Ei. ENISA teatab, et selles etapis rakendusliidest ei pakuta. Te saate sisemise avastamise ja koostamise automatiseerida, kuid esitamine tähendab inimest, kes täidab brauseris vormi.
Mida peab 24 tunni varajane hoiatus tegelikult sisaldama?
Vähem, kui enamik inimesi eeldab. Kohustuslikud väljad on teate liik ja tase, tootja või haldaja nimi, toode, pealkiri ning intsidentide puhul see, kas kahtlustatakse õigusvastaseid või pahatahtlikke tegusid. Sisuline analüüs tuleb esitada 72 tunni jooksul, mitte esimesel päeval.
Kas teatamiseks on juba standardvorm või mall?
Andmeväljad on avaldatud. ENISA KKK sätestab, millised on kohustuslikud 24 tunni, 72 tunni ja lõpparuande etapis, nii et saate juba täna koostada vastava sisemise malli. Komisjon võib vormingut ja menetlust rakendusaktidega veel täpsustada.
Kas ma saan teate esitamist edasi lükata, kui avalikustamine oleks riskantne?
Esitamist mitte. 24 tunni, 72 tunni ja lõpparuande tähtajad kulgevad alates teadasaamisest ja miski neid ei peata. Te võite märkida tundlikkuse: artikli 16(2) alusel saate märkida kitsad tingimused, mis piiravad seda, mida ENISA näeb, kuni CSIRT vabastab täieliku teate. Otsus edasine levitamine edasi lükata kuulub vastuvõtvale CSIRTile delegeeritud määruse (EL) 2026/881 alusel, mis võeti vastu 11. detsembril 2025.
Kas ma pean teatama ärakasutamisest, millest ma juba enne 2026. aasta septembrit teadsin?
Ei. Kohustus kohaldub alates hetkest, mil te teadlikuks saate, ega laiene haavatavustele, mille aktiivsest ärakasutamisest te olite juba teadlik enne 11. septembrit 2026.
Kas teavitamine kohaldub toodetele, mille lasin turule aastaid tagasi?
Jah. Artikkel 69(2) sätestab, et enne 11. detsembrit 2027 turule lastud tooted kuuluvad määruse kohaldamisalasse üksnes siis, kui neid on alates sellest kuupäevast oluliselt muudetud, kuid artikkel 69(3) teeb sellest artikli 14 puhul sõnaselge erandi: teavitamiskohustust kohaldatakse kõigile kohaldamisalasse kuuluvatele toodetele, mis lasti turule enne 11. detsembrit 2027, olenemata sellest, kas neid on muudetud. Toode võib seega jääda CRA tootenõuete kohaldamisalast välja, kuuludes samal ajal teavitamise kohaldamisalasse. Art. 69(2)–(3)
Kas midagi sellest kohaldub avatud lähtekoodiga projektidele?
Avatud lähtekoodiga tarkvara haldajatel on teavitamiskohustus ulatuses, milles nad on seotud digielementidega toodetega, artikli 24(3) alusel. Komisjoni 27. juuli 2026 juhend käsitleb avatud lähtekoodi üksikasjalikumalt.
Kust saan abi, kui olen väikeettevõte?
ENISA peab kasutajatuge, pöörates erilist tähelepanu VKEdele, ja ka koordinaatoriteks määratud CSIRTid peavad pakkuma kasutajatuge artikli 14 kohustuste osas. ENISA avaldab kasutajatoe aadressi, cra-srp-helpdesk [at] enisa.europa.eu, for questions not answered by the FAQ or the guidance pages. The AR User Manual was published at launch, and the tutorial video followed within days.