01Mitä on ilmoitettava
Asetuksen artikla 14 Cyber Resilience Act luo kaksi ilmoitusvelvollisuutta digitaalisia elementtejä sisältävien tuotteiden valmistajille. Ne ovat kapeampia kuin miltä ensin näyttää: tavanomaiset ohjelmistoviat ja tavalliset korjauspäivitykset eivät kuulu soveltamisalaan. Art. 14
- Aktiivisesti hyväksikäytetyt haavoittuvuudet; tuotteessasi oleva haavoittuvuus, josta on luotettavaa näyttöä siitä, että haitallinen toimija on hyväksikäyttänyt sitä järjestelmässä ilman omistajan lupaa. Haavoittuvuus, jonka löydät ja korjaat ennen sen hyväksikäyttöä, käsitellään tavanomaisessa haavoittuvuuksien hallintaprosessi, ei tätä ilmoituskanavaa.
- Vakavat poikkeamat; poikkeama, joka vaikuttaa kielteisesti tai voi vaikuttaa kielteisesti tuotteen kykyyn suojata tietojen tai toimintojen saatavuutta, aitoutta, eheyttä tai luottamuksellisuutta. Vakavuuskriteerit ovat artiklassa 14(5).
Velvollisuudet eivät rajoitu kaupallisiin valmistajiin. Avoimen lähdekoodin ohjelmistojen ylläpitäjät ovat omien ilmoitusvelvollisuuksiensa piirissä siltä osin kuin ne ovat tekemisissä digitaalisia elementtejä sisältävien tuotteiden kanssa. Art. 24(3)
Jos tuotteesi tietoturvaheikkous on aktiivisessa hyväksikäytössä tai tietoturvapoikkeama on vakavasti vaikuttanut siihen, artiklan 14 kello alkaa käydä. Kaikki muu pysyy päivittäisen haavoittuvuuksien hallinnan piirissä.
Haavoittuvuutta, jonka aktiivisesta hyväksikäytöstä tiesit jo ennen ilmoitusvelvollisuuden soveltamisen alkamispäivää 11. syyskuuta 2026, ei tarvitse ilmoittaa. Velvollisuus kytkeytyy hetkeen, jona tulet tietoiseksi, joten se kattaa sen, minkä saat tietää kyseisestä päivästä eteenpäin, ei sitä aiempaa.
Tämä on se kohta, joka yllättää monet, ja siitä kannattaa olla täsmällinen. Artikla 69(2) asettaa yleisen siirtymäsäännön: tuotteet, jotka on saatettu markkinoille ennen 11. joulukuuta 2027 kuuluvat asetuksen soveltamisalaan vain, jos niitä on olennaisesti muutettu kyseisestä päivästä alkaen. Yksinään luettuna tämä antaa ymmärtää, ettei nykyiseen tuotevalikoimaasi kosketa.
Artikla 69(3) leikkaa sitten artiklan 14 suoraan siitä ulos. Nimenomaisen poikkeuksen nojalla ilmoitusvelvollisuuksia sovelletaan kaikkiin asetuksen soveltamisalaan kuuluviin digitaalisia elementtejä sisältäviin tuotteisiin, jotka on saatettu markkinoille ennen 11. joulukuuta 2027, riippumatta siitä, muutetaanko niitä koskaan.
Nämä kaksi sääntöä kulkevat siis eri akseleilla. Tuote, jonka myit vuonna 2025, ei ehkä koskaan tarvitse CRA:n mukaista CE-merkintää, mutta jos siinä olevaa haavoittuvuutta hyväksikäytetään aktiivisesti ja tulet siitä tietoiseksi 11. syyskuuta 2026 tai sen jälkeen, siitä on ilmoitettava. Sinun asennuskantasi kuuluu ilmoitusvelvollisuuden piiriin silloinkin, kun se jää tuotevaatimusten soveltamisalan ulkopuolelle. Komissio päätyy samaan johtopäätökseen CRA:n täytäntöönpanoa koskevan usein kysyttyjen kysymysten osionsa kohdassa 5.3. Art. 69(2)–(3)
02Kolme määräaikaa
Jokainen ilmoitus etenee kolmessa vaiheessa, laskettuna hetkestä, jolloin tulet tietoiseksi hyväksikäytetystä haavoittuvuudesta tai vakavasta poikkeamasta. Aikaikkunat ovat tiukat, minkä vuoksi valmius on tärkeää. Art. 14(2)–(4)
- 24 tunnin kuluessaEnnakkovaroitus. Ensimmäinen ilmoitus siitä, että aktiivisesti hyväksikäytetty haavoittuvuus tai vakava poikkeama on tapahtunut, mukaan lukien poikkeamien osalta se, epäilläänkö sen johtuvan lainvastaisista tai haitallisista teoista.
- 72 tunnin kuluessaHaavoittuvuus- / poikkeamailmoitus. Kattavampi selostus: haavoittuvuuden ja hyväksikäytön yleinen luonne, alustava arvio sekä toteutetut korjaavat tai lieventävät toimenpiteet ja ne, joita käyttäjät voivat toteuttaa.
- LoppuraporttiLoppuraportti. Jos kyseessä on haavoittuvuus, viimeistään 14 päivää sen jälkeen, kun korjaava tai lieventävä toimenpide on saatavilla. Jos kyseessä on vakava poikkeama, määräaika on yksi kuukausi 72 tunnin ilmoituksesta. Siinä esitetään täydellinen kuvaus, vakavuus, vaikutukset ja toteutetut korjaustoimet.
Huomaa viimeisen rivin epäsymmetria: haavoittuvuuden kellon käynnistää korjauksen olemassaolo, poikkeaman kellon aiempi ilmoitus. Ne ovat eri mekaniikkaa, ja ne kannattaa kirjata toimintaohjeeseesi erikseen.
03Milloin se alkaa
Ilmoittamisvelvollisuudet ovat CRA:n aikaisimmin voimaan tuleva merkittävä osa. Vaikka suurin osa säännöksistä soveltuu 11. joulukuuta 2027 alkaen, artikla 14 soveltuu alkaen 11. syyskuuta 2026; 21 kuukautta säädöksen voimaantulon jälkeen. ENISA avasi yhden ilmoituspisteen alustan juuri samana päivänä. Art. 71
Alusta on käytössä, ja velvollisuus, jota se palvelee, on voimassa sen mukana. ENISA julkaisee osoitteen muodossa portal.cra-srp.enisa.europa.eu, jossa valitset roolin Assigned Representative ja kirjaudut sisään EU Login -tilillä, jossa on monivaiheinen tunnistautuminen. Osoite julkaistiin ENISAn UKK-päivityksessä 10. syyskuuta 2026, avaamista edeltävänä päivänä.
ENISA marked the launch by publishing an AR User Manual and a set of platform terms and conditions, version 1.0 of 10 September 2026, and by adding four questions to the FAQ: how to connect, when the obligations start, what to do if you are not a manufacturer, and how to report a security problem in the platform itself. The AR User Tutorial Video, promised for launch, went live within days, and the SRP Factsheet followed in nine further EU languages. The platform interface itself still runs in English only, with other languages deferred to a later phase.
Neljä asiaa ei tullut mukana, ja suuri osa tästä sivusta on kirjoitettu niiden ympärille: 15 artiklan mukainen vapaaehtoinen ilmoittaminen puuttuu yhä eikä päivämäärää ole, API:a ei yhä ole, 72 tunnin laskuri juoksee yhä ennakkovaroituksesi lähettämisestä eikä siitä hetkestä, jolloin tulit tietoiseksi, ja kenttä, joka kirjaisi, milloin tulit tietoiseksi aktiivisesti hyväksikäytetystä haavoittuvuudesta, on yhä pidätetty myöhempään julkaisuun. Myös haavoittuvuuksien käsittelyä tukevat yhdenmukaistetut standardit ovat yhä antamatta; niitä odotetaan nyt 30. lokakuuta 2026 tienoilla sen jälkeen, kun komission heinäkuussa 2026 antama luonnos standardointipyynnön M/606 muuttamisesta siirsi vuoden 2026 määräaikoja kahdella kuukaudella, eikä niihin ole vielä viitattu virallisessa lehdessä.
Toisin kuin CE-merkintä, jonka teet kerran ennen tuotteen markkinoille saattamista, ilmoittaminen on elävä ja jatkuva velvollisuus, joka alkaa syyskuussa 2026 ja joka voi laueta minä hetkenä hyvänsä sen jälkeen. Valmius ei ole kertaluonteinen projekti. Rakenna sisäinen havaitsemis- ja ilmoitusprosessi nyt; velvollisuus koskee 11. syyskuuta 2026 alkaen riippumatta siitä, ovatko työkalut valmiit.
04Kenelle ilmoitat
Ilmoitukset toimitetaan ENISA ja koordinaattoriksi nimetty CSIRT, yhden sisääntulopisteen kautta eikä erillisinä ilmoituksina kullekin kansalliselle viranomaiselle. Tämä sisääntulopiste on yhden ilmoituspisteen alusta, jonka ENISA perustaa, jota se hallinnoi ja jota se ylläpitää artiklan 16 nojalla. Art. 14 · 16
Se, mikä CSIRT on sinun, määräytyy päätoimipaikkasi mukaan unionissa tai, jos et ole sijoittautunut EU:hun, sen mukaan, missä sijaitsee valtuutettu edustaja. Vastaanottava CSIRT-yksikkö levittää ilmoituksen edelleen niiden jäsenvaltioiden CSIRT-yksiköille, joissa tuote on saatavilla, sekä tarvittaessa markkinavalvontaviranomaisille. Art. 14(7) · 18
Koordinaattoriluettelo julkaistiin 4. syyskuuta 2026
Ennen 4. syyskuuta 2026 ei ollut julkaistua vastausta tämän sivun käytännöllisimpään kysymykseen: mikä kansallinen tiimi todella ottaa ilmoituksesi vastaan. ENISA on nyt julkaissut luettelon koordinaattoreiksi nimetyistä CSIRT-yksiköistä jossa annetaan yksi tai useampi yhteysosoite kaikille 27 jäsenvaltiolle, ja päiväsi sen uudelleen 10. syyskuuta 2026, joten tarkista oma rivisi uudelleen ennen kuin luotat aiemmin otettuun kopioon. Irlanti osoittaa erilliselle NCSC-sivulle CRA:ta varten; Espanja antaa kaksi erillistä INCIBE-reittiä, yhden poikkeamille ja yhden haavoittuvuuksien koordinointiin.
Luettelo kertoo, kuka on kunkin jäsenvaltion koordinaattori. Se ei kerro, mikä niistä on sinun, ja 14 artiklan 7 kohdan testi on kapeampi kuin useimmat organisaatiot olettavat. päätoimipaikkasi on se jäsenvaltio, jossa päätökset digitaalisia elementtejä sisältävien tuotteidesi kyberturvallisuudesta tehdään pääasiassa, mikä voi olla kehityspaikka pikemminkin kuin rekisteröity kotipaikka tai suurin liiketoiminta. Jos sitä ei voida määrittää, toissijainen sääntö on se jäsenvaltio, jossa sinulla on eniten työntekijöitä EU:ssa. Jos EU:ssa ei ole lainkaan toimipaikkaa, järjestys on seuraava: se jäsenvaltio, jossa valtuutettu edustajasi toimii useimpien tuotteiden osalta, sitten maahantuoja, joka saattaa markkinoille eniten tuotteita, sitten jakelija, joka asettaa saataville eniten tuotteita, ja sitten jäsenvaltio, jossa on eniten käyttäjiä. Koska tämä määrää vastaanottajan kaikkia tulevia ilmoituksia varten, ratkaise asia etukäteen oikeudellisen asiantuntemuksen avulla ja kirjaa perustelut muistiin.
Tukea on saatavilla molemmilta puolilta. ENISA ylläpitää neuvontapalvelua kiinnittäen erityistä huomiota pk-yrityksiin, ja myös koordinaattoreiksi nimetyt CSIRT-yksiköt ovat velvollisia tarjoamaan neuvontatukea artiklan 14 velvollisuuksissa. ENISA syöttää korjatut haavoittuvuudet myös Euroopan haavoittuvuustietokantaan, ja julkaisee joka toinen vuosi teknisen trendiraportin, joista ensimmäinen on määrä julkaista 24 kuukauden kuluessa ilmoitusvelvollisuuksien alkamisesta. Art. 17(6)
CSIRT voi keskeyttää ilmoitetun haavoittuvuuden levittämisen, mutta sinä et voi
Vastaanottava CSIRT-yksikkö voi viivyttää tai pidättää edelleen levittämistä perustelluista kyberturvallisuussyistä ehdottoman tarpeellisen ajan; esimerkiksi silloin, kun haavoittuvuus on koordinoidun julkistamismenettelyn piirissä. Komissio täsmensi ehdot säädöksessä delegoitu asetus (EU) 2026/881, joka hyväksyttiin 11. joulukuuta 2025. Jos CSIRT pidättää ilmoituksen, sen on kerrottava siitä ENISAlle välittömästi, perusteluineen ja ilmoittaen, milloin se levittää sen.
Erikseen voit erityisen poikkeuksellisissa olosuhteissa merkitä yhden kapeista edellytyksistä, jotka on lueteltu artiklassa 16(2) 72 tunnin ilmoituksessasi: että hyväksikäyttö rajoittuu CSIRT-yksikkösi jäsenvaltioon, että edelleen levittäminen olisi vastoin kyseisen jäsenvaltion olennaisia etuja tai että levittäminen aiheuttaa välittömän suuren kyberturvallisuusriskin. Jos teet näin, ENISA saa vain rajoitetusti tietoa (että ilmoitus tehtiin, yleisiä tietoja tuotteesta, hyväksikäytön yleisen luonteen ja sen, että turvallisuusperusteisiin vedottiin), kunnes CSIRT vapauttaa täyden ilmoituksen.
9. syyskuuta 2026 ENISA julkaisi erillisen ohjesivun erityisen poikkeuksellisista olosuhteista, ja se ratkaisee soveltamisalaa koskevan kysymyksen, jonka aiempi aineisto jätti auki. PEC:iin voi vedota vain aktiivisesti hyväksikäytetyn haavoittuvuuden 72 tunnin ilmoituksessa. Vastaavaa ei ole, kun kyseessä on vakava poikkeama, eikä alusta tarjoa PEC-valintaa poikkeamailmoituksessa.
Teknisesti kyse on 72 tunnin lomakkeen alalaidassa olevasta kytkimestä, joka tuo näkyviin kolme viivästysperustetta sekä vapaaehtoisen vapaamuotoisen perustelun. Perustelu ei ole koriste: ENISA toteaa sen olevan avuksi, kun CDaC päättää, hyväksytäänkö toimitus PEC:n nojalla. PEC:iin vetoaminen siis pyytää rajoitusta sen sijaan, että se soveltaisi sitä, ja tietue siirtyy yksinkertaisesti tilaan 72h Submitted under PEC ja jää siihen, kunnes koordinaattori tekee päätöksen. Kirjoita perustelu niin kuin sen lukisi joku, jonka on punnittava sitä sitä vastaan, että muille jäsenvaltioille kerrotaan nopeasti, koska juuri niin tapahtuu.
Kumpikaan mekanismi ei pysäytä sinun kelloasi. Et voi viivyttää ilmoituksen jättämistä; 24 tunnin, 72 tunnin ja loppuraportin määräajat kulkevat tietoiseksi tulemisesta. Voit sen sijaan merkitä tiedon arkaluonteiseksi, mikä rajoittaa sitä, kuka näkee sisällön. Päätös levittämisen pidättämisestä kuuluu vastaanottavalle CSIRT-yksikölle.
05Rekisteröityminen alustalle
ENISAn rekisteröitymisohje, jonka päiväys on muutettu 10. syyskuuta 2026, ja sen käyttöliittymäohje, jonka päiväys on muutettu 9. syyskuuta 2026, näyttävät todelliset näkymät. Rekisteröityminen avautui alustan mukana 11. syyskuuta 2026, joten tämä on nyt kulku, jonka voi käydä läpi eikä vain lukea siitä. ENISA pyytää silti, ettet rekisteröidy ennakolta, jäljempänä esitetystä syystä, mikä tekee kulun tuntemisesta etukäteen pikemminkin hyödyllisempää kuin vähemmän hyödyllistä: ensimmäisellä kerralla sitä seuratessasi käynnissä saattaa hyvinkin olla 24 tunnin kello.
Nimeä kaksi henkilöä ennen kuin tarvitset heitä
Alusta antaa jokaiselle valmistajalle kaksi käyttäjätilityyppiä, ja voit päättää jo tänään, kuka ne täyttää. Ensisijainen edustaja rekisteröityy ensin ja luo valmistajan tietueen alustalle. Tämän jälkeen kyseinen henkilö kutsuu toisen henkilön, joka on toissijainen edustaja, joka toimii varahenkilönä saman valmistajan osalta ja voi tehdä ilmoituksia sen puolesta. Molemmat ovat nimettyjä henkilöitä yrityksessäsi. Koska lähettäminen on manuaalista, yksi ainoa nimetty ilmoittaja, joka on lomalla, nukkumassa tai lähtenyt, on todellinen toiminnallinen riski, joten kohtele toista paikkaa välttämättömänä eikä valinnaisena.
EU Login on tunnus, ja molemmat henkilöt voivat luoda sen jo tänään
Alustan tilit tunnistautuvat palvelun EU Login kautta, joka on Euroopan komission yhteinen kirjautumispalvelu ja käytössä kaikissa sen verkkojärjestelmissä. Luo yksi ensisijaiselle edustajalle ja yksi toissijaiselle osoitteessa ecas.ec.europa.eu, käyttäen työsähköpostiosoitteita, jotka ovat olemassa vielä vuodenkin kuluttua. Monivaiheinen tunnistautuminen on pakollinen: ENISA edellyttää MFA:ta EU Login -tilillä ennen ensimmäistä pääsyä alustalle, joten jos väelläsi on jo tavalliset EU Login -tilit, pyydä heitä kytkemään MFA päälle nyt eikä vasta poikkeaman aikana. EU Login -tilit ovat henkilökohtaisia, eikä ENISA ylläpidä niiden päällä erillistä yritystunnistautumista. Komissio selittää, mitä EU Login on ja miten se sopii sen laajempaan identiteettikehykseen, luotettavan digitaalisen identiteetin sivuillaan.
Rekisteröitymisen kulku
Kun käytät alustaa ensimmäisen kerran, valitset roolisi, valitset nimetyn CSIRT-yksikkösi pudotusvalikosta, tunnistaudut EU Loginin kautta, luet ja hyväksyt oikeudellisen sopimuksen, vahvistat esitäytetyt henkilötietosi (etunimi, sukunimi, sähköposti, virallinen nimi) ja syötät sitten valmistajan nimen, osoitteen ja lisätiedot. Pakollisen valmistajakentän jättäminen tyhjäksi estää etenemisen. Kun tämä on valmis, tilisi tila on "Active" ja sinulla on "AR Primary User" -rooli, saat vahvistussähköpostin ja valmistajayksikkö luodaan alustalle.
The toissijainen edustaja liittyy sähköpostikutsulla ensisijaiselta edustajalta, vahvistaa esitäytetyt henkilö- ja valmistajatiedot ja rekisteröidään "AR Backup User" -rooliin saman valmistajan osalta. Kutsu vanhenee 7 päivän kuluttua, minkä jälkeen tietue merkitään tilaan ”Invitation Expired” ja uusi on lähetettävä. Määritä varahenkilön tili samalla istunnolla kuin ensisijaisen; kesken poikkeaman havaittu vanhentunut kutsu on vältettävissä oleva ongelma.
CSIRT tarkastaa edustajasi manuaalisesti, mutta se ei estä sinua tekemästä ilmoitusta
Jonkun on vahvistettava, että tietty henkilö todella saa ilmoittaa tietyn valmistajan puolesta, ja tämä tarkastus kuuluu koordinaattoriksi nimetylle CSIRT-yksikölle, jota ENISA lyhentää nyt nimellä CDaC. Se on manuaalinen vaihe, menettely vaihtelee CSIRT-yksiköiden välillä, ja kukin CSIRT vastaa omasta lähestymistavastaan. Olennaista on, että se tapahtuu vasta ensimmäisen alustan käyttökertasi jälkeen ja etenee rinnakkain raporttisi kanssa. Päivityksessään 3. elokuuta 2026 ENISA teki tämän täysin selväksi: CDaC:n suorittama validointi ei ole edellytys CRA:n mukaisen raportointivelvoitteen täyttämiselle, eikä se vaikuta kykyysi lähettää ilmoituksia. Validoimaton tili voi silti tehdä ilmoituksen 24 tunnin määräajassa.
Tämän vuoksi ENISA myös neuvoo rekisteröitymään ja aloittamaan validoinnin vasta silloin, kun sinun on todella tehtävä ilmoitus, sen sijaan että koko markkina rekisteröityisi etukäteen ja hautaisi CSIRT-yksiköt spekulatiivisiin tarkastuksiin. Etukäteen tehtävä valmistelu on EU Login -tilit ja päätös siitä, kuka täyttää kaksi paikkaa, ei alustalle rekisteröityminen itsessään.
Kun edustaja liittää tilinsä valmistajaan toiminnolla Association Management, liitos luodaan tilassa Unverified ja vahvistuspyyntö menee CDaC:lle. Käyttöliittymäohje päivämäärältä 14. elokuuta 2026 asetti katoksi 10 ilmoitusta. UKK, joka kirjoitettiin uudelleen 4. syyskuuta 2026 kaksinkertaisti sen: validoimaton edustaja voi lähettää enintään 20 ilmoitusta yhden valmistajan osalta ennen kuin validointi tulee pakolliseksi, ja käyttöliittymäohje, jonka päiväys on muutettu päivämäärälle 9. syyskuuta 2026 , sanoo nyt myös kaksikymmentä.
Molemmat toteamukset pitävät yhtä aikaa paikkansa: validointi ei ole este ensimmäiselle ilmoituksellesi, mutta sitä ei voi myöskään lykätä loputtomiin. ENISA ei kerro, mitä tapahtuu, kun yritetään 21. kertaa, eikä sitä, laskeeko katto tapahtumia vai yksittäisiä lähetyksiä. Jos kopioit elokuussa sisäiseen menettelyysi luvun "kymmenen", korjaa se kahdeksikymmeneksi. Kaksikymmentä on antelias yhden tuotteen yritykselle ja silti rajallinen konsernille, joka tekee ilmoituksia useiden yksiköiden puolesta; jos tämä koskee sinua, aloita keskustelu koordinoivan CSIRT-yksikkösi kanssa sen sijaan, että odotat poikkeaman pakottavan siihen.
Yksi tili voi kattaa useita valmistajia
Sama ohjeistus kuvaa kahden käyttäjäpaikan käytännön hallinnan. Ensisijainen edustaja kutsuu varahenkilön sähköpostiosoitteella, mikä luo tietueen, jonka merkintä on "Pending Invitation" ilman roolia, kunnes se hyväksytään. Toissijainen edustaja voi pyytää ylennystä ensisijaiseksi, mikä menee CDaC:n arvioitavaksi. ENISA vahvisti tämän 17. syyskuuta 2026 merkitsemällä UKK:n kysymyksen 9 tilaan „[PÄIVITETTY]“ todeten, että toissijaisella AR:llä „ei ole samoja hallinnollisia oikeuksia kuin ensisijaisella AR:llä, mutta se voi vaatia ensisijaisen AR:n roolia, mikäli nimetty CSIRT tarkastaa ja hyväksyy sen“. Kumpi tahansa voi poistaa liitoksen, joka silloin merkitään tilaan "Deleted". Ja yhdellä tilillä voi olla liitoksia useisiin valmistajiin, joista kukin lisätään toiminnolla Association Management ja kukin vahvistetaan erikseen.
Viimeinen kohta on tärkeä konserneille, joilla on useita valmistavia yksiköitä, ja yrityksille, jotka toimivat 18 artiklan nojalla EU:n ulkopuolelle sijoittautuneiden valmistajien puolesta. Juuri siinä alla kuvattu nimeämisansa puree pahiten.
ENISAn ohjeistus on kirjoitettu termille ”Assigned Representatives” (AR), jossa on pääkäyttäjiä ja varakäyttäjiä. Kyseessä on alustan tilirooli. Se ei ole valtuutettu edustaja eli henkilö, joka on nimitetty kirjallisella toimeksiannolla CRA:n artiklan 18 nojalla. Sinulla voi olla edellinen ilman jälkimmäistä. Pidä nämä kaksi erillään sisäisessä menettelyssäsi, tai päädyt väittelemään oikeudellisesta nimityksestä, vaikka tarvitset vain toisen kirjautumistunnuksen.
06Ilmoituksen tekeminen
Ilmoittaminen tapahtuu koontinäytöltä. Luot ilmoituksen ja täydennät sitten samaa tietuetta kussakin vaiheessa sen sijaan, että tekisit kolme erillistä ilmoitusta. Jokaisella vaiheella on oma välilehtensä, ja kunkin voi ensin tallentaa luonnoksena. Koontinäytöltä voi hakea ilmoitustunnuksen, valmistajan tai otsikon perusteella, lajitella otsikon tai viimeisimmän päivityksen mukaan ja suodattaa jäsenvaltion, ilmoitustyypin tai Action Required -merkinnän mukaan.
Käyttöliittymäohje, jonka päiväys on muutettu päivämäärälle 9. syyskuuta 2026, on yksiselitteinen: ensisijainen edustaja näkee kaikki valmistajaan liitetyt ilmoitukset, mutta toissijainen edustaja näkee vain itse lähettämänsä ilmoitukset ja itse luomansa luonnokset eikä voi tarkastella toisen edustajan samalle valmistajalle lähettämiä ilmoituksia. Luonnokset ovat laatijansa yksityisiä, eikä niitä jaeta yrityksen sisällä.
Kuvittele seuraus. Joku aloittaa 24 tunnin ennakkovaroituksen, tallentaa luonnoksen ja on sitten tavoittamattomissa; varahenkilö avaa koontinäytön eikä löydä mitään, ja 24 tunnin määräaika on koko ajan kulunut tietoiseksi tulemisesta. Laadi sanamuoto alustan ulkopuolella , asiakirjassa, jota poikkeamatiimisi jo jakaa, ja käytä alustaa sen kirjaamiseen.
- EnnakkovaroitusAloita uusi ilmoitus koontinäytöltä, täytä pakolliset kentät ja valitse olemassa oleva valmistaja tai lisää uusi. Lähetettäessä se on nimetyn CSIRT-yksikkösi ja automaattisesti ENISAn käytettävissä. Vahvistukset sähköpostitse ja hälytyksinä menevät CSIRT-yksikölle, ENISAlle ja jokaiselle kyseiselle valmistajalle rekisteröidylle edustajalle, ei vain lähettäneelle henkilölle.
- 72 tuntiaKäytettävissä vasta, kun ennakkovaroitus on olemassa. Avaa sama ilmoitus ja täytä 72 tunnin välilehti. ENISA saa sen automaattisesti, ellet vetoa artiklan 16(2) edellytyksiin, jolloin tietue merkitään "72h Submitted under PEC" ja ENISAn näkymä on rajoitettu, kunnes CSIRT vapauttaa sen.
- LoppuraporttiKäytettävissä vasta, kun molemmat aiemmat vaiheet ovat olemassa. ENISA saa sen automaattisesti, ellei artiklan 16(2) edellytyksiin ole vedottu.
ENISAn ohje päivämäärältä 3. elokuuta 2026 kertoo, että muut asianomaiset CSIRT-yksiköt saavat ennakkovaroituksen, 72 tunnin ilmoituksen ja loppuraportin vasta manuaalisen levittämisen jälkeen, jonka suorittaa koordinaattoriksi nimetty CSIRT. Heinäkuun 31. päivän teksti sanoi tämän vain loppuraportista. Velvollisuutesi ei muutu miltään osin, ja CDaC on edelleen artiklan 16(2) nojalla velvollinen levittämään tiedon viipymättä, mutta on hyvä tietää, että yhden kansallisen CSIRT-yksikön henkilö on ilmoituksesi ja niiden muiden markkinoiden välissä, joilla tuotettasi myydään.
Mikä on pakollista ja milloin
ENISA on julkaissut, mitkä kentät ovat pakollisia kussakin vaiheessa. Taulukko korjaa hyödyllisellä tavalla laajalle levinneen oletuksen: 24 tunnin ennakkovaroitus on hälytys, ei tutkinta.
- 24 tunnin kohdalla; ilmoituksen tyyppi ja taso, valmistajan tai hallinnoijan nimi, tuote ja otsikko. Poikkeamien osalta se, epäilläänkö lainvastaisia tai haitallisia tekoja. Jäsenvaltiot, joissa tuote on saatavilla, vaaditaan vain, jos tieto on jo hallussasi.
- 72 tunnin kohdalla; haavoittuvuuden ja hyväksikäytön yleinen luonne, toteutetut korjaavat tai lieventävät toimenpiteet ja toimenpiteet, joita käyttäjät voivat toteuttaa. Poikkeamien osalta se, milloin se havaittiin ja milloin se tapahtui, sekä alustava arvio. Arkaluonteisuus merkitään tässä.
- Loppuraportin kohdalla; täydellinen kuvaus, vakavuus ja vaikutukset, päivä jona korjaava toimenpide tuli saataville, sekä tietoturvapäivityksen yksityiskohdat. Poikkeamien osalta todennäköinen perussyy ja käynnissä olevat lieventävät toimet.
Vapaaehtoisiin kenttiin, jotka kannattaa silti kirjata, kuuluvat CVE ID ja the EUVD ID, jotka molemmat ovat käytettävissä ensimmäisestä vaiheesta alkaen.
Jokaisella kentällä on merkkiraja, ja yksi niistä on hyvin lyhyt
ENISAn SRP-sanasto, jossa kenttien koot annettiin ensimmäisen kerran versiossa 1.1 5. syyskuuta 2026 ja joka on nyt versiossa 1.3 10. syyskuuta 2026, on ENISAn asiakirja, joka julkaisee kunkin kentän koon. Kirjoita sisäiset mallisi näiden rajojen mukaan sen sijaan, että huomaisit ne kello kaksi yöllä:
- 4000 merkkiä kuvaileville kentille: tiivistelmä, yleiset tiedot haavoittuvuudesta tai poikkeamasta, korjaavat toimenpiteet, joita käyttäjät voivat toteuttaa, vakavuuden ja vaikutusten täydelliset kuvaukset, alustava arvio sekä poikkeamien osalta toteutetut ja käynnissä olevat lieventävät toimenpiteet.
- 2000 merkkiä korjaaville tai lieventäville toimenpiteille, jotka olet jo toteuttanut, sekä loppuraportin tiedoille tietoturvapäivityksestä tai korjaavasta toimenpiteestä.
- 800 merkkiä vapaamuotoiselle perustelulle, joka liitetään PEC-pyyntöön 72 tunnin haavoittuvuusilmoituksessa.
- 255 merkkiä otsikolle, tuotteen nimelle, tuotteen versiovälille, komponentin nimelle, hyökkäysvektorille, arkaluonteisuuden perustelulle ja todennäköiselle perussyylle.
- 100 merkkiä haavoittuvuutta hyväksikäyttäneelle haitalliselle toimijalle. Se on suunnilleen yksi rivi, joten suunnittele nimeäväsi toimijan tai viittaavasi indikaattoriviitteeseen sen sijaan, että kuvailisit kampanjan.
Sanasto vahvistaa myös pienen helpotuksen: kenttä Jäsenvaltiot, joissa tuote on saatavilla saapuu esitäytettynä omalla koordinoivalla CSIRT:lläsi, ja muut markkinat lisäät itse.
Muokkaaminen ja piste, josta ei ole paluuta
Lähetettyä ilmoitusta voi päivittää, ja alusta lähettää automaattisesti hälytyksen ja sähköpostin CSIRT-yksiköllesi sekä ENISAlle ja kaikille CSIRT-yksiköille, jotka ovat jo saaneet sen levityksen kautta. Kaksi rajoitusta pätee: suljettua ilmoitusta ei voi päivittää, ja tietueesta tulee muokkauskelvoton, kun loppuraportti on lähetetty.
Seuraa hälytysvälilehteä, myös viikonloppuisin
Jokaisella tilillä on Hälytykset -välilehti, joka on väreillä koodattu: lukemattomat hälytykset ovat vaaleansinisiä ja muuttuvat harmaiksi avattaessa, ja punaiset hälytykset näkyvät vain, kun jotain poikkeuksellista on tapahtunut. ENISAn antama esimerkki on nimetty CSIRT, joka on mitätöinyt lähetyksen. Ilmoituksen tekeminen ei siis päätä vuoropuhelua, eikä mikään 14 artiklan määräaika siirry siksi, että ilmoitus palautui sinulle. Sen, joka seuraa tuota välilehteä, on seurattava sitä myös virka-ajan ulkopuolella, mikä on lisäperuste sille, että molempien käyttäjäpaikkojen takana on valvottu tiimipostilaatikko kahden henkilökohtaisen osoitteen sijaan.
Alustan 72 tunnin laskuri ei laske tietoiseksi tulemisesta
UKK paljastaa, miten näytöllä näkyvät laskurit todella toimivat, eivätkä ne seuraa laillista määräaikaa. ENISA päivitti UKK:n 10. syyskuuta 2026, avaamista edeltävänä päivänä, ja jätti tämän vastauksen voimaan, joten tässä kuvattu toiminta on se toiminta, joka otettiin käyttöön. Nykyisessä julkaisussa 72 tunnin laskuri näyttää eräpäivän, joka on 48 tuntia 24 tunnin raportin lähettämisen jälkeen, ei 72 tuntia sen jälkeen, kun sait tiedon. ENISA toteaa suoraan, että ilmoitus voi siksi näyttää myöhässä olevalta ennen kuin 72 tuntia on kulunut tietoiseksi tulemisesta, ja että logiikkaa muutetaan myöhemmässä julkaisussa niin, että se laskee kentästä "date and time when you became aware" sekä haavoittuvuuksien että poikkeamien osalta.
Loppuraportin laskurit poikkeavat jälleen. Kun kyseessä on vakava poikkeama , laskuri näyttää yhden kuukauden 72 tunnin ilmoituksesta. Sen sijaan silloin kun kyseessä on aktiivisesti hyväksikäytetty haavoittuvuus , ei ole lainkaan laskuria, koska määräaika riippuu siitä, milloin korjaava toimenpide tulee saataville, mitä alusta ei voi tietää.
ENISA toteaa selvästi, että laskurit ovat olemassa näkyvyyden vuoksi eivätkä korvaa 14 artiklan mukaista velvollisuutta. Käynnistä oma kellosi sillä hetkellä, kun saat tiedon, ja kirjaa se poikkeamalokiisi. Ennakkovaroituksen nopea toimittaminen, mikä on juuri se, mitä laki edellyttää, tekee näytöllä näkyvästä laskurista tiukemman kuin laillinen määräaika. Näytöllä näkyvä "overdue"-merkintä ei ole toteamus vaatimustenvastaisuudesta, eikä vihreä laskuri ole puolustus.
Käyttöönotossa alusta ei tallenna, milloin sait tiedon
5. syyskuuta 2026 ENISA korvasi kenttäkohtaisen SRP-sanastonsa versiolla 1.1, ja kaksi siinä olevaa alaviitettä painaa enemmän kuin mikään muu sivulla. Aktiivisesti hyväksikäytetyn haavoittuvuuden osalta kentässä Date/time when you become aware on huomautus, että se tulee saataville alustan seuraavassa julkaisussa. Vakavan poikkeaman osalta huomautuksessa sanotaan, että nykyisessä julkaisussa vastaavan kentän nimi on Date/time the incident was detected.
Yhdessä yllä kuvatun laskurilogiikan kanssa tämä sulkee ympyrän. UKK kertoi, että 72 tunnin laskuri korjataan, kun tietoisuuskenttä saapuu; sanasto kertoi, että kenttä saapuu myöhemmässä julkaisussa. Kumpikaan ei liikkunut ennen avaamista: ENISA tarkisti sanaston jälleen versioon 1.3 päivämäärällä 10. syyskuuta 2026 ja jätti molemmat alaviitteet ennalleen. Ensimmäisestä päivästä lähtien alusta ei siis tallenna haavoittuvuuksista lainkaan tietoisuuden aikaleimaa, ja poikkeamista se tallentaa havaitsemishetken, joka ei ole tietoisuuden hetki.
Komission ohjeistuksen mukaan, joka on annettu 27. heinäkuuta 2026 , tulet tietoiseksi silloin, kun alustava arvio antaa sinulle kohtuullisen varmuuden asteen siitä, että tuotteessasi olevaa haavoittuvuutta hyväksikäytetään tai että vakava poikkeama on tapahtunut. Havaitseminen tapahtuu tavallisesti aiemmin, joskus paljon aiemmin. Koska alusta tallentaa havaitsemishetken eikä arviointihetkeä, sen säilyttämä merkintä ei ole se hetki, josta 14 artikla laskee määräajat. Pidä omaa aikaleimattua muistiinpanoa siitä, milloin alustava arvio saatiin päätökseen ja kuka teki sen ratkaisun. Jos markkinavalvontaviranomainen joskus kysyy, miksi ennakkovaroitus tuli juuri silloin, todisteesi on tuo muistiinpano, ei alusta.
ENISA lisäsi vastauksen käyttökatkoista 4. syyskuuta 2026. Jos SRP on tilapäisesti pois käytöstä, odota, kunnes se on taas käytettävissä, ja lähetä ilmoitus sitten. Jos välitön yhteydenotto on sillä välin tarpeen, voit ottaa yhteyttä suoraan nimettyyn CSIRT-yksikköösi, mutta ilmoitus on silti tehtävä alustan kautta, kun palvelu palaa.
Tämä on syytä sanoa selvästi, koska ENISA ei sitä sano: mikään CRA:ssa ei pysäytä 24 tunnin, 72 tunnin, 14 vuorokauden tai yhden kuukauden määräaikoja käyttökatkon aikana. Merkitse katkon ajankohta ja jokainen suora yhteydenotto muistiin ja säilytä molemmat tietoiseksi tulemisen ajankohdan rinnalla.
ENISA toteaa, että ensimmäisessä julkaisussa ei tarjota sovellusrajapintaa, ja että API-toiminnallisuutta voidaan harkita tulevassa vaiheessa. Voit automatisoida havaitsemisen, luokittelun ja laatimisen sisäisesti, mutta lähettäminen itsessään on henkilö, joka täyttää selainlomakkeen. Suunnittele tämä luovutus tarkoituksella ja varmista, että useampi kuin yksi henkilö voi tehdä sen virka-ajan ulkopuolella ja viikonloppuna.
Alusta ottaa aikanaan vastaan myös vapaaehtoisia ilmoituksia haavoittuvuuksista, kyberuhkista, poikkeamista ja läheltä piti -tilanteista keneltä tahansa luonnolliselta henkilöltä tai oikeushenkilöltä eikä vain valmistajilta. UKK 31. heinäkuuta 2026 kertoi, että tämä otettaisiin käyttöön 11. syyskuuta 2026 jälkeen. Näin ei käynyt. Avattu alusta ottaa vastaan vain 14 ja 24 artiklan mukaisia pakollisia ilmoituksia, ja 15 artiklan mukainen vapaaehtoinen ilmoittaminen on siirretty tulevaan vaiheeseen ilman päivämäärää.
ENISA erittelee nyt seurauksen kaikille muille. Jos et ole valmistaja ja haluat ilmoittaa haavoittuvuudesta tai muusta tietoturvaongelmasta, ota yhteyttä suoraan asianomaiseen kansalliseen CSIRT-yksikköön, koska sen sijaan alustan kautta tehty lähetys voidaan merkitä "mitättömäksi". Mitään lain edellyttämää ei puutu, mutta pienin panoksin tehtävää harjoituskierrosta ei ole, eikä julkistamisprosessilla, jonka oli määrä ohjata hyväksikäyttämättömät haavoittuvuudet SRP:n kautta, ole yhä paikkaa, johon ne lähettäisi.
07Mitä voit tehdä jo tänään
24 tunnin ikkunassa pysyminen on toiminnallinen ongelma, ei paperityötä. Nyt kun alusta on avattu, alla oleva lista ei ole enää valmistautumista tulevaan tapahtumaan; velvollisuus on voimassa, ja kaikki tässä, mitä et ole tehnyt, on altistuma eikä suunnitelma.
- Luo EU Login -tilisi, MFA päälle kytkettynä. Ensisijaiselle ilmoittajalle ja vähintään yhdelle varahenkilölle. Se vie minuutteja osoitteessa ecas.ec.europa.eu, eikä alusta päästä ketään sisään ilman monivaiheista tunnistautumista, joten sen käyttöön ottaminen on osa tehtävää eikä sen hienosäätöä.
- Tunnista nimetty CSIRT-yksikkösi. ENISA julkaisi koordinaattoriluettelon kaikille 27 jäsenvaltiolle 4. syyskuuta 2026, joten tämä on nyt tehtävä, jonka voit saattaa loppuun. Sovella 14 artiklan 7 kohdan päätoimipaikkatestiä, valitse oma rivisi ja kirjaa perustelut muistiin.
- Rakenna 24 tunnin lomake sisäisesti. Lyhyt pohja, joka vastaa ENISAn pakollisia ennakkovaroituskenttiä, jotta ensimmäinen todellinen ilmoituksesi on puhtaaksikirjoitusta eikä laatimista. Säilytä se paikassa, jonka molemmat edustajat voivat avata, koska alustan luonnokset näkyvät vain niiden luojalle.
- Nimeä henkilöt, myös virka-ajan ulkopuolelle. Päätä, kuka arvioi ilmoituksen tarpeen, kuka laatii sen ja kuka lähettää sen. Koska API:a ei ole, viimeinen vaihe on nimetty ihminen näppäimistön ääressä.
- Pidä SBOM täsmällisenä. Et voi ilmoittaa komponentista, jonka toimittamisesta et tiennyt. Ylläpidä ohjelmistoluetteloa ja pidä se ajan tasalla julkaisujen muuttuessa.
- Seuraa sitä jatkuvasti. Vertaa komponenttejasi tunnettujen haavoittuvuuksien lähteisiin, jotta aktiivisesti hyväksikäytetty puute tulee esiin tunneissa, ei viikoissa. Meidän SBOM- ja haavoittuvuusanalysaattori seuraa ohjelmistoluetteloasi NVD:tä ja EU:n haavoittuvuustietokantaa (EUVD) vasten.
- Vahvista, mikä todella kuuluu soveltamisalaan. 72 tunnin vaiheessa kysytään tuotetyyppiä ja liitteen III tai IV luokkaa, joten ratkaise luokittelu ennen kuin tarvitset sitä. Luokittelutyökalu vastaa siihen, ja vaatimustenmukaisuusmatriisi sitoo ilmoittamisen laajempiin liite I:n haavoittuvuuksien hallintavelvollisuuksiin, joiden piiriin se kuuluu.
- Päätä, kuka lukee hälytysvälilehteä virka-ajan ulkopuolella. Nimetty CSIRT voi mitätöidä lähetyksen, ja siitä kertova hälytys päätyy alustalle eikä pelkästään sähköpostilaatikkoosi. Aseta valvottu postilaatikko molempien edustajapaikkojen taakse.
- Älä luota alustan laskuriin. Kirjaa itse ajankohta, jolloin sait tiedon. Näytöllä näkyvä 72 tunnin laskuri kulkee 24 tunnin raportin lähettämisestä eikä tietoiseksi tulemisesta, joten se voi merkitä ilmoituksen myöhästyneeksi ennen kuin laillinen määräaika on umpeutunut.
- Read the AR User Manual, and watch the tutorial video. ENISA published the manual at launch and added the AR User Tutorial Video within days, so between the two, plus the guidance pages, you have the fullest available description of the live platform.
- Tarkista ennen ilmoituksen jättämistä, että valitsit oikean koordinaattorin. ENISA varoittaa nyt, että väärän koordinaattoriksi nimetyn CSIRT-yksikön valinta voi johtaa ilmoituksen mitätöintiin, jolloin joudut lähettämään sen uudelleen oikealle kellon yhä käydessä.
08Seuraa asiaa lähteestä
Tämä sivu kuvaa tilannetta 11. syyskuuta 2026, päivänä, jona alusta avattiin. Tilanne muuttuu edelleen, ja ENISA muokkaa sivujaan hiljaisesti sen sijaan, että ilmoittaisi jokaisesta muutoksesta. Käyttöönottoa edeltävällä viikolla UKK kirjoitettiin uudelleen 4. syyskuuta 2026 ja päivitettiin jälleen 10. syyskuuta 2026, koordinaattorien luettelo ilmestyi 4. syyskuuta 2026 ja päivättiin uudelleen 10. syyskuuta 2026, sanasto saavutti version 1.1 5. syyskuuta 2026 ja version 1.3 10. syyskuuta 2026, erityisen poikkeuksellisia olosuhteita koskeva ohje saapui 9. syyskuuta 2026, ja AR User Manual sekä alustan käyttöehdot julkaistiin 10. syyskuuta 2026. Käyttöönoton jälkeen UKK päivitettiin uudelleen 12. syyskuuta 2026 (AR-käyttäjän opetusvideo julkaistiin ja SRP:n tietolehtinen ilmestyi yhdeksällä lisäkielellä) sekä 17. syyskuuta 2026, jolloin kysymys 9 merkittiin tilaan „[PÄIVITETTY]“ dokumentoimaan, että toissijainen AR voi vaatia ensisijaisen AR:n roolia, CDaC:n arvioinnin ehdolla. Tukikysymyksiä varten ENISA julkaisee neuvontapalvelun osoitteen keskussivulla, cra-srp-helpdesk [at] enisa.europa.eu. Nämä ovat ensisijaiset lähteet; kaikki edellä oleva on meidän tulkintaamme niistä.
Ehdotimme aiemmin, että merkintä kirjataan kaiken sen yhteyteen, mitä kopioit sisäiseen menettelyyn. Tuo neuvo kaipaa varauman. 7. ja 9. syyskuuta 2026 välisenä aikana välillä ENISA kirjoitti perusteellisesti uudelleen sivun AR Notification submission and update vaikka sen merkintänä on edelleen 3/08/2026: terminologia vaihtui kauttaaltaan muotoon CDaC , viittaukset kansalliseen päätepisteiden datakerrokseen poistettiin, ja lähetysvahvistukset menevät nyt jokaiselle valmistajalle nimetylle edustajalle eikä vain lähettäjälle, ja ennakkovaroituksen sanotaan nyt nimenomaisesti tavoittavan muut asianomaiset CSIRT-yksiköt vasta manuaalisen levittämisen jälkeen. Jos jokin ohjesivu on tärkeä menettelysi kannalta, säilytä siitä oma päivätty kopio sen sijaan, että luottaisit päivämäärään, jonka ENISA siihen painaa.
Käyttöönottopäivä osoitti saman uudelleen. Aamulla 11. syyskuuta 2026 AR-käyttöliittymätoimintojen sivulla luki yhä 14/08/2026 ja vahvistamattomien katto oli yhä kymmenen; iltapäivällä siinä luki 9. syyskuuta 2026 ja kaksikymmentä, ilman mitään ilmoitusta. Keskussivu ilmoittaa PEC-ohjeen päivitetyksi 10. syyskuuta 2026, kun sivulla itsellään lukee 9. syyskuuta 2026, ja sanasto siirtyi versiosta 1.1 versioon 1.3 yhtä hiljaisesti. Kun kaksi ENISAn sivua ovat ristiriidassa, pidä UKK:ta niistä ajantasaisempana.
- ENISA · Itse yhden ilmoituspisteen alusta (käytössä 11. syyskuuta 2026 alkaen); valitse rooli Assigned Representative ja kirjaudu sisään EU Loginin kautta monivaiheisella tunnistautumisella. Täällä ilmoitukset jätetään.portal.cra-srp.enisa.europa.eu
- ENISA · Yhden ilmoituspisteen alusta; keskussivu, jolla on tietosivu, käyttöopas, neuvontapalvelun osoite ja linkit jokaiselle ohjesivulle.enisa.europa.eu/topics/product-security/single-reporting-platform-srp
- ENISA · SRP:n usein kysytyt kysymykset (päivitetty 10. syyskuuta 2026); oikeusperusta, määräajat, ohjautuminen, kenttätaulukko, laskurilogiikka, toiminta käyttökatkon aikana ja alustan osoite. Kirjoitettu uudelleen 4. syyskuuta ja laajennettu käyttöönottoa edeltävänä päivänä. Ajantasaisin ENISAn SRP-sivuista ja se, jota kannattaa suosia, kun ne ovat ristiriidassa.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions
- ENISA · CRA SRP AR User Manual (10. syyskuuta 2026); käyttöönottopäivän opas Assigned Representatives -rooliin ja kattavin yksittäinen kuvaus alustasta sellaisena kuin se todella avattiin.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-ar-user-manual
- ENISA · Luettelo koordinaattoreiksi nimetyistä CSIRT-yksiköistä (julkaistu 4. syyskuuta 2026, päivitetty 10. syyskuuta 2026); yhteyspisteet kaikille 27 jäsenvaltiolle. Tunnista oma rivisi osiossa 04 kuvatun 14 artiklan 7 kohdan testin avulla.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/list-of-csirts-designated-as-coordinators
- ENISA · CRA SRP -sanasto (versio 1.3, 10. syyskuuta 2026); kenttäkohtainen ohjeistus siitä, mitä kukin ilmoituskenttä tarkoittaa, miten se täytetään, mikä on sen odotettu muoto, sen merkkiraja ja missä vaiheessa se on käytössä. Huomaa osoite: ENISA siirsi sanaston URL-osoitteeseen glossary2 ja vanhempaan viitataan yhä joiltakin sen omilta sivuilta, joten tarkista ylhäältä versiorivi ennen kuin luotat kopioon.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-glossary2
- ENISA · SRP-käyttäjän rekisteröitymisohje; vaiheittainen rekisteröitymisen kulku ensisijaisille ja varakäyttäjille, käyttöliittymän kuvakaappauksin.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-user-registration
- ENISA · SRP-ilmoituksen lähettämisohje; miten ennakkovaroitus, 72 tunnin ilmoitus ja loppuraportti jätetään ja päivitetään, ja mitä kukin tila laukaisee.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-notification-submission-and-update
- ENISA · SRP:n käyttöliittymätoimintojen ohjeistus (9. syyskuuta 2026); asetukset, valmistajaliitokset, koontinäyttö ja hälytysvälilehti. Päivätty uudelleen itse käyttöönottopäivänä, ja on nyt UKK:n kanssa yhtä mieltä siitä, että vahvistamaton liitos voi tehdä enintään 20 ilmoitusta.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-interface-functions
- ENISA · CRA SRP -käyttöehdot (versio 1.0, 10. syyskuuta 2026); ehdot, jotka hyväksyt rekisteröityessäsi alustalle, julkaistu sen avaamista edeltävänä päivänä.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-single-reporting-platform-terms-and-conditions
- ENISA · SRP-ohje erityisen poikkeuksellisista olosuhteista (9. syyskuuta 2026); milloin PEC:iä sovelletaan, 72 tunnin lomakkeen kytkin ja viivästysperusteet sekä se, mitä koordinoiva CSIRT tekee perustelulla. Viides ohjesivu ja ainoa, joka käsittelee PEC:iä suoraan.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-particular-exceptional-circumstances-pec
- Euroopan komissio · CRA:n ilmoitusvelvollisuudet; politiikkasivu, mukaan lukien CRA:n täytäntöönpanoa koskeva UKK, jonka luku 5 käsittelee ilmoittamista. Komissio päivitti tämän sivun 11. syyskuuta 2026 vahvistaakseen, että alusta on nyt toiminnassa, ja komission erillinen UKK-asiakirja päivitettiin viimeksi 4. syyskuuta 2026.digital-strategy.ec.europa.eu/en/policies/cra-reporting
- Euroopan komissio · CRA:n soveltamisohje (27. heinäkuuta 2026); kohta 9.1 esittää valmistajien ja avoimen lähdekoodin ohjelmistojen ylläpitäjien ilmoitusvelvollisuudet. Meidän yhteenvetomme ohjeistuksesta kattaa loput.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
- EU Login; luo tili, jota alusta käyttää, ja ota siinä käyttöön monivaiheinen tunnistautuminen. Tee tämä nyt.ecas.ec.europa.eu/cas/login
Sitovassa tekstissä artiklat 14–17 esittävät ilmoitusekosysteemin ja artikla 16 perustaa alustan; lue ne meidän asetuslukijassamme. Virstanpylväiden päivämääriä seurataan nykytilanteen sivulla.
09Yleisiä kysymyksiä
Mitä minun on ilmoitettava CRA:n nojalla ja kuinka nopeasti?
Aktiivisesti hyväksikäytetyistä haavoittuvuuksista ja vakavista poikkeamista, jotka vaikuttavat tuotteesi turvallisuuteen. Ennakkovaroitus 24 tunnin kuluessa tietoiseksi tulemisesta, kattavampi ilmoitus 72 tunnin kuluessa ja loppuraportti 14 päivän kuluessa siitä, kun korjaava toimenpide on saatavilla haavoittuvuuden osalta, tai yhden kuukauden kuluessa 72 tunnin ilmoituksesta vakavan poikkeaman osalta. Art. 14
Milloin ilmoittamisvelvollisuudet alkavat?
11. syyskuuta 2026; 21 kuukautta lain voimaantulon jälkeen, ja hyvissä ajoin ennen täyttä soveltamista 11. joulukuuta 2027.
Kenelle ilmoitan?
ENISAlle ja koordinaattoriksi nimetylle kansalliselle CSIRT-yksikölle artiklan 16 nojalla perustetun yhden ilmoituspisteen alustan kautta. CSIRT-yksikkösi määräytyy unionissa sijaitsevan päätoimipaikkasi mukaan, tai valtuutetun edustajasi mukaan, jos et ole sijoittautunut EU:hun.
Onko luettelo koordinoivista CSIRT-yksiköistä julkaistu?
Kyllä, 4. syyskuuta 2026 alkaen. ENISA julkaisee yhteyspisteet kaikille 27 jäsenvaltiolle. Luettelo kertoo kunkin jäsenvaltion koordinaattorin; se, mikä niistä on sinun, määräytyy edelleen 14 artiklan 7 kohdan päätoimipaikkatestin mukaan, joka riippuu siitä, missä päätökset tuotteidesi kyberturvallisuudesta pääasiassa tehdään.
Onko minun ilmoitettava jokaisesta virheestä tai haavoittuvuudesta?
Ei. Ainoastaan aktiivisesti hyväksikäytetyt haavoittuvuudet ja vakavat poikkeamat ovat ilmoitettavia. Haavoittuvuudet, jotka löydät ja korjaat ennen hyväksikäyttöä, hallitaan tavanomaisen haavoittuvuuksien hallintaprosessisi kautta.
Onko ENISA:n yhden ilmoituspisteen alusta jo saatavilla?
Kyllä. Se avattiin 11. syyskuuta 2026, samana päivänä kun 14 artiklan velvoitteita alettiin soveltaa, osoitteessa portal.cra-srp.enisa.europa.eu. Valitse rooli Assigned Representative ja kirjaudu sisään EU Login -tilillä, jossa monivaiheinen tunnistautuminen on käytössä. ENISA julkaisi osoitteen UKK:ssaan 10. syyskuuta 2026, avaamista edeltävänä päivänä.
Mitä avatusta alustasta puuttuu?
Neljä asiaa, jotka kannattaa ottaa suunnittelussa huomioon. 15 artiklan mukainen vapaaehtoinen ilmoittaminen puuttuu, eikä päivämäärää ole. API:a ei ole, joten lähettäminen on ihminen, joka täyttää selainlomaketta. 72 tunnin laskuri juoksee ennakkovaroituksesi lähettämisestä eikä tietoiseksi tulemisesta, joten se voi näyttää ilmoituksen myöhässä olevana ennen kuin laillinen määräaika on kulunut umpeen. Ja kenttä, joka kirjaa, milloin tulit tietoiseksi aktiivisesti hyväksikäytetystä haavoittuvuudesta, on pidätetty myöhempään julkaisuun. Alusta on lisäksi toistaiseksi vain englanniksi.
Mitä teen, jos alusta ei ole käytettävissä silloin, kun minun on tehtävä ilmoitus?
ENISAn vastaus, joka lisättiin 4. syyskuuta 2026, on odottaa ja lähettää ilmoitus, kun alusta on taas käytettävissä. Jos välitön yhteydenotto on sillä välin tarpeen, voit ottaa yhteyttä suoraan nimettyyn CSIRT-yksikköösi, mutta ilmoitus on silti tehtävä alustan kautta jälkikäteen. Huomaa, ettei mikään CRA:ssa pysäytä määräaikojasi käyttökatkon aikana, joten merkitse katkon ja jokaisen suoran yhteydenoton ajankohta muistiin.
Vastaako alustan laskuri laillista määräaikaani?
Ei aivan. Nykyisessä julkaisussa 72 tunnin laskuri näyttää eräpäivän, joka on 48 tuntia 24 tunnin raportin lähettämisen jälkeen, ei 72 tuntia sen jälkeen, kun sait tiedon, joten ilmoitus voi näkyä myöhässä olevana ennen kuin laillinen määräaika on kulunut. ENISA kertoo, että logiikkaa muutetaan myöhemmässä julkaisussa ja etteivät laskurit korvaa 14 artiklan mukaista velvollisuutta. Pidä omaa kelloa, joka käynnistyy tiedon saamisesta.
Tallentaako alusta, milloin sain tiedon?
Ei käyttöönotossa. SRP-sanasto, versio 1.3 10. syyskuuta 2026, toteaa, että aktiivisesti hyväksikäytetyn haavoittuvuuden tietoisuuskenttä tulee vasta myöhemmässä julkaisussa ja että vakavan poikkeaman osalta nykyinen kenttä tallentaa havaitsemishetken. Havaitseminen edeltää yleensä tietoisuutta, jonka komission heinäkuun 2026 ohjeistus kytkee alustavaan arvioon, joka saavuttaa kohtuullisen varmuuden. Pidä omaa kirjaa siitä, milloin tuo arvio saatiin päätökseen.
Voinko vedota PEC:iin vakavassa poikkeamassa?
Et voi. ENISA:n 9. syyskuuta 2026 antaman ohjeen mukaan erityisen poikkeukselliset olosuhteet koskevat vain aktiivisesti hyväksikäytetyn haavoittuvuuden 72 tunnin ilmoitusta. Vakavan poikkeaman ilmoituksessa ei ole PEC-valintaa. Huomaa myös, että PEC:iin vetoaminen on pyyntö: koordinoiva CSIRT päättää, hyväksyykö se sen, apunaan antamasi vapaaehtoinen perustelu.
Kuinka pitkä kukin kenttä voi olla?
Sanasto julkaisee rajat: 4000 merkkiä kuvaileville kentille, 2000 jo toteutetuille toimenpiteille ja tietoturvapäivityksen tiedoille, 800 PEC-perustelulle, 255 otsikolle, tuotteelle, komponentille, hyökkäysvektorille ja perussyylle, ja vain 100 haitalliselle toimijalle. Rakenna sisäinen mallisi näiden kokojen mukaan.
Pitäisikö minun rekisteröityä alustalle heti?
ENISA sanoo ei ja neuvoo rekisteröitymään vasta, kun sinun on todella tehtävä ilmoitus, eikä ennakolta. Se, mitä sinun tulisi nyt tehdä, on luoda EU Login -tilit, joita alusta käyttää, monivaiheinen tunnistautuminen käytössä, ensisijaiselle ilmoittajalle ja varahenkilölle. Koordinoiva CSIRT validoi tilisi ensimmäisen käytön jälkeen eikä ennen sitä, ja ENISA vahvistaa, ettei tämä validointi ole edellytys ilmoitusvelvollisuuden täyttämiselle eikä estä lähettämistä.
Onko ilmoitusten tekemiselle raja ennen kuin CSIRT-yksikköni vahvistaa minut?
Kyllä, ja luku muuttui. ENISAn 14. elokuuta 2026 julkaistu käyttöliittymäohje asetti sen 10 ilmoitukseen; 4. syyskuuta 2026 uudelleen kirjoitettu UKK ja 9. syyskuuta 2026 uudelleen päivätty käyttöliittymäohje kertovat molemmat, että validoimaton edustaja voi lähettää enintään 20 ilmoitusta yhden valmistajan osalta ennen kuin validointi tulee pakolliseksi. Validointi ei estä ensimmäistä ilmoitustasi, mutta sitä ei voi myöskään lykätä loputtomiin.
Näkeekö varailmoittajani aloittamani luonnoksen?
Ei. Koontinäyttö näyttää vain kirjautuneen edustajan luomat luonnokset, joten puoliksi kirjoitettu ennakkovaroitus ei näy varahenkilöllesi. Laadi teksti alustan ulkopuolella, asiakirjassa, jota poikkeamatiimisi jakaa, ja käytä alustaa sen kirjaamiseen.
Voinko lähettää ilmoituksia API:n kautta?
Ei. ENISA toteaa, että tässä vaiheessa ei tarjota sovellusrajapintaa. Voit automatisoida sisäisen havaitsemisen ja laatimisen, mutta lähettäminen on henkilö, joka täyttää selainlomakkeen.
Mitä 24 tunnin ennakkovaroituksen on todellisuudessa sisällettävä?
Vähemmän kuin useimmat odottavat. Pakolliset kentät ovat ilmoituksen tyyppi ja taso, valmistajan tai hallinnoijan nimi, tuote, otsikko sekä poikkeamien osalta se, epäilläänkö lainvastaisia tai haitallisia tekoja. Sisällöllinen analyysi on määrä toimittaa 72 tunnin kohdalla, ei ensimmäisenä päivänä.
Onko ilmoittamista varten jo vakiomuotoa tai mallia?
Datakentät on julkaistu. ENISAn usein kysyttyjen kysymysten osio esittää, mitkä ovat pakollisia 24 tunnin, 72 tunnin ja loppuraportin vaiheissa, joten voit rakentaa vastaavan sisäisen mallin jo tänään. Komissio voi vielä täsmentää muotoa ja menettelyä täytäntöönpanosäädöksillä.
Voinko viivyttää ilmoitusta, jos julkistaminen olisi riskialtista?
Ei ilmoituksen tekemistä. 24 tunnin, 72 tunnin ja loppuraportin määräajat kulkevat tietoiseksi tulemisesta, eikä mikään pysäytä niitä. Voit merkitä tiedon arkaluonteiseksi: artiklan 16(2) nojalla voit merkitä kapeita edellytyksiä, jotka rajoittavat sitä, mitä ENISA näkee, kunnes CSIRT vapauttaa täyden ilmoituksen. Päätös edelleen levittämisen viivyttämisestä kuuluu vastaanottavalle CSIRT-yksikölle delegoidun asetuksen (EU) 2026/881 nojalla; asetus hyväksyttiin 11. joulukuuta 2025.
Pitääkö minun ilmoittaa hyväksikäytöstä, josta tiesin jo ennen syyskuuta 2026?
Ei. Velvollisuus alkaa, kun tulet tietoiseksi, eikä se ulotu haavoittuvuuksiin, joiden aktiivisesta hyväksikäytöstä olit jo tietoinen ennen 11. syyskuuta 2026.
Koskeeko ilmoitusvelvollisuus tuotteita, jotka saatoin markkinoille vuosia sitten?
Kyllä. Artikla 69(2) sanoo, että ennen 11. joulukuuta 2027 markkinoille saatetut tuotteet kuuluvat asetuksen soveltamisalaan vain, jos niitä on olennaisesti muutettu kyseisestä päivästä alkaen, mutta artikla 69(3) poikkeaa siitä nimenomaisesti artiklan 14 osalta: ilmoitusvelvollisuuksia sovelletaan kaikkiin soveltamisalaan kuuluviin tuotteisiin, jotka on saatettu markkinoille ennen 11. joulukuuta 2027, muutettuina tai ei. Tuote voi siten jäädä CRA:n tuotevaatimusten ulkopuolelle ja kuulua silti ilmoitusvelvollisuuden piiriin. Art. 69(2)–(3)
Koskeeko tämä mitenkään avoimen lähdekoodin projekteja?
Avoimen lähdekoodin ohjelmistojen ylläpitäjillä on ilmoitusvelvollisuuksia siltä osin kuin ne ovat tekemisissä digitaalisia elementtejä sisältävien tuotteiden kanssa, artiklan 24(3) nojalla. Komission 27. heinäkuuta 2026 antama ohjeistus käsittelee avointa lähdekoodia yksityiskohtaisemmin.
Mistä saan apua, jos olen pieni yritys?
ENISA ylläpitää neuvontapalvelua kiinnittäen erityistä huomiota pk-yrityksiin, ja myös koordinaattoreiksi nimetyt CSIRT-yksiköt ovat velvollisia tarjoamaan neuvontatukea artiklan 14 velvollisuuksissa. ENISA julkaisee neuvontapalvelun osoitteen, cra-srp-helpdesk [at] enisa.europa.eu, for questions not answered by the FAQ or the guidance pages. The AR User Manual was published at launch, and the tutorial video followed within days.