01Što se mora prijaviti
Članka 14. od Akt o kibernetičkoj otpornosti uvodi dvije obveze izvješćivanja za proizvođače proizvoda s digitalnim elementima. Uže su nego što se na prvi pogled čini: uobičajene programske pogreške i redoviti popravci nisu obuhvaćeni. Čl. 14.
- Aktivno iskorištene ranjivosti; ranjivost u vašem proizvodu za koju postoje pouzdani dokazi da ju je zlonamjerni akter iskoristio u nekom sustavu bez dopuštenja vlasnika. Ranjivost koju otkrijete i popravite prije nego što bude iskorištena rješava se vašim uobičajenim proces upravljanja ranjivostima, a ne ovim kanalom izvješćivanja.
- Ozbiljni incidenti; incident koji negativno utječe ili može negativno utjecati na sposobnost proizvoda da zaštiti dostupnost, autentičnost, cjelovitost ili povjerljivost podataka ili funkcija. Kriteriji ozbiljnosti nalaze se u članku 14(5).
Obveze nisu ograničene na komercijalne proizvođače. Upravitelji softvera otvorenog koda imaju vlastite obveze izvješćivanja u mjeri u kojoj su uključeni u proizvode s digitalnim elementima. Čl. 24(3)
Ako se sigurnosna slabost u vašem proizvodu aktivno iskorištava ili je sigurnosni incident ozbiljno utjecao na njega, počinje teći rok iz članka 14. Sve ostalo ostaje u okviru svakodnevnog upravljanja ranjivostima.
Ranjivost za čije ste aktivno iskorištavanje već znali prije početka primjene obveze izvješćivanja, 11. rujna 2026., ne mora se prijaviti. Obveza se veže uz trenutak u kojem postanete svjesni, pa obuhvaća ono što saznate od tog datuma nadalje i ništa prije toga.
To je dio koji ljude često iznenadi i vrijedi biti precizan. Članak 69(2) utvrđuje opće prijelazno pravilo: proizvodi stavljeni na tržište prije 11. prosinca 2027. obuhvaćeni su Uredbom samo ako su bitno izmijenjeni od tog datuma. Čitano samo za sebe, to sugerira da vaš postojeći katalog ostaje netaknut.
Članak 69(3) zatim članak 14. izuzima izravno iz tog pravila. Izričitim odstupanjem, obveze izvješćivanja primjenjuju se na sve proizvode s digitalnim elementima obuhvaćene područjem primjene Uredbe koji su stavljeni na tržište prije 11. prosinca 2027., bez obzira na to jesu li ikada izmijenjeni.
Dakle, dva pravila djeluju na različitim osima. Proizvod koji ste prodali 2025. možda nikada neće trebati oznaku CE prema CRA-u, no ako se ranjivost u njemu aktivno iskorištava i vi za to saznate 11. rujna 2026. ili poslije, podliježe prijavi. Vaša instalirana baza obuhvaćena je obvezom izvješćivanja čak i ako je izvan područja primjene zahtjeva za proizvode. Komisija dolazi do istog zaključka u odjeljku 5.3 svojih ČPP-ova o provedbi CRA-a. Čl. 69(2)–(3)
02Tri roka
Svako izvješće odvija se u tri faze, mjereno od trenutka kada postanete svjesni iskorištene ranjivosti ili ozbiljnog incidenta. Rokovi su kratki, zbog čega je spremnost važna. Čl. 14(2)–(4)
- Unutar 24hRano upozorenje. Prva obavijest o tome da je došlo do aktivno iskorištene ranjivosti ili ozbiljnog incidenta, uključujući, za incidente, sumnja li se da je uzrokovan nezakonitim ili zlonamjernim radnjama.
- Unutar 72hObavijest o ranjivosti / incidentu. Potpuniji prikaz: opća priroda ranjivosti i iskorištavanja, početna procjena te poduzete korektivne ili ublažavajuće mjere i one koje mogu poduzeti korisnici.
- Završno izvješćeZavršno izvješće. Za ranjivost, najkasnije 14 dana nakon što korektivna ili ublažavajuća mjera postane dostupna. Za ozbiljan incident, u roku od mjesec dana od obavijesti u roku od 72 sata. U njemu se navode potpuni opis, ozbiljnost, učinak i primijenjena sanacija.
Uočite asimetriju u posljednjem retku: sat za ranjivost pokreće postojanje popravka, a sat za incident ranija obavijest. Riječ je o različitim mehanizmima i vrijedi ih zasebno upisati u svoj operativni priručnik.
03Kada počinje
Obveze izvješćivanja najraniji su veliki dio CRA-e koji stupa na snagu. Dok se većina odredaba primjenjuje od 11. prosinca 2027., članak 14. primjenjuje se od 11. rujna 2026.; 21 mjesec nakon stupanja Akta na snagu. ENISA je predvidjela da Jedinstvena platforma za izvješćivanje bude operativna do istog datuma. Čl. 71.
Platforma još nije u radu i njezina javna URL adresa nije objavljena. ENISA navodi da će ona biti priopćena na njezinoj stranici Jedinstvene platforme za izvješćivanje prije puštanja u rad. Korisničko i sigurnosno testiranje predviđeni su prije toga, uz sudjelovanje mreže CSIRT-ova u tom testiranju.
ENISA je, međutim, objavila informativni list, prošireni ČPP i dvije stranice sa smjernicama korak po korak koje obuhvaćaju registraciju i podnošenje obavijesti, a sve su posljednji put ažurirane 31. srpnja 2026.. Kratki poučni videozapisi i webinar dva tjedna prije puštanja u rad tek slijede. ENISA napominje da su objavljene smjernice podložne izmjenama.
Još dva elementa nedostaju: popis nacionalnih CSIRT-ova određenih kao koordinatori, za koji ENISA navodi da će ga dostaviti u kasnijoj fazi, te harmonizirane norme na kojima se temelji postupanje s ranjivostima, koje se očekuju oko 30. kolovoza 2026. i još nisu objavljene upućivanjem u Službenom listu.
Za razliku od oznake CE, koju ishodite jednom prije stavljanja proizvoda na tržište, izvješćivanje je živa, trajna obveza koja počinje u rujnu 2026. i može se aktivirati u bilo kojem trenutku nakon toga. Spremnost nije jednokratan projekt. Izgradite interni postupak otkrivanja i prijavljivanja već sada; obveza se primjenjuje od 11. rujna 2026. bez obzira na to jesu li alati dovršeni.
04Kome se prijavljujete
Izvješća se šalju ENISA i relevantnom CSIRT određen kao koordinator, putem jedinstvene ulazne točke, a ne odvojenim podnescima svakom nacionalnom tijelu. Ta ulazna točka jest Jedinstvena platforma za izvješćivanje, koju ENISA uspostavlja, kojom upravlja i koju održava na temelju članka 16. Čl. 14. · 16.
Koji je CSIRT vaš ovisi o vašem glavnom poslovnom nastanu u Uniji ili, ako nemate poslovni nastan u EU-u, o onome koji ima vaš ovlašteni zastupnik. CSIRT primatelj dalje prosljeđuje obavijest CSIRT-ovima u državama članicama u kojima je proizvod dostupan te, prema potrebi, tijelima za nadzor tržišta. Čl. 14(7) · 18
Podrška postoji s obje strane. ENISA vodi službu za pomoć, uz posebnu pozornost prema malim i srednjim poduzećima, a i CSIRT-ovi određeni kao koordinatori dužni su pružati podršku putem službe za pomoć u pogledu obveza iz članka 14. ENISA usto unosi ispravljene ranjivosti u Europsku bazu podataka o ranjivostima, a objavljuje i dvogodišnje izvješće o tehničkim trendovima, od kojih se prvo očekuje u roku od 24 mjeseca od početka primjene obveza izvješćivanja. Čl. 17(6)
Širenje prijavljene ranjivosti može zaustaviti CSIRT, ali ne i vi
CSIRT primatelj može odgoditi ili uskratiti daljnje širenje iz opravdanih kibernetičkosigurnosnih razloga, na razdoblje koje je strogo nužno; primjerice ako je ranjivost u postupku koordinirane objave. Komisija je uvjete pobliže odredila u delegiranom aktu donesenom 11. prosinca 2025.. Kada CSIRT uskrati obavijest, o tome mora odmah obavijestiti ENISA-u, uz obrazloženje i naznaku kada će je proslijediti.
Zasebno, u osobito iznimnim okolnostima možete u svojoj obavijesti u roku od 72 sata označiti jedan od uskih uvjeta iz članka 16(2) : da je iskorištavanje ograničeno na državu članicu vašeg CSIRT-a, da bi daljnje širenje bilo protivno bitnim interesima te države članice ili da širenje predstavlja neposredan visok kibernetičkosigurnosni rizik. Ako to učinite, ENISA prima samo ograničene informacije (da je obavijest podnesena, opće informacije o proizvodu, opću prirodu iskorištavanja i to da su istaknuti sigurnosni razlozi) sve dok CSIRT ne oslobodi cjelovitu obavijest.
Nijedan mehanizam ne zaustavlja vaš sat. Ne možete odgoditi podnošenje; rokovi od 24 sata, 72 sata i za završno izvješće teku od saznanja. Ono što možete učiniti jest označiti osjetljivost, čime se ograničava tko vidi sadržaj. Odluka o zadržavanju širenja pripada CSIRT-u primatelju.
05Registracija na platformi
ENISA-ine smjernice od 31. srpnja 2026. prvi su materijal koji prikazuje stvarne zaslone. Ne možete se registrirati na samoj platformi dok ne bude puštena u rad, ali već sada možete odlučiti tko će držati račune i pripremiti njihove vjerodajnice, a tijek biste trebali poznavati prije nego što se s njim susretnete pod satom od 24 sata.
Imenujte dvije osobe prije nego što vam zatrebaju
Platforma svakom proizvođaču daje dvije vrste korisničkih računa, a već danas možete odlučiti tko će ih zauzeti. primarni zastupnik registrira se prvi i stvara unos proizvođača na platformi. Ta osoba zatim poziva drugu osobu, a to je sekundarni zastupnik, koji ima pričuvnu ulogu kod istog proizvođača i može podnositi obavijesti u njegovo ime. Oboje su imenovane osobe u vašem društvu. Budući da je podnošenje ručno, jedan jedini imenovani prijavitelj koji je na godišnjem odmoru, spava ili je otišao stvaran je operativni rizik, pa drugo mjesto tretirajte kao nužno, a ne kao neobvezno.
EU Login je vjerodajnica i obje je osobe mogu izraditi već danas
Računi na platformi autentificiraju se putem sustava EU Login, zajedničke usluge prijave Europske komisije koja se upotrebljava u svim njezinim internetskim sustavima. ENISA navodi da se račun može izraditi unaprijed, a to je najkorisnija pojedinačna stvar koju sada možete učiniti. Izradite jedan za primarnog zastupnika i jedan za sekundarnog na ecas.ec.europa.eu, uz upotrebu poslovnih adresa e-pošte koje će postojati i za godinu dana. Komisija objašnjava što je EU Login i kako se uklapa u njezin širi okvir identiteta na svojim stranicama o pouzdanom digitalnom identitetu .
Tijek registracije
Pri prvom pristupu platformi odabirete svoju ulogu, birate svoj određeni CSIRT s padajućeg izbornika, autentificirate se putem EU Logina, čitate i prihvaćate pravni sporazum, potvrđujete svoje unaprijed ispunjene osobne podatke (ime, prezime, e-pošta, pravni naziv), a zatim unosite naziv, adresu i dodatne informacije proizvođača. Izostavljanje obveznog polja o proizvođaču blokira tijek. Po dovršetku vaš račun postaje aktivan u ulozi „AR Active”, primate potvrdnu poruku e-pošte, a subjekt proizvođača stvara se u platformi.
The sekundarni zastupnik pridružuje se putem poziva e-poštom koji šalje primarni, potvrđuje unaprijed ispunjene osobne podatke i podatke o proizvođaču te se registrira kao pričuvni korisnik kod istog proizvođača. Taj poziv istječe nakon 7 dana, nakon čega se zapis označava kao „Invitation Expired” i mora se poslati novi. Postavite pričuvnog korisnika u istom navratu kao i primarnog; istekli poziv otkriven usred incidenta problem je koji se može izbjeći.
CSIRT ručno provjerava vašeg zastupnika, ali vas to ne sprječava u podnošenju
Netko mora potvrditi da određena osoba doista smije izvješćivati u ime određenog proizvođača, a ta provjera pripada CSIRT-u određenom kao koordinator. Riječ je o ručnom koraku, postupak se razlikuje među CSIRT-ovima, a svaki CSIRT ima vlastiti pristup. Ključno je da se on odvija nakon vašeg prvog pristupa platformi i teče usporedno s vašim izvješćem: ENISA navodi da validacija nikako ne utječe na vašu mogućnost podnošenja obavijesti. Nevalidirani račun i dalje može podnijeti obavijest unutar roka od 24 sata.
To je i razlog zašto ENISA savjetuje da se registrirate i pokrenete validaciju tek kada doista morate podnijeti obavijest, umjesto da se cijelo tržište registrira unaprijed i zatrpa CSIRT-ove spekulativnim provjerama. Priprema koju obavljate unaprijed odnosi se na račune EU Login i odluku o tome tko će zauzeti dva mjesta, a ne na samu registraciju na platformi.
ENISA-ine smjernice pisane su za „Assigned Representatives” (AR), s primarnim korisnicima i pričuvnim korisnicima. To je uloga računa na platformi. To nikako nije ovlašteni zastupnik imenovan pisanim ovlaštenjem na temelju članka 18. CRA-a. Možete imati prvo bez drugoga. Držite to dvoje odvojenim u svojem internom postupku ili ćete na kraju raspravljati o pravnom imenovanju kada vam je potrebna samo druga prijava.
06Podnošenje izvješća
Izvješćivanje se odvija s nadzorne ploče. Stvarate obavijest, a zatim u svakoj fazi dopunjujete isti zapis umjesto da podnosite tri odvojene stvari. Svaka faza ima svoju karticu i svaka se najprije može spremiti kao nacrt; nacrti su vidljivi samo vama.
- Rano upozorenjePokrenite novu obavijest s nadzorne ploče, ispunite obvezna polja i odaberite postojećeg proizvođača ili dodajte novog. Nakon podnošenja šalje se vašem određenom CSIRT-u i, automatski, ENISA-i. Potvrde e-poštom i upozorenjem primate vi, CSIRT i ENISA.
- 72 sataDostupno tek kada postoji rano upozorenje. Otvorite istu obavijest i ispunite karticu za 72 sata. ENISA je prima automatski, osim ako se ne pozovete na uvjete iz članka 16(2), u kojem se slučaju zapis označava, a ENISA-in uvid ostaje ograničen dok ga CSIRT ne oslobodi.
- Završno izvješćeDostupno tek kada postoje obje ranije faze. Ostali dotični CSIRT-ovi primaju završno izvješće tek nakon što ga vaš koordinirajući CSIRT ručno proslijedi.
Što je obvezno i kada
ENISA je objavila koja su polja obvezna u svakoj fazi. Tablica je koristan ispravak raširene pretpostavke: rano upozorenje u roku od 24 sata jest upozorenje, a ne istraga.
- Nakon 24 sata; vrsta i razina obavijesti, naziv proizvođača ili upravitelja, proizvod i naslov. Za incidente, sumnja li se na nezakonite ili zlonamjerne radnje. Države članice u kojima je proizvod dostupan traže se samo ako taj podatak već imate.
- Nakon 72 sata; opća priroda ranjivosti i iskorištavanja, poduzete korektivne ili ublažavajuće mjere i mjere koje korisnici mogu poduzeti. Za incidente, kada je otkriven i kada se dogodio, uz početnu procjenu. Osjetljivost se označava ovdje.
- U završnom izvješću; potpuni opis, ozbiljnost i učinak, datum kada je korektivna mjera postala dostupna te pojedinosti o sigurnosnom ažuriranju. Za incidente, vjerojatan temeljni uzrok i mjere ublažavanja koje su u tijeku.
Neobvezna polja koja ipak vrijedi zabilježiti uključuju CVE ID i the EUVD ID, a oba su dostupna od prve faze.
Uređivanje i točka bez povratka
Podnesena obavijest može se ažurirati, a platforma o tome automatski obavještava vaš CSIRT te ENISA-u i sve CSIRT-ove koji su je već primili prosljeđivanjem. Primjenjuju se dva ograničenja: zatvorena obavijest ne može se ažurirati, a zapis postaje neizmjenjiv nakon podnošenja završnog izvješća.
ENISA navodi da u ovoj fazi neće biti osigurano aplikacijsko programsko sučelje. Otkrivanje, trijažu i izradu nacrta možete interno automatizirati, ali samo podnošenje obavlja osoba koja ispunjava obrazac u pregledniku. Namjerno isplanirajte tu predaju i pobrinite se da je više od jedne osobe može obaviti izvan radnog vremena i vikendom.
Platforma će prihvaćati i dobrovoljne prijave ranjivosti, kibernetičkih prijetnji, incidenata i izbjegnutih incidenata, i to od bilo koje fizičke ili pravne osobe, a ne samo od proizvođača. ENISA navodi da se ta funkcionalnost omogućuje nakon 11. rujna 2026., pa to nije put do vježbe s malim ulogom prije isteka roka.
07Što možete učiniti danas
Ispunjavanje roka od 24 sata operativni je problem, a ne papirologija, i gotovo sva priprema dostupna je već sada. Ništa od navedenog ne ovisi o tome je li platforma u radu.
- Izradite račune EU Login. Za primarnog prijavitelja i barem jednu pričuvu. Traje nekoliko minuta na ecas.ec.europa.eu i uklanja korak koji ne želite otkriti usred incidenta.
- Utvrdite svoj određeni CSIRT. Ovisi o vašem glavnom poslovnom nastanu u Uniji ili o nastanu vašeg ovlaštenog zastupnika ako imate poslovni nastan izvan EU-a. ENISA-in potpuni popis koordinatora još nije objavljen, pa već sada zabilježite svoje obrazloženje i potvrdite ga prema popisu kada se pojavi.
- Izradite interni obrazac za 24 sata. Kratak predložak koji odgovara ENISA-inim obveznim poljima ranog upozorenja, kako bi vaše prvo stvarno podnošenje bilo prepisivanje, a ne sastavljanje.
- Imenujte osobe, uključujući izvan radnog vremena. Odlučite tko procjenjuje da je izvješće potrebno, tko ga sastavlja i tko ga podnosi. Budući da nema API-ja, posljednji je korak imenovana osoba za tipkovnicom.
- Održavajte točan SBOM. Ne možete prijaviti komponentu za koju niste znali da ste je isporučili. Održavajte popis sastavnica softvera i ažurirajte ga kako se izdanja mijenjaju.
- Kontinuirano ga pratite. Usporedite svoje komponente s izvorima poznatih ranjivosti kako bi se aktivno iskorištavan propust pojavio u satima, a ne tjednima. Naš SBOM i analizator ranjivosti prati vaš popis sastavnica u odnosu na NVD i EU-ovu bazu podataka o ranjivostima (EUVD).
- Potvrdite što je doista obuhvaćeno. U fazi od 72 sata traži se vrsta proizvoda i kategorija iz Priloga III. ili IV., pa riješite klasifikaciju prije nego što vam zatreba. alat za klasifikaciju na to odgovara, a matricu sukladnosti izvješćivanje veže uz šire dužnosti upravljanja ranjivostima iz Priloga I. unutar kojih se nalazi.
- Zabilježite webinar u kalendar. ENISA ga namjerava održati dva tjedna prije nego što platforma uđe u rad te objaviti kratke poučne videozapise bliže pokretanju.
08Pratite to na izvoru
Ova stranica odražava stanje na dan 6. kolovoza 2026.. Platforma se još mijenja, a ENISA svoje stranice uređuje tiho umjesto da najavljuje svaku promjenu, pa oznake „posljednje ažurirano” na stranicama u nastavku vrijedi provjeriti izravno. To su primarni izvori; sve navedeno naše je čitanje tih izvora.
- ENISA · Jedinstvena platforma za izvješćivanje; središnja stranica, s informativnim listom i detaljnim ČPP-om koji obuhvaća pravnu osnovu, rokove, usmjeravanje, tablicu polja i sigurnost platforme. Ondje će biti objavljena javna URL adresa.enisa.europa.eu/topics/product-security-and-certification/single-reporting-platform-srp
- ENISA · Smjernice za registraciju korisnika SRP-a; tijek registracije korak po korak za primarne i pričuvne korisnike, sa snimkama zaslona sučelja.enisa.europa.eu/cra-srp-ar-user-registration
- ENISA · Smjernice za podnošenje obavijesti na SRP-u; kako se podnose i ažuriraju rano upozorenje, obavijest u roku od 72 sata i završno izvješće te što pokreće svaki status.enisa.europa.eu/cra-srp-ar-notification-submission-and-update
- Europska komisija · Obveze izvješćivanja u okviru CRA-a; stranica s politikom, uključujući ČPP-ove o provedbi CRA-a čiji odjeljak 5. obuhvaća izvješćivanje.digital-strategy.ec.europa.eu/en/policies/cra-reporting
- Europska komisija · Smjernice za primjenu CRA-a (27. srpnja 2026.); točka 9.1 utvrđuje obveze izvješćivanja proizvođača i upravitelja softverom otvorenog koda. Naš sažetak smjernica pokriva ostalo.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
- EU Login; izradite račun koji će platforma upotrebljavati. Učinite to sada.ecas.ec.europa.eu/cas/login
Za obvezujući tekst, članci 14. do 17. utvrđuju ekosustav izvješćivanja, a članak 16. uspostavlja platformu; pročitajte ih u našem čitaču uredbe. Ključni datumi prate se na stranici trenutačno stanje .
09Česta pitanja
Što moram prijaviti prema CRA-i i koliko brzo?
Aktivno iskorištene ranjivosti i ozbiljni incidenti koji utječu na sigurnost vašeg proizvoda. Rano upozorenje u roku od 24 sata od saznanja, potpunija obavijest u roku od 72 sata i završno izvješće u roku od 14 dana od dostupnosti korektivne mjere za ranjivost, odnosno u roku od mjesec dana od obavijesti u roku od 72 sata za ozbiljan incident. Čl. 14.
Kada počinju obveze izvješćivanja?
11. rujna 2026.; 21 mjesec nakon stupanja Akta na snagu i znatno prije potpune primjene 11. prosinca 2027.
Kome se prijavljujem?
ENISA-i i nacionalnom CSIRT-u određenom kao koordinator, putem jedinstvene platforme za izvješćivanje uspostavljene na temelju članka 16. Vaš CSIRT ovisi o vašem glavnom poslovnom nastanu u Uniji ili o nastanu vašeg ovlaštenog zastupnika ako nemate poslovni nastan u EU-u.
Moram li prijaviti svaku pogrešku ili ranjivost?
Ne. Samo aktivno iskorištene ranjivosti i ozbiljni incidenti podliježu obvezi izvješćivanja. Ranjivosti koje pronađete i ispravite prije iskorištavanja upravljaju se kroz vaš uobičajeni proces upravljanja ranjivostima.
Je li ENISA-ina jedinstvena platforma za izvješćivanje već dostupna?
Ne na dan 6. kolovoza 2026. Platforma nije u radu i njezina javna URL adresa nije objavljena; ENISA će je najaviti na svojoj stranici o SRP-u prije puštanja u rad. Predviđeno je da bude operativna do 11. rujna 2026., uz prethodno korisničko i sigurnosno testiranje.
Mogu li se već sada registrirati ili nešto pripremiti?
Da, i trebali biste. Izradite EU Login račune koje će platforma upotrebljavati, za primarnog prijavitelja i pričuvu. Ne možete se registrirati na samoj platformi dok ne bude puštena u rad, a ENISA savjetuje da registraciju na platformi pokrenete tek kada doista morate podnijeti obavijest, jer koordinirajući CSIRT validira račun nakon prvog pristupa, a ne prije njega. Ta validacija ne blokira podnošenje.
Mogu li izvješća podnositi putem API-ja?
Ne. ENISA navodi da u ovoj fazi neće biti osigurano aplikacijsko programsko sučelje. Interno otkrivanje i izradu nacrta možete automatizirati, ali podnošenje obavlja osoba koja ispunjava obrazac u pregledniku.
Što zapravo mora sadržavati rano upozorenje u roku od 24 sata?
Manje nego što većina ljudi očekuje. Obvezna su polja vrsta i razina obavijesti, naziv proizvođača ili upravitelja, proizvod, naslov te, za incidente, sumnja li se na nezakonite ili zlonamjerne radnje. Sadržajna analiza dospijeva nakon 72 sata, a ne prvog dana.
Postoji li već standardni format ili predložak za izvješćivanje?
Podatkovna polja su objavljena. ENISA-in ČPP utvrđuje koja su obvezna u fazama od 24 sata, 72 sata i završnog izvješća, pa već danas možete izraditi odgovarajući interni predložak. Komisija još može provedbenim aktima dodatno odrediti format i postupak.
Mogu li odgoditi izvješće ako bi objava bila rizična?
Ne podnošenje. Rokovi od 24 sata, 72 sata i za završno izvješće teku od saznanja i ništa ih ne zaustavlja. Možete označiti osjetljivost: na temelju članka 16(2) možete označiti uske uvjete koji ograničavaju ono što ENISA vidi dok CSIRT ne oslobodi cjelovitu obavijest. Odluka o odgodi daljnjeg širenja pripada CSIRT-u primatelju, na temelju delegiranog akta donesenog 11. prosinca 2025.
Moram li prijaviti iskorištavanje za koje sam znao već prije rujna 2026.?
Ne. Obveza se primjenjuje od trenutka kada saznate i ne obuhvaća ranjivosti za čije ste aktivno iskorištavanje već znali prije 11. rujna 2026.
Primjenjuje li se izvješćivanje na proizvode koje sam stavio na tržište prije više godina?
Da. Članak 69(2) propisuje da su proizvodi stavljeni na tržište prije 11. prosinca 2027. obuhvaćeni Uredbom samo ako su od tog datuma bitno izmijenjeni, ali članak 69(3) od toga izričito odstupa za članak 14.: obveze izvješćivanja primjenjuju se na sve obuhvaćene proizvode stavljene na tržište prije 11. prosinca 2027., izmijenjene ili ne. Proizvod stoga može biti izvan područja primjene zahtjeva za proizvode iz CRA-a, a istodobno obuhvaćen obvezom izvješćivanja. Čl. 69(2)–(3)
Primjenjuje li se išta od ovoga na projekte otvorenog koda?
Upravitelji softvera otvorenog koda imaju obveze izvješćivanja u mjeri u kojoj su uključeni u proizvode s digitalnim elementima, na temelju članka 24(3). Komisijine smjernice od 27. srpnja 2026. detaljnije se bave otvorenim kodom.
Gdje mogu dobiti pomoć ako sam malo poduzeće?
ENISA vodi službu za pomoć uz posebnu pozornost prema malim i srednjim poduzećima, a i CSIRT-ovi određeni kao koordinatori dužni su pružati podršku putem službe za pomoć u pogledu obveza iz članka 14. ENISA usto planira poučne videozapise i webinar dva tjedna prije nego što platforma uđe u rad.