CRA-incidensek és sebezhetőségek bejelentése

01Mit kell bejelenteni

A vonatkozó rendelet 14. cikkében Kiberreziliencia-rendelet két bejelentési kötelezettséget hoz létre a digitális elemeket tartalmazó termékek gyártói számára. Ezek szűkebbek, mint amilyennek elsőre tűnnek: a szokásos programhibák és a hétköznapi javítások nem tartoznak ide. 14. cikk

• Aktívan kihasznált sebezhetőségek; olyan sebezhetőség az Ön termékében, amelyre nézve megbízható bizonyíték van arra, hogy egy rosszindulatú szereplő azt egy rendszerben a tulajdonos engedélye nélkül kihasználta. Az olyan sebezhetőséget, amelyet még a kihasználása előtt fedez fel és javít ki, a szokásos sebezhetőség-kezelési folyamat, nem pedig ezen a bejelentési csatornán.
• Súlyos incidensek; olyan incidens, amely hátrányosan érinti vagy hátrányosan érintheti a termék azon képességét, hogy megvédje az adatok vagy funkciók rendelkezésre állását, hitelességét, sértetlenségét vagy bizalmas jellegét. A súlyossági kritériumok a 14. cikk (5) bekezdésében találhatók.

A kötelezettségek nem korlátozódnak a kereskedelmi gyártókra. Nyílt forráskódú szoftverek gondnokai saját bejelentési kötelezettségekkel rendelkeznek annyiban, amennyiben digitális elemeket tartalmazó termékekben érintettek. 24. cikk (3)

02A három határidő

Minden bejelentés három szakaszban zajlik, attól a pillanattól mérve, amikor Ön tudomást szerez a kihasznált sebezhetőségről vagy súlyos incidensről. A határidők szűkek, ezért számít a felkészültség. 14. cikk (2)–(4) bek.

• 24 órán belülKorai figyelmeztetés. Első értesítés arról, hogy aktívan kihasznált sebezhetőség vagy súlyos incidens következett be, incidensek esetében ideértve azt is, hogy feltételezhető-e, hogy jogellenes vagy rosszindulatú cselekmény okozta.
• 72 órán belülSebezhetőség / incidens bejelentése. Részletesebb ismertetés: a sebezhetőség és a kihasználás általános jellege, egy kezdeti értékelés, valamint a megtett korrekciós vagy enyhítő intézkedések és azok, amelyeket a felhasználók tehetnek meg.
• ZárójelentésZárójelentés. A sebezhetőségesetében legkésőbb 14 nap azt követően, hogy korrekciós vagy enyhítő intézkedés elérhetővé válik. A súlyos incidensesetében egy hónapon belül a 72 órás bejelentéstől számítva. Ebben szerepel a teljes leírás, a súlyosság, a hatás és az alkalmazott javítás.

Figyeljen az utolsó sor aszimmetriájára: a sebezhetőségi órát a javítás megléte indítja, az incidensórát pedig a korábbi bejelentés. Ezek eltérő mechanizmusok, és érdemes külön rögzíteni őket a belső eljárásrendjében.

03Mikor kezdődik

A bejelentési kötelezettségek a CRA legkorábbi hatályba lépő fő része. Míg a legtöbb rendelkezés 2027. december 11-től alkalmazandó, a 14. cikk a következőtől alkalmazandó: 2026. szeptember 11.; 21 hónappal a rendelet hatálybalépése után. Az ENISA ugyanezen a napon nyitotta meg az Egységes bejelentési platformot. 71. cikk

04Kinek jelent

A bejelentések címzettje ENISA és a koordinátorként kijelölt CSIRT, egyetlen belépési ponton keresztül, nem pedig az egyes nemzeti hatóságokhoz benyújtott külön bejelentésekkel. Ez a belépési pont az Egységes bejelentési platform, amelyet az ENISA a 16. cikk alapján hoz létre, működtet és tart fenn. 14. cikk · 16. cikk

Az, hogy melyik CSIRT az Öné, az Ön fő telephelyétől függ az Unióban, vagy ha nem rendelkezik uniós letelepedéssel, akkor attól, hogy hol van az Ön meghatalmazott képviselője. A fogadó CSIRT a bejelentést továbbítja azon tagállamok CSIRT-jeinek, ahol a termék elérhető, valamint szükség szerint a piacfelügyeleti hatóságoknak. 14. cikk (7) · 18. cikk

A koordinátorok listáját 2026. szeptember 4-én tették közzé

Egészen 2026. szeptember 4. előtt nem volt közzétett válasz erre az oldal legfontosabb gyakorlati kérdésére: melyik nemzeti csapat kapja meg ténylegesen a bejelentését. Az ENISA immár közzétette a koordinátorként kijelölt CSIRT-ek listáját egy vagy több kapcsolattartási URL-lel mind a 27 tagállamhoz, és 2026. szeptember 10-i új keltezéssel látta el, ezért ellenőrizze újra a saját sorát, mielőtt egy korábban készített másolatra hagyatkozna. Írország a CRA-hoz külön NCSC-oldalra mutat; Spanyolország két különálló INCIBE-útvonalat ad meg, egyet az incidensekhez, egyet a sebezhetőségek koordinációjához.

A lista megmondja, ki az egyes tagállamok koordinátora. Azt nem mondja meg, melyik az Öné, és a 14. cikk (7) bekezdése szerinti teszt szűkebb, mint azt a legtöbb szervezet feltételezi. Az Ön fő telephelyétől függ: az a tagállam, ahol a digitális elemeket tartalmazó termékei kiberbiztonságával kapcsolatos döntéseket túlnyomórészt meghozzák, ami lehet fejlesztési telephely, nem pedig a bejegyzett székhely vagy a legnagyobb kereskedelmi működés helye. Ha ez nem állapítható meg, a másodlagos szabály az a tagállam, ahol a legtöbb uniós alkalmazottja van. Uniós letelepedés teljes hiányában a sorrend a következő: az a tagállam, ahol a meghatalmazott képviselője a legtöbb termék tekintetében jár el, majd az az importőr, amely a legtöbb terméket hozza forgalomba, majd az a forgalmazó, amely a legtöbbet forgalmazza, végül a legtöbb felhasználóval rendelkező tagállam. Mivel ez minden jövőbeli bejelentés címzettjét rögzíti, döntse el előre, jogi bevonással, és írja le az indokolást.

Támogatás mindkét oldalon rendelkezésre áll. ENISA ügyfélszolgálatot működtet, különös figyelemmel a kkv-kra, és a koordinátorként kijelölt CSIRT-ek szintén kötelesek ügyfélszolgálati támogatást nyújtani a 14. cikk szerinti kötelezettségekhez. Az ENISA a kijavított sebezhetőségeket be is táplálja az Európai Sebezhetőségi Adatbázisba, és kétévente technikai trendjelentést tesz közzé; az elsőt a bejelentési kötelezettségek indulásától számított 24 hónapon belül. 17. cikk (6)

A bejelentett sebezhetőség terjesztését a CSIRT szüneteltetheti, Ön azonban nem

A fogadó CSIRT indokolt kiberbiztonsági okokból, a feltétlenül szükséges ideig késleltetheti vagy visszatarthatja a továbbterjesztést; például ha a sebezhetőség koordinált közzétételi eljárás alatt áll. A Bizottság a feltételeket a következőben határozta meg: (EU) 2026/881 felhatalmazáson alapuló rendelet, amelyet ekkor fogadtak el: 2025. december 11.. Ha a CSIRT visszatart egy bejelentést, erről haladéktalanul tájékoztatnia kell az ENISA-t, indokolással és annak megjelölésével, hogy mikor fogja terjeszteni.

Ettől elkülönülten, különösen kivételes körülmények között a 72 órás bejelentésében megjelölheti a szűk feltételek egyikét a következő rendelkezésből: 16. cikk (2) : hogy a kihasználás az Ön CSIRT-jének tagállamára korlátozódik, hogy a további terjesztés ellentétes lenne az adott tagállam alapvető érdekeivel, vagy hogy a terjesztés közvetlen, magas kiberbiztonsági kockázatot jelent. Ha így tesz, az ENISA csak korlátozott információt kap (azt, hogy bejelentés történt, általános információt a termékről, a kihasználás általános jellegét, és azt, hogy biztonsági okokra hivatkoztak), amíg a CSIRT fel nem oldja a teljes bejelentést.

05Regisztráció a platformon

Az ENISA regisztrációs útmutatója, amelyet 2026. szeptember 10-i új keltezéssel láttak el, és felületi útmutatója, amelyet 2026. szeptember 9-i új keltezéssel láttak el, a tényleges képernyőket mutatja. A regisztráció a platformmal együtt 2026. szeptember 11-én nyílt meg, így ez most már olyan folyamat, amelyet végig lehet járni, nem csupán olvasni róla. Az ENISA ennek ellenére azt kéri, hogy ne regisztráljon elővigyázatosságból, az alább kifejtett okból, ami a folyamat előzetes ismeretét inkább hasznosabbá teszi, mint kevésbé azzá: amikor először végigmegy rajta, könnyen lehet, hogy 24 órás óra ketyeg.

Nevezzen ki két embert, mielőtt szüksége lenne rájuk

A platform minden gyártó számára kétféle felhasználói fiókot biztosít, és már ma eldöntheti, ki tölti be ezeket. Az elsődleges képviselő regisztrál elsőként, és létrehozza a gyártó bejegyzését a platformon. Ez a személy ezután meghívja a másodlagos képviselőt, aki tartalék szerepet tölt be ugyanannál a gyártónál, és a nevében benyújthat bejelentést. Mindketten az Ön vállalatának megnevezett munkatársai. Mivel a benyújtás kézi, egyetlen kijelölt bejelentő, aki szabadságon van, alszik vagy már távozott, valós működési kockázat, ezért a második helyet szükségesnek, ne pedig opcionálisnak tekintse.

Az EU Login a hitelesítő adat, és mindkét személy már ma létrehozhatja

A platformfiókok hitelesítése a következőn keresztül történik: EU Login, az Európai Bizottság közös bejelentkezési szolgáltatása, amelyet online rendszereiben használ. Hozzon létre egyet az elsődleges képviselőnek és egyet a másodlagosnak itt: ecas.ec.europa.eu, olyan munkahelyi e-mail-címekkel, amelyek egy év múlva is létezni fognak. A többtényezős hitelesítés kötelező: az ENISA a platformhoz való első hozzáférés előtt megköveteli az MFA-t az EU Login fiókon, ezért ha munkatársainak már van egyszerű EU Login fiókjuk, most kapcsoltassa be velük az MFA-t, ne egy incidens közben. Az EU Login fiókok személyesek, és az ENISA nem működtet fölöttük külön vállalati hitelesítést. A Bizottság a következő oldalain fejti ki, mi az EU Login, és hogyan illeszkedik a tágabb identitáskeretébe: megbízható digitális identitás .

A regisztrációs folyamat

A platform első megnyitásakor kiválasztja a szerepkörét, legördülő listából kiválasztja a kijelölt CSIRT-jét legördülő listából, hitelesíti magát az EU Login segítségével, elolvassa és elfogadja a jogi megállapodást, megerősíti az előre kitöltött személyes adatait (utónév, vezetéknév, e-mail, cégnév), majd megadja a gyártó nevét, címét és további információit. Kötelező gyártói mező kihagyása megakasztja a folyamatot. A befejezéskor a fiókja állapota "Active", és Ön a "AR Primary User" szerepkört tölti be, visszaigazoló e-mailt kap, és létrejön a gyártói entitás a platformon.

A másodlagos képviselő csatlakozásának módja: e-mailes meghívó révén az elsődlegestől, megerősíti az előre kitöltött személyes és gyártói adatokat, és a "AR Backup User" szerepkörbe kerül regisztrálásra ugyanannál a gyártónál. A meghívó lejár ennyi idő elteltével: 7 nap, ezt követően a rekord „Invitation Expired” jelölést kap, és újat kell küldeni. A tartalékot ugyanabban az ülésben állítsa be, mint az elsődlegest; egy incidens közben felfedezett lejárt meghívó elkerülhető probléma.

A CSIRT kézzel ellenőrzi a képviselőjét, de ez nem akadályozza a benyújtásban

Valakinek meg kell erősítenie, hogy egy adott személy valóban jelenthet-e egy adott gyártó nevében, és ez az ellenőrzés a koordinátorként kijelölt CSIRT feladata, amelyet az ENISA immár így rövidít: CDaC. Kézi lépésről van szó, az eljárás CSIRT-enként eltér, és minden CSIRT a maga megközelítését alkalmazza. Lényeges, hogy erre azt követően kerül sor, hogy először hozzáfér a platformhoz, és párhuzamosan zajlik a jelentésével. Az ENISA a 2026. augusztus 3. napján kiadott frissítésében ezt kétséget kizáróan rögzítette: a CDaC általi validálás nem előfeltétele a CRA szerinti bejelentési kötelezettség teljesítésének, és nem befolyásolja a bejelentések benyújtására való képességét. Nem validált fiók is benyújthat bejelentést a 24 órás határidőn belül.

Az ENISA ezért is azt tanácsolja, hogy csak akkor regisztráljon és indítsa el a validálást, amikor ténylegesen be kell nyújtania, ahelyett hogy az egész piac előre regisztrálna, és spekulatív ellenőrzésekkel árasztaná el a CSIRT-eket. Az előre elvégzendő előkészület az EU Login fiókok létrehozása és annak eldöntése, ki tölti be a két helyet, nem pedig maga a platformregisztráció.

Egy fiók több gyártót is kezelhet

Ugyanez az útmutató határozza meg a két hely körüli adminisztrációt. Az elsődleges képviselő e-mail-címmel hív meg egy tartalékot, ami olyan rekordot hoz létre, amelynek jelölése "Pending Invitation" , és amely az elfogadásig szerepkör nélkül marad. A másodlagos képviselő kérheti az elsődlegessé való előléptetést, amit a CDaC vizsgál felül. Ezt az ENISA 2026. szeptember 17-én formalizálta, a GYIK 9. kérdését „[FRISSÍTVE]” jelöléssel látva el, kimondva, hogy a másodlagos AR „nem rendelkezik ugyanazokkal az adminisztratív jogosultságokkal, mint az elsődleges AR, de igényelheti az elsődleges AR szerepkört, a kijelölt CSIRT felülvizsgálatától és jóváhagyásától függően”. Bármelyikük eltávolíthat egy társítást, amely ekkor a következő jelölést kapja: "Deleted". Egyetlen fiók pedig társításokat tarthat fenn több gyártóval, amelyek mindegyike ezen keresztül adható hozzá: Association Management és mindegyiket külön ellenőrzik.

Ez az utolsó pont fontos a több gyártó entitással rendelkező csoportok számára, valamint azon cégek számára, amelyek a 18. cikk alapján az EU-n kívül letelepedett gyártók nevében járnak el. Itt harap a legerősebben az alábbi elnevezési csapda is.

06Bejelentés benyújtása

A bejelentés egy irányítópultról zajlik. Létrehoz egy bejelentést, majd minden szakaszban ugyanahhoz a rekordhoz ad hozzá, ahelyett hogy három külön dolgot nyújtana be. Minden szakasznak saját füle van, és mindegyik előbb piszkozatként menthető. Az irányítópulton kereshet bejelentésazonosító, gyártó vagy cím szerint, rendezhet cím vagy utolsó frissítés szerint, és szűrhet tagállam, benyújtási típus vagy egy Action Required jelző szerint.

• Korai figyelmeztetésIndítson új bejelentést az irányítópultról, töltse ki a kötelező mezőket, és válasszon ki egy meglévő gyártót vagy adjon hozzá egyet. Benyújtáskor hozzáférhetővé válik a kijelölt CSIRT-je és automatikusan az ENISA számára. E-mailes és riasztásos visszaigazolást kap a CSIRT, az ENISA, valamint az adott gyártóhoz regisztrált minden képviselő, nem csak a benyújtó személy.
• 72 órásCsak akkor érhető el, ha már létezik korai figyelmeztetés. Nyissa meg ugyanazt a bejelentést, és töltse ki a 72 órás fület. Az ENISA automatikusan megkapja, kivéve ha a 16. cikk (2) bekezdése szerinti feltételekre hivatkozik; ebben az esetben a rekord jelölése "72h Submitted under PEC", és az ENISA rálátása korlátozott marad, amíg a CSIRT fel nem oldja.
• ZárójelentésCsak akkor érhető el, ha mindkét korábbi szakasz létezik. Az ENISA automatikusan megkapja, kivéve, ha a 16. cikk (2) bekezdése szerinti feltételekre hivatkoztak.

Mi kötelező, és mikor

Az ENISA közzétette, mely mezők kötelezők az egyes szakaszokban. A táblázat hasznos korrekció egy elterjedt feltételezésre: a 24 órás korai figyelmeztetés riasztás, nem pedig vizsgálat.

• 24 óránál; a bejelentés típusa és szintje, a gyártó vagy gondnok neve, a termék és egy cím. Incidensek esetében az, hogy feltételezhető-e jogellenes vagy rosszindulatú cselekmény. Azon tagállamok megadása, ahol a termék elérhető, csak akkor kötelező, ha ez az információ már rendelkezésre áll.
• 72 óránál; a sebezhetőség és a kihasználás általános jellege, a megtett korrekciós vagy enyhítő intézkedések, valamint a felhasználók által megtehető intézkedések. Incidensek esetében az, hogy mikor észlelték és mikor következett be, továbbá egy kezdeti értékelés. Az érzékenységet itt kell megjelölni.
• A zárójelentésnél; a teljes leírás, a súlyosság és a hatás, a korrekciós intézkedés elérhetővé válásának időpontja, valamint a biztonsági frissítés részletei. Incidensek esetében a valószínű alapvető ok és a folyamatban lévő enyhítő intézkedések.

Az opcionális mezők közül érdemes rögzíteni a CVE ID és a EUVD IDazonosítót, mindkettő az első szakasztól kezdve elérhető.

Minden mezőnek van karakterkorlátja, és az egyik nagyon rövid

Az ENISA SRP-szószedete, amely először a 2026. szeptember 5-i 1.1-es verzióban adott meg mezőméreteket, és most a 2026. szeptember 10-i 1.3-as verziónál tart, az az ENISA-dokumentum, amely közzéteszi az egyes mezők méretét. Belső sablonjait ezekhez a korlátokhoz igazítsa, ahelyett hogy hajnali kettőkor szembesülne velük:

• 4000 karakter a szöveges mezőkre: az összefoglaló, a sebezhetőségre vagy incidensre vonatkozó általános információk, a felhasználók által megtehető korrekciós intézkedések, a súlyosság és a hatás teljes leírása, a kezdeti értékelés, incidensek esetén pedig az alkalmazott és folyamatban lévő enyhítő intézkedések.
• 2000 karakter a már megtett korrekciós vagy enyhítő intézkedésekre, valamint a zárójelentésben a biztonsági frissítés vagy a korrekciós intézkedés részleteire.
• 800 karakter a 72 órás sebezhetőségi bejelentéshez kapcsolódó PEC-kérelmet kísérő szabadszöveges indokolásra.
• 255 karakter a címre, a termék nevére, a termék verziótartományára, az összetevő nevére, a támadási vektorra, az érzékenység indokolására és a valószínű alapvető okra.
• 100 karakter a sebezhetőséget kihasználó rosszindulatú szereplőre. Ez nagyjából egy sor, ezért tervezze úgy, hogy megnevezi a szereplőt vagy egy indikátorhivatkozásra utal, ahelyett hogy leírná a kampányt.

A szószedet egy apró kényelmi elemet is megerősít: a Tagállamok, ahol a termék elérhető mező előre kitöltve érkezik az Ön saját koordináló CSIRT-jével, a többi piacot pedig Ön adja hozzá.

Szerkesztés és a visszafordíthatatlan pont

A benyújtott bejelentés frissíthető, és a platform automatikusan riasztást és e-mailt küld a CSIRT-jének, valamint az ENISA-nak és minden olyan CSIRT-nek, amely azt terjesztés útján már megkapta. Két korlát érvényes: a lezárt bejelentés nem frissíthető, és a rekord a zárójelentés benyújtása után nem szerkeszthető.

Figyelje a riasztások fület, hétvégén is

Minden fióknak van egy Alerts füle, színkóddal: az olvasatlan riasztások világoskékek, megnyitás után szürkére váltanak, a piros riasztások pedig csak akkor jelennek meg, ha valami rendkívüli történt. Az ENISA példája egy olyan kijelölt CSIRT, amely érvénytelenített egy benyújtást. A bejelentés tehát nem a levelezés vége, és egyetlen 14. cikk szerinti határidő sem tolódik el amiatt, hogy egy bejelentés visszakerült Önhöz. Aki ezt a fület figyeli, annak munkaidőn kívül is figyelnie kell, ami további érv amellett, hogy mindkét hely mögött egy felügyelt csapatpostafiók álljon, ne pedig két személyes cím.

A platform 72 órás számlálója nem a tudomásszerzéstől számol

A GYIK feltárja, hogyan viselkednek valójában a képernyőn megjelenő visszaszámlálók, és azok nem követik a jogszabályi határidőt. Az ENISA a GYIK-et ekkor frissítette: 2026. szeptember 10., a megnyitás előtti napon, és ezt a választ változatlanul hagyta, így az itt leírt viselkedés az a viselkedés, amely élesben elindult. A jelenlegi kiadásban a 72 órás számláló olyan határidőt jelenít meg, amely 48 órával a 24 órás jelentés benyújtása után jár le, nem pedig 72 órával azt követően, hogy Ön tudomást szerzett róla. Az ENISA egyértelműen kimondja, hogy egy bejelentés ezért késedelmesnek tűnhet, mielőtt a tudomásszerzéstől számított 72 óra letelne, és hogy a logikát egy későbbi kiadásban megváltoztatják, hogy a „tudomásszerzés dátuma és időpontja” mezőtől számoljon, mind a sebezhetőségek, mind az incidensek esetében.

A zárójelentés számlálói ismét eltérnek. Egy súlyos incidens esetében a számláló egy hónapot mutat a 72 órás bejelentéstől számítva. Egy aktívan kihasznált sebezhetőség esetében egyáltalán nincs számláló, mert a határidő attól függ, mikor válik elérhetővé a korrekciós intézkedés, amit a platform nem tudhat.

Induláskor a platform nem rögzíti, mikor szerzett tudomást

2026. szeptember 5-én az ENISA lecserélte a mezőnkénti SRP-szószedetét az 1.1-es verzióra, és a benne szereplő két lábjegyzet mindennél többet nyom a latban ezen az oldalon. Aktívan kihasznált sebezhetőség esetén a Date/time when you become aware mező azt a megjegyzést viseli, hogy a platform következő kiadásában lesz elérhető. Súlyos incidens esetén a megjegyzés szerint a jelenlegi kiadásban az ennek megfelelő mező neve Date/time the incident was detected.

A fenti számlálólogika mellé állítva ez bezárja a kört. A GYIK azt mondta, hogy a 72 órás számlálót akkor javítják ki, ha megérkezik a tudomásszerzési mező; a szószedet azt mondta, hogy a mező egy későbbi kiadásban érkezik. A megnyitás előtt egyik sem mozdult: az ENISA a szószedetet ismét átdolgozta az 1.3-as verzióra ekkor: 2026. szeptember 10. , és mindkét lábjegyzetet érintetlenül hagyta. Az első naptól kezdve tehát a platform a sebezhetőségeknél egyáltalán nem rögzít tudomásszerzési időbélyeget, az incidenseknél pedig az észlelés pillanatát rögzíti, ami nem a tudomásszerzés pillanata.

07Mit tehet ma

A 24 órás határidő tartása működési, nem adminisztratív probléma. Most, hogy a platform megnyílt, az alábbi lista már nem egy jövőbeli eseményre való felkészülés; a kötelezettség fut, és minden, amit itt nem tett meg, kitettség, nem pedig terv.

• Hozza létre az EU Login fiókjait, bekapcsolt MFA-val. Az elsődleges bejelentő és legalább egy tartalék számára. Percek alatt megvan itt: ecas.ec.europa.eu, és a platform senkit sem enged be többtényezős hitelesítés nélkül, így ennek bekapcsolása a feladat része, nem pedig annak finomítása.
• Azonosítsa a kijelölt CSIRT-jét. Az ENISA közzétette a koordinátorok listáját mind a 27 tagállamra vonatkozóan 2026. szeptember 4-én, így ez már elvégezhető feladat. Alkalmazza a 14. cikk (7) bekezdése szerinti fő telephely tesztet, válassza ki a saját sorát, és írja le az indokolást.
• Építse fel belsőleg a 24 órás űrlapot. Rövid sablon, amely megfelel az ENISA kötelező korai figyelmeztetési mezőinek, hogy az első valódi bejelentése átvezetés legyen, ne fogalmazás. Tartsa olyan helyen, amelyet mindkét képviselő meg tud nyitni, mert a platformon lévő piszkozatokat csak a létrehozójuk látja.
• Nevezze meg az embereket, a munkaidőn kívülre is. Döntse el, ki ítéli meg, hogy bejelentés szükséges, ki fogalmazza meg és ki nyújtja be. Mivel nincs API, az utolsó lépés egy megnevezett ember a billentyűzetnél.
• Tartson pontos SBOM-ot. Nem tud bejelenteni olyan összetevőt, amelyről nem tudta, hogy szállította. Tartson fenn szoftvertermék-jegyzéket, és tartsa naprakészen a kiadások változásával.
• Kövesse folyamatosan. Vesse össze összetevőit ismert sebezhetőségi forrásokkal, hogy egy aktívan kihasznált hiba órák, ne hetek alatt derüljön ki. Saját eszközünk, a SBOM és sebezhetőség-elemző , a termékjegyzékét az NVD-vel és az EU sebezhetőségi adatbázisával (EUVD) veti össze.
• Erősítse meg, mi tartozik ténylegesen a hatály alá. A 72 órás szakasz a terméktípust és a III. vagy IV. melléklet szerinti kategóriát kéri, ezért rendezze az osztályozást, mielőtt szüksége lenne rá. Erre az osztályozási eszköz ad választ, és a megfelelőségi mátrix a bejelentést az I. melléklet tágabb sebezhetőség-kezelési kötelezettségeihez köti, amelyen belül elhelyezkedik.
• Döntse el, ki olvassa a riasztások fület munkaidőn kívül. A kijelölt CSIRT érvényteleníthet egy benyújtást, és az erről szóló riasztás a platformon jelenik meg, nem csak a postafiókjában. Mindkét képviselői hely mögé állítson egy felügyelt postafiókot.
• Ne hagyatkozzon a platform visszaszámlálójára. A tudomásszerzés időbélyegét maga rögzítse. A képernyőn megjelenő 72 órás számláló a 24 órás jelentés benyújtásától fut, nem a tudomásszerzéstől, ezért késedelmesnek jelölhet egy bejelentést azelőtt, hogy a jogszabályi határidő letelt volna.
• Read the AR User Manual, and watch the tutorial video. ENISA published the manual at launch and added the AR User Tutorial Video within days, so between the two, plus the guidance pages, you have the fullest available description of the live platform.
• Ellenőrizze, hogy a helyes koordinátort választotta-e, mielőtt benyújtja. Az ENISA most arra figyelmeztet, hogy a rossz, koordinátorként kijelölt CSIRT kiválasztása a bejelentés érvénytelenítéséhez vezethet, és így Önnek kell azt újra benyújtania a helyeshez, miközben az óra tovább ketyeg.

08Kövesse a forrásnál

Ez az oldal a 2026. szeptember 11-i, a platform megnyitásának napján fennálló helyzetet tükrözi. A helyzet tovább mozog, és az ENISA csendben szerkeszti oldalait, ahelyett hogy minden változást bejelentene. Az indulás előtti héten a GYIK-et 2026. szeptember 4-én újraírták és 2026. szeptember 10-én ismét frissítették, a koordinátorok listája 2026. szeptember 4-én jelent meg és 2026. szeptember 10-én új keltezést kapott, a szószedet 2026. szeptember 5-én érte el az 1.1-es és 2026. szeptember 10-én az 1.3-as verziót, a különösen kivételes körülményekről szóló útmutató 2026. szeptember 9-én érkezett, az AR User Manualt és a platform általános szerződési feltételeit pedig 2026. szeptember 10-én tették közzé. Az indulás óta a GYIK-et ismét frissítették 2026. szeptember 12-én (az AR-felhasználói oktatóvideó élesedett, és az SRP-tájékoztató további kilenc nyelven jelent meg), majd 2026. szeptember 17-én, amikor a 9. kérdést „[FRISSÍTVE]” jelöléssel látták el annak dokumentálására, hogy a másodlagos AR igényelheti az elsődleges AR szerepkört, a CDaC felülvizsgálatától függően. Támogatási kérdésekhez az ENISA egy ügyfélszolgálati címet tesz közzé a központi oldalon: cra-srp-helpdesk [at] enisa.europa.eu. Ezek az elsődleges források; minden fenti a mi olvasatunk róluk.

• ENISA · Maga az Egységes bejelentési platform (2026. szeptember 11-től üzemel); válassza az Assigned Representative szerepkört, és jelentkezzen be az EU Loginon keresztül többtényezős hitelesítéssel. A bejelentéseket itt nyújtják be.portal.cra-srp.enisa.europa.eu
• ENISA · Egységes bejelentési platform; a központi oldal, a tájékoztatóval, a felhasználói kézikönyvvel, az ügyfélszolgálati címmel és az összes útmutatóoldalra mutató hivatkozással.enisa.europa.eu/topics/product-security/single-reporting-platform-srp
• ENISA · SRP gyakran ismételt kérdések (frissítve 2026. szeptember 10-én); jogalap, határidők, útvonalak, a mezőtáblázat, a számlálólogika, a teendők kiesés esetén és a platform címe. 2026. szeptember 4-én újraírva, az indulás előtti napon kibővítve. Az ENISA SRP-oldalai közül a legfrissebb, és az, amelyet ellentmondás esetén előnyben kell részesíteni.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions
• ENISA · CRA SRP AR User Manual (2026. szeptember 10.); az indulás napján kiadott kézikönyv az Assigned Representatives számára, és a platform legteljesebb egyetlen leírása arról, ahogyan valóban megnyílt.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-ar-user-manual
• ENISA · A koordinátorként kijelölt CSIRT-ek listája (közzétéve 2026. szeptember 4-én, frissítve 2026. szeptember 10-én); kapcsolattartási pontok mind a 27 tagállamhoz. A saját sorát a 04. szakaszban ismertetett, a 14. cikk (7) bekezdése szerinti teszttel azonosítsa.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/list-of-csirts-designated-as-coordinators
• ENISA · CRA SRP-szószedet (1.3-as verzió, 2026. szeptember 10.); mezőnkénti útmutató arról, hogy az egyes bejelentési mezők mit jelentenek, hogyan kell kitölteni őket, milyen formátum várható, mekkora a karakterkorlátjuk és melyik szakaszban alkalmazandók. Figyeljen a címre: az ENISA a szószedetet egy glossary2 URL-re helyezte át, a régebbire pedig egyes saját oldalai továbbra is hivatkoznak, ezért ellenőrizze a felül szereplő verziósort, mielőtt egy másolatra hagyatkozik.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-glossary2
• ENISA · SRP felhasználói regisztrációs útmutató; a lépésről lépésre haladó regisztrációs folyamat elsődleges és tartalék felhasználók számára, felületi képernyőképekkel.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-user-registration
• ENISA · SRP bejelentésbenyújtási útmutató; hogyan nyújtják be és frissítik a korai figyelmeztetést, a 72 órás bejelentést és a zárójelentést, és mit vált ki az egyes állapotok.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-notification-submission-and-update
• ENISA · SRP felületi funkciók útmutató (2026. szeptember 9.); beállítások, gyártói hozzárendelések, az irányítópult és a riasztások fül. Magán az indulás napján kapott új keltezést, és most már egyetért a GYIK-kel abban, hogy egy nem hitelesített hozzárendelés legfeljebb 20 bejelentést nyújthat be.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-interface-functions
• ENISA · CRA SRP általános szerződési feltételek (1.0-s verzió, 2026. szeptember 10.); azok a feltételek, amelyeket a platformon való regisztrációkor elfogad, a megnyitása előtti napon közzétéve.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-single-reporting-platform-terms-and-conditions
• ENISA · SRP-útmutató a különösen kivételes körülményekről (2026. szeptember 9.); mikor alkalmazható a PEC, a 72 órás űrlap kapcsolója és késleltetési indokai, valamint hogy a koordináló CSIRT mit kezd az indokolással. Az ötödik útmutatóoldal, és az egyetlen, amely közvetlenül a PEC-cel foglalkozik.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-particular-exceptional-circumstances-pec
• Európai Bizottság · CRA bejelentési kötelezettségek; a szakpolitikai oldal, beleértve a CRA végrehajtásáról szóló GYIK-et, amelynek 5. szakasza a bejelentéssel foglalkozik. A Bizottság 2026. szeptember 11-én frissítette ezt az oldalt annak megerősítésére, hogy a platform már működik, a Bizottság külön GYIK dokumentumát pedig legutóbb 2026. szeptember 4-én frissítették.digital-strategy.ec.europa.eu/en/policies/cra-reporting
• Európai Bizottság · CRA alkalmazási útmutató (2026. július 27.); a 9.1. pont határozza meg a gyártók és a nyílt forráskódú szoftverek gondnokainak bejelentési kötelezettségeit. A mi útmutató-összefoglalónk fedi le a többit.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
• EU Login; hozza létre a fiókot, amelyet a platform használ, és kapcsolja be rajta a többtényezős hitelesítést. Tegye meg most.ecas.ec.europa.eu/cas/login

A kötelező erejű szöveghez: a 14–17. cikk határozza meg a bejelentési ökoszisztémát, a 16. cikk pedig létrehozza a platformot; olvassa el őket a mi rendeletolvasónkban. A mérföldkő-időpontokat a jelenlegi állás oldal követi nyomon.

09Gyakori kérdések