CRA incidentų ir pažeidžiamumų pranešimai

01Kas turi būti pranešta

14 straipsnyje Kibernetinio atsparumo aktas nustato dvi pranešimų teikimo pareigas skaitmeninių elementų turinčių produktų gamintojams. Jos siauresnės, nei atrodo iš pirmo žvilgsnio: įprastos klaidos ir eiliniai pataisymai į taikymo sritį nepatenka. Art. 14

• Aktyviai išnaudojami pažeidžiamumai; jūsų produkto pažeidžiamumas, dėl kurio yra patikimų įrodymų, kad kenkėjiškas subjektas jį išnaudojo sistemoje be savininko leidimo. Pažeidžiamumas, kurį aptinkate ir ištaisote anksčiau, nei jis išnaudojamas, tvarkomas įprasta jūsų pažeidžiamumų tvarkymo procesas, o ne šiuo pranešimų kanalu.
• Sunkūs incidentai; incidentas, kuris neigiamai veikia arba gali neigiamai paveikti produkto gebėjimą apsaugoti duomenų ar funkcijų prieinamumą, autentiškumą, vientisumą ar konfidencialumą. Sunkumo kriterijai nustatyti 14 straipsnio 5 dalyje.

Šios pareigos taikomos ne tik komerciniams gamintojams. Atvirojo kodo programinės įrangos prižiūrėtojai turi savo pranešimų teikimo pareigas tiek, kiek jie susiję su skaitmeninių elementų turinčiais produktais. Art. 24(3)

02Trys terminai

Kiekvienas pranešimas teikiamas trimis etapais, skaičiuojant nuo momento, kai sužinote apie išnaudotą pažeidžiamumą ar sunkų incidentą. Terminai trumpi, todėl pasirengimas yra svarbus. Art. 14(2)–(4)

• Per 24 val.Išankstinis įspėjimas. Pirmasis pranešimas apie tai, kad įvyko aktyviai išnaudojamo pažeidžiamumo atvejis ar sunkus incidentas, įskaitant, incidentų atveju, nurodymą, ar įtariama, kad jį sukėlė neteisėti ar kenkėjiški veiksmai.
• Per 72 val.Pažeidžiamumo / incidento pranešimas. Išsamesnis aprašymas: bendro pobūdžio informacija apie pažeidžiamumą ir jo išnaudojimą, pirminis vertinimas ir taisomosios ar rizikos mažinimo priemonės, kurių imtasi, taip pat priemonės, kurių gali imtis naudotojai.
• Galutinė ataskaitaGalutinė ataskaita. Jei tai pažeidžiamumas, ne vėliau kaip per 14 dienų nuo tada, kai tampa prieinama taisomoji ar rizikos mažinimo priemonė. Jei tai sunkus incidentas, per vieną mėnesį nuo 72 valandų pranešimo. Joje išdėstomas išsamus aprašymas, sunkumas, poveikis ir pritaikytos taisomosios priemonės.

Atkreipkite dėmesį į asimetriją paskutinėje eilutėje: pažeidžiamumo laikrodį paleidžia atsiradęs pataisymas, o incidento laikrodį, ankstesnis pranešimas. Tai skirtingi mechanizmai, todėl juos verta atskirai aprašyti savo veiksmų vadove.

03Kada tai prasideda

Pranešimų teikimo prievolės yra ankstyviausia pagrindinė CRA dalis, įsigaliojanti. Nors dauguma nuostatų taikomos nuo 2027 m. gruodžio 11 d., 14 straipsnis taikomas nuo 2026 m. rugsėjo 11 d.; praėjus 21 mėnesiui nuo Akto įsigaliojimo. ENISA tą pačią dieną atvėrė vieną pranešimų pateikimo platformą. Art. 71

04Kam teikiate pranešimus

Pranešimai teikiami ENISA ir koordinatoriumi paskirtas CSIRT, naudodamiesi vienu įėjimo tašku, o ne teikdami atskirus pranešimus kiekvienai nacionalinei institucijai. Tas įėjimo taškas yra Viena pranešimų pateikimo platforma, kurią ENISA sukuria, valdo ir prižiūri pagal 16 straipsnį. Art. 14 · 16

Kuris CSIRT yra jūsų, priklauso nuo jūsų pagrindinės buveinės Sąjungoje arba, jei nesate įsisteigę ES, nuo jūsų įgaliotojo atstovo. Gaunantysis CSIRT perduoda pranešimą CSIRT tose valstybėse narėse, kuriose produktas yra prieinamas, ir prireikus rinkos priežiūros institucijoms. Art. 14(7) · 18

Koordinatorių sąrašas paskelbtas 2026 m. rugsėjo 4 d.

Tik 2026 m. rugsėjo 4 d. buvo paskelbtas atsakymas į praktiškiausią šio puslapio klausimą: kuri nacionalinė komanda iš tikrųjų gauna jūsų pateiktą pranešimą. ENISA dabar paskelbė koordinatoriais paskirtų CSIRT sąrašą , kuriame nurodytas vienas ar keli kontaktiniai URL adresai kiekvienai iš 27 valstybių narių, ir 2026 m. rugsėjo 10 d. jį iš naujo pažymėjo, todėl dar kartą patikrinkite savo eilutę, prieš pasikliaudami anksčiau paimta kopija. Airija nurodo atskirą NCSC puslapį, skirtą CRA; Ispanija nurodo du atskirus INCIBE kelius, vieną incidentams ir kitą pažeidžiamumų koordinavimui.

Sąrašas nurodo, kas yra kiekvienos valstybės narės koordinatorius. Jis nenurodo, kuris yra jūsų, o 14 straipsnio 7 dalies kriterijus yra siauresnis, nei mano dauguma organizacijų. Tai priklauso nuo jūsų pagrindinės buveinės : tai valstybė narė, kurioje sprendimai dėl jūsų skaitmeninių elementų turinčių produktų kibernetinio saugumo daugiausia priimami, o tai gali būti kūrimo vieta, o ne registruota buveinė ar didžiausia komercinė veikla. Jei to nustatyti neįmanoma, taikoma valstybė narė, kurioje dirba daugiausia jūsų darbuotojų ES. Jei ES buveinės apskritai nėra, eiliškumas toks: valstybė narė, kurioje jūsų įgaliotasis atstovas veikia daugiausiai produktų atžvilgiu, tada importuotojas, pateikiantis rinkai daugiausia produktų, tada platintojas, tiekiantis daugiausia produktų, tada valstybė narė, turinti daugiausia naudotojų. Kadangi tai nustato gavėją visiems būsimiems pranešimams, išspręskite tai iš anksto, pasitelkę teisininkus, ir užrašykite argumentus.

Pagalba teikiama iš abiejų pusių. ENISA valdo pagalbos tarnybą, ypatingą dėmesį skirdama MVĮ, o koordinatoriais paskirti CSIRT taip pat privalo teikti pagalbos tarnybos paramą dėl 14 straipsnio pareigų. ENISA taip pat perduoda ištaisytus pažeidžiamumus į Europos pažeidžiamumų duomenų bazę, taip pat kas dvejus metus skelbia techninių tendencijų ataskaitą; pirmoji turi būti parengta per 24 mėnesius nuo pranešimų teikimo pareigų taikymo pradžios. Art. 17(6)

Pranešto pažeidžiamumo sklaidą gali sustabdyti CSIRT, bet ne jūs

Gaunantysis CSIRT gali atidėti arba sustabdyti tolesnę sklaidą dėl pagrįstų kibernetinio saugumo priežasčių griežtai būtiną laikotarpį; pavyzdžiui, kai pažeidžiamumui taikoma koordinuoto atskleidimo procedūra. Komisija sąlygas nustatė teisės akte Deleguotasis reglamentas (ES) 2026/881, priimtame 2025 m. gruodžio 11 d.Jei CSIRT sulaiko pranešimą, jis privalo nedelsdamas apie tai informuoti ENISA, nurodydamas pagrindimą ir tai, kada pranešimą paskleis.

Atskirai, esant ypač išimtinėms aplinkybėms, savo 72 valandų pranešime galite pažymėti vieną iš siaurai apibrėžtų sąlygų, nurodytų 16 straipsnio 2 dalyje : kad išnaudojimas apsiriboja jūsų CSIRT valstybe nare, kad tolesnė sklaida prieštarautų esminiams tos valstybės narės interesams arba kad sklaida keltų neišvengiamą didelę kibernetinio saugumo riziką. Jei taip padarysite, ENISA gaus tik ribotą informaciją (kad pranešimas buvo pateiktas, bendrą informaciją apie produktą, bendro pobūdžio informaciją apie išnaudojimą ir tai, kad buvo nurodytos saugumo priežastys), kol CSIRT atskleis visą pranešimą.

05Registracija platformoje

ENISA registracijos gairės, iš naujo pažymėtos 2026 m. rugsėjo 10 d., ir sąsajos gairės, iš naujo pažymėtos 2026 m. rugsėjo 9 d., rodo tikruosius ekranus. Registracija atverta kartu su platforma 2026 m. rugsėjo 11 d., tad dabar tai procesas, kurį galima realiai pereiti, o ne tik apie jį skaityti. Vis dėlto ENISA prašo neregistruoti iš anksto dėl toliau išdėstytos priežasties, o tai daro išankstinį proceso pažinimą veikiau naudingesnį nei mažiau naudingą: pirmą kartą jį einant gali visai lengvai tiksėti 24 valandų laikrodis.

Paskirkite du žmones anksčiau, nei jų prireiks

Platforma kiekvienam gamintojui suteikia dvi naudotojo paskyrų rūšis, ir jau šiandien galite nuspręsti, kas jas užims. Pagrindinis atstovas registruojasi pirmas ir sukuria gamintojo įrašą platformoje. Tada šis asmuo išsiunčia kvietimą, kurį gauna antrinis atstovas, kuris atlieka atsarginį vaidmenį to paties gamintojo atžvilgiu ir gali teikti pranešimus jo vardu. Abu yra įvardyti jūsų įmonės darbuotojai. Kadangi pranešimai teikiami rankiniu būdu, vienintelis paskirtas pranešėjas, kuris atostogauja, miega arba jau išėjo iš darbo, yra reali veiklos rizika, todėl antrąją vietą laikykite būtina, o ne pasirenkama.

EU Login yra prisijungimo priemonė, ir abu asmenys gali ją susikurti jau šiandien

Platformos paskyros autentifikuojamos naudojant EU Login, Europos Komisijos bendrą prisijungimo paslaugą, naudojamą visose jos internetinėse sistemose. Susikurkite po vieną paskyrą pagrindiniam ir antriniam atstovui adresu ecas.ec.europa.eu, naudodami darbo el. pašto adresus, kurie galios ir po metų. Kelių veiksnių tapatybės nustatymas yra privalomas: ENISA reikalauja MFA EU Login paskyroje prieš pirmąjį prisijungimą prie platformos, tad jei jūsų žmonės jau turi paprastas EU Login paskyras, tegul įjungia MFA dabar, o ne incidento metu. EU Login paskyros yra asmeninės, ir ENISA virš jų neadministruoja atskiro įmonių tapatybės nustatymo. Komisija paaiškina, kas yra EU Login ir kaip jis dera su platesne tapatybės sistema, savo patikimos skaitmeninės tapatybės puslapiuose.

Registracijos eiga

Pirmą kartą prisijungę prie platformos pasirenkate savo vaidmenį, iš išskleidžiamojo sąrašo pasirenkate savo paskirtąjį CSIRT , autentifikuojatės per EU Login, perskaitote ir priimate teisinį susitarimą, patvirtinate iš anksto užpildytus asmens duomenis (vardą, pavardę, el. paštą, juridinį pavadinimą), tada įvedate gamintojo pavadinimą, adresą ir papildomą informaciją. Neužpildžius privalomo gamintojo lauko, eiga sustabdoma. Užbaigus registraciją jūsų paskyros būsena yra "Active", o jums suteikiamas "AR Primary User" vaidmuo, gaunate patvirtinimo el. laišką, o platformoje sukuriamas gamintojo subjektas.

The antrinis atstovas prisijungia gavęs el. pašto kvietimą iš pagrindinio atstovo, patvirtina iš anksto užpildytus asmens ir gamintojo duomenis ir registruojamas "AR Backup User" vaidmeniu prie to paties gamintojo. Tas kvietimas nustoja galioti po 7 dienų, po to įrašas pažymimas "Invitation Expired" ir turi būti išsiųstas naujas. Atsarginį naudotoją nustatykite tuo pačiu metu kaip ir pagrindinį; incidento metu aptiktas nebegaliojantis kvietimas yra išvengiama problema.

CSIRT jūsų atstovą tikrina rankiniu būdu, tačiau tai netrukdo jums teikti pranešimų

Kažkas turi patvirtinti, kad konkretus asmuo tikrai gali teikti pranešimus konkretaus gamintojo vardu, ir šis patikrinimas tenka koordinatoriumi paskirtam CSIRT, kurį ENISA dabar trumpina CDaC. Tai rankinis veiksmas, procedūra skiriasi tarp CSIRT, ir kiekvienas CSIRT taiko savo požiūrį. Svarbiausia, kad tai vyksta po pirmojo jūsų prisijungimo prie platformos ir vyksta lygiagrečiai su jūsų pranešimu. Savo atnaujinime 2026 m. rugpjūčio 3 d. ENISA tai patvirtino galutinai: CDaC atliekamas patvirtinimas nėra CRA pranešimo prievolės vykdymo išankstinė sąlyga, ir tai neturi įtakos jūsų galimybei teikti pranešimus. Nepatvirtinta paskyra vis tiek gali pateikti pranešimą per 24 valandų langą.

Todėl ENISA ir pataria registruotis bei pradėti patvirtinimo procedūrą tik tada, kai iš tikrųjų reikia teikti pranešimą, o ne registruoti iš anksto visą rinką ir užversti CSIRT spėjamais patikrinimais. Iš anksto atliekamas pasirengimas yra EU Login paskyros ir sprendimas, kas užims tas dvi vietas, o ne pati registracija platformoje.

Viena paskyra gali apimti kelis gamintojus

Tos pačios gairės nustato abiejų vietų tvarkymo taisykles. Pagrindinis atstovas pakviečia atsarginį pagal el. pašto adresą, taip sukuriamas įrašas, pažymėtas "Pending Invitation" be vaidmens, kol jis priimamas. Antrinis atstovas gali prašyti tapti pagrindiniu; tai svarsto CDaC. ENISA tai įtvirtino 2026 m. rugsėjo 17 d., pažymėdama DUK 9 klausimą kaip „[ATNAUJINTA]“ ir nurodydama, kad antrinis AR „neturi tokių pačių administracinių teisių kaip pagrindinis AR, tačiau gali pretenduoti į pagrindinio AR vaidmenį, jei tai peržiūri ir patvirtina paskirtasis CSIRT“. Bet kuris iš jų gali panaikinti susiejimą, kuris tada pažymimas "Deleted". Ir viena paskyra gali turėti susiejimų su keliais gamintojais, kiekvienas pridedamas skiltyje Association Management ir kiekvienas patvirtinamas atskirai.

Šis paskutinis punktas svarbus grupėms, turinčioms kelis gamybos subjektus, ir įmonėms, veikiančioms pagal 18 straipsnį už ES ribų įsisteigusių gamintojų vardu. Būtent čia toliau aprašyti pavadinimų spąstai kandžioja skaudžiausiai.

06Pranešimo pateikimas

Pranešimai teikiami iš valdymo skydelio. Sukuriate pranešimą, o paskui kiekviename etape papildote tą patį įrašą, užuot teikę tris atskirus dalykus. Kiekvienas etapas turi savo kortelę, ir kiekvieną pirmiausia galima išsaugoti kaip juodraštį. Valdymo skydelyje galima ieškoti pagal pranešimo ID, gamintoją ar pavadinimą, rikiuoti pagal pavadinimą ar paskutinį atnaujinimą ir filtruoti pagal valstybę narę, pateikimo tipą arba Action Required žymą.

• Išankstinis įspėjimasPradėkite naują pranešimą valdymo skydelyje, užpildykite privalomus laukus ir pasirinkite esamą gamintoją arba pridėkite naują. Pateiktas pranešimas tampa prieinamas jūsų paskirtajam CSIRT ir automatiškai ENISA. El. pašto ir įspėjimų patvirtinimai siunčiami CSIRT, ENISA ir kiekvienam tam gamintojui užregistruotam atstovui, o ne tik pranešimą pateikusiam asmeniui.
• 72 valandųGalima tik tada, kai jau pateiktas išankstinis įspėjimas. Atverkite tą patį pranešimą ir užpildykite 72 valandų kortelę. ENISA jį gauna automatiškai, nebent remiatės 16 straipsnio 2 dalies sąlygomis; tokiu atveju įrašas pažymimas "72h Submitted under PEC", o ENISA matomas vaizdas ribojamas, kol CSIRT jį atskleidžia.
• Galutinė ataskaitaGalima tik tada, kai yra abu ankstesni etapai. ENISA jį gauna automatiškai, nebent buvo remtasi 16 straipsnio 2 dalies sąlygomis.

Kas privaloma ir kada

ENISA paskelbė, kurie laukai privalomi kiekviename etape. Ši lentelė naudingai pataiso paplitusią prielaidą: 24 valandų išankstinis įspėjimas yra signalas, o ne tyrimas.

• Per 24 valandas; pranešimo tipas ir lygis, gamintojo ar prižiūrėtojo pavadinimas, produktas ir pavadinimas. Incidentų atveju, ar įtariami neteisėti arba kenkėjiški veiksmai. Valstybės narės, kuriose produktas yra prieinamas, nurodomos tik tuo atveju, jei šią informaciją jau turite.
• Per 72 valandas; bendro pobūdžio informacija apie pažeidžiamumą ir jo išnaudojimą, taisomosios ar rizikos mažinimo priemonės, kurių imtasi, ir priemonės, kurių gali imtis naudotojai. Incidentų atveju, kada jis buvo aptiktas ir kada įvyko, taip pat pirminis vertinimas. Jautrumas pažymimas čia.
• Galutinėje ataskaitoje; išsamus aprašymas, sunkumas ir poveikis, data, kada tapo prieinama taisomoji priemonė, ir saugumo atnaujinimo detalės. Incidentų atveju, tikėtina pagrindinė priežastis ir tebetaikomos rizikos mažinimo priemonės.

Neprivalomi laukai, kuriuos vis dėlto verta užpildyti, yra CVE ID ir EUVD ID, abu prieinami nuo pirmojo etapo.

Kiekvienas laukas turi simbolių ribą, o vienas iš jų yra labai trumpas

ENISA SRP žodynas, kuriame laukų dydžiai pirmą kartą nurodyti 2026 m. rugsėjo 5 d. 1.1 versijoje, o dabar esantis 2026 m. rugsėjo 10 d. 1.3 versijos, yra ENISA dokumentas, kuriame paskelbtas kiekvieno langelio dydis. Rašykite savo vidinius šablonus pagal šias ribas, o ne atraskite jas antrą valandą nakties:

• 4000 simbolių aprašomiesiems laukams: santraukai, bendrai informacijai apie pažeidžiamumą ar incidentą, taisomosioms priemonėms, kurių gali imtis naudotojai, išsamiems sunkumo ir poveikio aprašymams, pirminiam vertinimui, o incidentų atveju taikytoms ir tebetaikomoms rizikos mažinimo priemonėms.
• 2000 simbolių taisomosioms ar rizikos mažinimo priemonėms, kurių jau ėmėtės, ir galutinėje ataskaitoje pateikiamai saugumo atnaujinimo ar taisomosios priemonės informacijai.
• 800 simbolių laisvos formos pagrindimui, pridedamam prie PEC prašymo 72 valandų pranešime apie pažeidžiamumą.
• 255 simboliai pavadinimui, produkto pavadinimui, produkto versijų intervalui, komponento pavadinimui, atakos vektoriui, jautrumo pagrindimui ir tikėtinai pagrindinei priežasčiai.
• 100 simbolių kenkėjiškam subjektui, kuris išnaudojo pažeidžiamumą. Tai maždaug viena eilutė, todėl numatykite subjektą įvardyti arba nurodyti indikatoriaus nuorodą, o ne aprašinėti kampaniją.

Žodynas patvirtina ir vieną nedidelį patogumą: laukas Valstybės narės, kuriose produktas prieinamas atkeliauja iš anksto užpildytas jūsų pačių koordinuojančiu CSIRT, o kitas rinkas įrašote patys.

Redagavimas ir taškas, nuo kurio kelio atgal nėra

Pateiktą pranešimą galima atnaujinti, o platforma automatiškai išsiunčia įspėjimą ir el. laišką jūsų CSIRT, taip pat ENISA ir visiems CSIRT, kurie jį jau gavo per sklaidą. Taikomi du apribojimai: uždaryto pranešimo atnaujinti negalima, o įrašas tampa neredaguojamas, kai pateikiama galutinė ataskaita.

Stebėkite įspėjimų kortelę, taip pat ir savaitgalį

Kiekviena paskyra turi Alerts kortelę su spalvų kodais: neperskaityti įspėjimai yra šviesiai mėlyni ir atidarius tampa pilki, o raudoni įspėjimai atsiranda tik tada, kai įvyko kas nors išskirtinio. ENISA pateikia pavyzdį apie paskirtąjį CSIRT, kuris pripažino pateiktą pranešimą negaliojančiu. Taigi pateikimas nėra bendravimo pabaiga, ir joks 14 straipsnyje nustatytas terminas nepasikeičia dėl to, kad pranešimas grįžo pas jus. Tas, kas stebi šią kortelę, turi ją stebėti ir ne darbo valandomis, o tai dar vienas argumentas už stebimą komandos pašto dėžutę už abiejų vietų, o ne dvi asmenines dėžutes.

Platformos 72 valandų skaitiklis skaičiuoja ne nuo sužinojimo

DUK atskleidžia, kaip iš tikrųjų veikia ekrane rodomi laikmačiai, ir jie neatitinka teisinio termino. ENISA DUK atnaujino 2026 m. rugsėjo 10 d., dieną prieš atvėrimą, ir šį atsakymą paliko nepakeistą, tad čia aprašytas elgesys ir yra tas, kuris pradėjo veikti. Dabartinėje laidoje 72 valandų skaitiklis rodo terminą, kuris yra 48 valandos po 24 valandų pranešimo pateikimo, o ne 72 valandos nuo tada, kai sužinojote. ENISA aiškiai nurodo, kad pranešimas todėl gali atrodyti pavėluotas dar nepraėjus 72 valandoms nuo sužinojimo, ir kad vėlesnėje laidoje logika bus pakeista, kad būtų skaičiuojama nuo lauko "date and time when you became aware" tiek pažeidžiamumų, tiek incidentų atveju.

Galutinės ataskaitos skaitikliai vėl skiriasi. Jei tai sunkus incidentas , skaitiklis rodo vieną mėnesį po 72 valandų pranešimo. Jei tai aktyviai išnaudojamas pažeidžiamumas , nėra jokio skaitiklio, nes terminas priklauso nuo to, kada tampa prieinama taisomoji priemonė, o to platforma žinoti negali.

Paleidimo metu platforma neužfiksuoja, kada sužinojote

2026 m. rugsėjo 5 d. ENISA savo kiekvieno lauko SRP žodyną atnaujino į 1.1 versiją, ir dvi jame esančios išnašos svarbesnės už bet ką kita šiame puslapyje. Aktyviai išnaudojamo pažeidžiamumo atveju laukas Date/time when you become aware pažymėtas pastaba, kad jis bus prieinamas kitoje platformos laidoje. Sunkaus incidento atveju pastaboje nurodyta, kad dabartinėje laidoje lygiavertis laukas vadinasi Date/time the incident was detected.

Sugretinus tai su pirmiau aprašyta skaitiklių logika, ratas užsidaro. DUK teigė, kad 72 valandų skaitiklis bus pataisytas, kai atsiras sužinojimo laukas; žodynas teigė, kad laukas atsiras vėlesnėje laidoje. Iki atvėrimo nepajudėjo nei viena, nei kita: ENISA žodyną dar kartą peržiūrėjo į 1.3 versiją 2026 m. rugsėjo 10 d. ir abi išnašas paliko nepakeistas. Taigi nuo pirmosios dienos platforma pažeidžiamumams išvis neužfiksuoja sužinojimo laiko žymos, o incidentams fiksuoja aptikimo momentą, kuris nėra sužinojimo momentas.

07Ką galite padaryti šiandien

Įsitekti į 24 valandų langą yra veiklos, o ne popierizmo problema. Dabar, kai platforma atverta, toliau pateiktas sąrašas nebėra pasirengimas būsimam įvykiui; pareiga jau galioja, ir visa, kas čia nepadaryta, yra pažeidžiamumas, o ne planas.

• Susikurkite EU Login paskyras su įjungtu MFA. Pagrindiniam pranešėjui ir bent vienam atsarginiam. Tai užtrunka kelias minutes adresu ecas.ec.europa.eu, o platforma neįleis nieko be kelių veiksnių tapatybės nustatymo, tad jo įjungimas yra užduoties dalis, o ne jos patobulinimas.
• Nustatykite savo paskirtąjį CSIRT. ENISA paskelbė koordinatorių sąrašą dėl visų 27 valstybių narių 2026 m. rugsėjo 4 d., tad dabar šią užduotį galite užbaigti. Pritaikykite 14 straipsnio 7 dalies pagrindinės buveinės kriterijų, pasirinkite savo eilutę ir užrašykite argumentus.
• Parenkite 24 valandų formą viduje. Trumpas šablonas, atitinkantis privalomus ENISA išankstinio įspėjimo laukus, kad pirmasis tikras pranešimas būtų perrašymas, o ne rašymas nuo nulio. Laikykite jį ten, kur gali atidaryti abu atstovai, nes platformos juodraščiai matomi tik juos sukūrusiam asmeniui.
• Įvardykite žmones, taip pat ir ne darbo valandoms. Nuspręskite, kas įvertina, kad pranešimą reikia teikti, kas jį rengia ir kas pateikia. Kadangi API nėra, paskutinį žingsnį atlieka įvardytas žmogus prie klaviatūros.
• Turėkite tikslų SBOM. Negalite pranešti apie komponentą, apie kurio pateikimą nežinojote. Tvarkykite programinės įrangos medžiagų sąrašą ir nuolat jį atnaujinkite keičiantis laidoms.
• Nuolat jį stebėkite. Palyginkite savo komponentus su žinomų pažeidžiamumų šaltiniais, kad aktyviai išnaudojamas trūkumas išryškėtų per valandas, o ne per savaites. Mūsų SBOM ir pažeidžiamumų analizatorius lygina jūsų medžiagų sąrašą su NVD ir ES pažeidžiamumų duomenų baze (EUVD).
• Patvirtinkite, kas iš tikrųjų patenka į taikymo sritį. 72 valandų etape prašoma nurodyti produkto tipą ir III arba IV priedo kategoriją, todėl klasifikaciją nustatykite anksčiau, nei jos prireiks. Mūsų klasifikavimo įrankis į tai atsako, o atitikties matrica susieja pranešimų teikimą su platesne I priedo pažeidžiamumų tvarkymo prievolių sistema, kuriai jis priklauso.
• Nuspręskite, kas ne darbo valandomis skaito įspėjimų kortelę. Paskirtasis CSIRT gali pripažinti pateiktą pranešimą negaliojančiu, o apie tai pranešantis įspėjimas atsiranda platformoje, o ne vien jūsų pašto dėžutėje. Už abiejų atstovų vietų numatykite stebimą pašto dėžutę.
• Nepasikliaukite platformos atskaita. Patys užfiksuokite sužinojimo laiko žymą. Ekrane rodomas 72 valandų skaitiklis pradedamas skaičiuoti nuo 24 valandų pranešimo pateikimo, o ne nuo sužinojimo, todėl jis gali pažymėti pranešimą kaip pavėluotą dar nepasibaigus teisiniam terminui.
• Read the AR User Manual, and watch the tutorial video. ENISA published the manual at launch and added the AR User Tutorial Video within days, so between the two, plus the guidance pages, you have the fullest available description of the live platform.
• Prieš teikdami patikrinkite, ar pasirinkote tinkamą koordinatorių. ENISA dabar įspėja, kad pasirinkus netinkamą koordinatoriumi paskirtą CSIRT pranešimas gali būti pripažintas negaliojančiu, ir jums teks pateikti jį iš naujo tinkamam, o laikrodis vis tiek tiksės.

08Sekite pirminiuose šaltiniuose

Šis puslapis atspindi padėtį 2026 m. rugsėjo 11 d., dieną, kai platforma buvo atverta. Ji ir toliau keisis, o ENISA savo puslapius redaguoja tyliai, užuot skelbusi kiekvieną pakeitimą. Savaitę prieš paleidimą DUK buvo perrašyti 2026 m. rugsėjo 4 d. ir vėl atnaujinti 2026 m. rugsėjo 10 d., koordinatorių sąrašas pasirodė 2026 m. rugsėjo 4 d. ir buvo iš naujo pažymėtas 2026 m. rugsėjo 10 d., žodynas pasiekė 1.1 versiją 2026 m. rugsėjo 5 d. ir 1.3 versiją 2026 m. rugsėjo 10 d., gairės dėl ypač išskirtinių aplinkybių atkeliavo 2026 m. rugsėjo 9 d., o AR User Manual ir platformos taisyklės bei sąlygos buvo paskelbtos 2026 m. rugsėjo 10 d. Nuo paleidimo DUK vėl atnaujinti 2026 m. rugsėjo 12 d. (paskelbtas AR naudotojo mokomasis vaizdo įrašas, o SRP faktų lapas išleistas dar devyniomis kalbomis) ir 2026 m. rugsėjo 17 d., kai 9 klausimas pažymėtas kaip „[ATNAUJINTA]“, dokumentuojant, kad antrinis AR gali pretenduoti į pagrindinio AR vaidmenį, jei tai peržiūri CDaC. Pagalbos klausimais ENISA pagrindiniame puslapyje skelbia pagalbos tarnybos adresą, cra-srp-helpdesk [at] enisa.europa.eu. Tai pirminiai šaltiniai; visa, kas išdėstyta pirmiau, yra mūsų jų skaitymas.

• ENISA · Pati viena pranešimų pateikimo platforma (veikia nuo 2026 m. rugsėjo 11 d.); pasirinkite Assigned Representative vaidmenį ir prisijunkite per EU Login su kelių veiksnių tapatybės nustatymu. Būtent čia teikiami pranešimai.portal.cra-srp.enisa.europa.eu
• ENISA · Viena pranešimų pateikimo platforma; pagrindinis puslapis su faktų suvestine, naudotojo vadovu, pagalbos tarnybos adresu ir nuorodomis į kiekvieną gairių puslapį.enisa.europa.eu/topics/product-security/single-reporting-platform-srp
• ENISA · SRP dažnai užduodami klausimai (atnaujinta 2026 m. rugsėjo 10 d.); teisinis pagrindas, terminai, nukreipimas, laukų lentelė, skaitiklių logika, ką daryti sutrikus veikimui, ir platformos adresas. Perrašyta rugsėjo 4 d. ir papildyta dieną prieš paleidimą. Naujausias iš ENISA SRP puslapių ir tas, kuriam reikėtų teikti pirmenybę, kai jie prieštarauja vienas kitam.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions
• ENISA · CRA SRP AR User Manual (2026 m. rugsėjo 10 d.); paleidimo dienos vadovas Assigned Representatives ir išsamiausias vientisas platformos aprašymas tokios, kokia ji iš tikrųjų buvo atverta.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-ar-user-manual
• ENISA · Koordinatoriais paskirtų CSIRT sąrašas (paskelbtas 2026 m. rugsėjo 4 d., atnaujintas 2026 m. rugsėjo 10 d.); kontaktiniai punktai visoms 27 valstybėms narėms. Nustatykite savo eilutę taikydami 14 straipsnio 7 dalies kriterijų 04 skyriuje.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/list-of-csirts-designated-as-coordinators
• ENISA · CRA SRP žodynas (1.3 versija, 2026 m. rugsėjo 10 d.); gairės kiekvienam laukui: ką reiškia kiekvienas pranešimo laukas, kaip jį užpildyti, koks formatas laukiamas, kokia jo simbolių riba ir kuriame etape jis taikomas. Atkreipkite dėmesį į adresą: ENISA perkėlė žodyną į glossary2 adresą, o senasis vis dar nurodomas kai kuriuose jos pačios puslapiuose, todėl prieš pasikliaudami kopija patikrinkite versijos eilutę viršuje.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-glossary2
• ENISA · SRP naudotojų registracijos nurodymai; nuoseklus registracijos eigos aprašymas pagrindiniams ir atsarginiams naudotojams su sąsajos ekrano nuotraukomis.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-user-registration
• ENISA · SRP pranešimų pateikimo nurodymai; kaip pateikiami ir atnaujinami išankstinis įspėjimas, 72 valandų pranešimas ir galutinė ataskaita ir ką inicijuoja kiekviena būsena.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-notification-submission-and-update
• ENISA · SRP sąsajos funkcijų gairės (2026 m. rugsėjo 9 d.); nustatymai, susiejimai su gamintojais, suvestinė ir įspėjimų kortelė. Iš naujo pažymėtas pačią paleidimo dieną ir dabar sutampa su DUK, kad nepatvirtintas susiejimas gali pateikti iki 20 pranešimų.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-interface-functions
• ENISA · CRA SRP taisyklės ir sąlygos (1.0 versija, 2026 m. rugsėjo 10 d.); sąlygos, kurias priimate registruodamiesi platformoje, paskelbtos dieną prieš jos atvėrimą.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-single-reporting-platform-terms-and-conditions
• ENISA · SRP gairės dėl ypač išimtinių aplinkybių (2026 m. rugsėjo 9 d.); kada taikomas PEC, jungiklis ir atidėjimo priežastys 72 valandų formoje ir ką koordinuojantis CSIRT daro su pagrindimu. Penktasis gairių puslapis ir vienintelis, tiesiogiai skirtas PEC.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-particular-exceptional-circumstances-pec
• Europos Komisija · CRA pranešimų teikimo pareigos; politikos puslapis, įskaitant DUK dėl CRA įgyvendinimo, kurių 5 skirsnis skirtas pranešimų teikimui. Komisija atnaujino šį puslapį 2026 m. rugsėjo 11 d., patvirtindama, kad platforma jau veikia, o atskiras Komisijos DUK dokumentas paskutinį kartą buvo atnaujintas 2026 m. rugsėjo 4 d.digital-strategy.ec.europa.eu/en/policies/cra-reporting
• Europos Komisija · CRA taikymo gairės (2026 m. liepos 27 d.); 9.1 punkte išdėstytos gamintojų ir atvirojo kodo prižiūrėtojų pranešimų teikimo pareigos. Mūsų gairių santrauka apima visa kita.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
• EU Login; susikurkite paskyrą, kurią naudoja platforma, ir įjunkite joje kelių veiksnių tapatybės nustatymą. Padarykite tai dabar.ecas.ec.europa.eu/cas/login

Privalomąjį tekstą rasite 14–17 straipsniuose, kuriuose išdėstyta pranešimų teikimo sistema, o 16 straipsniu įsteigiama platforma; skaitykite juos mūsų reglamento skaityklėje. Svarbiausios datos stebimos padėties apžvalgos puslapyje.

09Dažni klausimai