01Kas jāziņo
14. pants Kiberstabilitātes akts rada divus ziņošanas pienākumus produktu ar digitāliem elementiem ražotājiem. Tie ir šaurāki, nekā sākotnēji šķiet: ikdienišķas kļūdas un parasti ielāpi tajos neietilpst. Art. 14
- Aktīvi izmantotās ievainojamības; ievainojamība jūsu produktā, par kuru ir ticami pierādījumi, ka ļaunprātīgs dalībnieks to ir izmantojis sistēmā bez īpašnieka atļaujas. Ievainojamība, ko atklājat un novēršat, pirms tā tiek izmantota, tiek risināta jūsu parastajā ievainojamību apstrādes process, nevis šis paziņošanas kanāls.
- Nopietni incidenti; incidents, kas negatīvi ietekmē vai var negatīvi ietekmēt produkta spēju aizsargāt datu vai funkciju pieejamību, autentiskumu, integritāti vai konfidencialitāti. Smaguma kritēriji ir noteikti 14. panta 5. punktā.
Šie pienākumi neattiecas tikai uz komerciāliem ražotājiem. Atvērtā pirmkoda programmatūras uzturētāji ir savi ziņošanas pienākumi tiktāl, ciktāl tie ir saistīti ar produktiem ar digitāliem elementiem. Art. 24(3)
Ja drošības vājuma vieta jūsu produktā tiek aktīvi izmantota vai drošības incidents to ir nopietni ietekmējis, 14. panta termiņš sākas. Viss pārējais paliek jūsu ikdienas ievainojamību apstrādes ietvaros.
Par ievainojamību, kuras aktīvo izmantošanu jūs jau zinājāt pirms ziņošanas pienākuma piemērošanas sākuma, t. i., 2026. gada 11. septembris, nav jāziņo. Pienākums iestājas brīdī, kad jūs uzziniet, tāpēc tas aptver to, ko uzzināt no minētās dienas, un neko agrāku.
Tieši šeit daudzi kļūdās, tāpēc ir vērts būt precīziem. 69. panta 2. punktā ir noteikts vispārējais pārejas noteikums: produktiem, kas laisti tirgū pirms 2027. gada 11. decembra Regula ir piemērojama tikai tad, ja tie kopš minētās dienas ir būtiski pārveidoti . Lasot atsevišķi, tas liek domāt, ka jūsu esošais klāsts paliek neskarts.
69. panta 3. punktā 14. pants no tā tiek uzreiz izņemts. Ar skaidru atkāpi ziņošanas pienākumi attiecas uz visiem produktiem ar digitāliem elementiem, kas ietilpst Regulas darbības jomā un ir laisti tirgū pirms 2027. gada 11. decembra, neatkarīgi no tā, vai tie jebkad tiek pārveidoti.
Tātad abi noteikumi darbojas dažādās plaknēs. Produktam, ko pārdevāt 2025. gadā, saskaņā ar CRA, iespējams, nekad nebūs vajadzīgs CE marķējums, taču, ja tā ievainojamība tiek aktīvi izmantota un jūs par to uzzināt 2026. gada 11. septembrī vai vēlāk, par to ir jāziņo. Jūsu jau uzstādīto produktu bāze ietilpst ziņošanas darbības jomā pat tad, ja uz to neattiecas produktu prasības. Komisija nonāk pie tāda paša secinājuma savu BUJ par CRA īstenošanu 5.3. sadaļā. Art. 69(2)–(3)
02Trīs termiņi
Katrs ziņojums tiek sagatavots trīs posmos, skaitot no brīža, kad jūs uzziniet par izmantoto ievainojamību vai nopietno incidentu. Termiņi ir īsi, tāpēc gatavība ir svarīga. Art. 14(2)–(4)
- 24 stundu laikāAgrīns brīdinājums. Pirmais paziņojums par to, ka ir notikusi ievainojamības aktīva izmantošana vai nopietns incidents, tostarp incidentu gadījumā norāde, vai ir aizdomas, ka to izraisījušas nelikumīgas vai ļaunprātīgas darbības.
- 72 stundu laikāIevainojamības / incidenta paziņojums. Pilnīgāks izklāsts: ievainojamības un tās izmantošanas vispārīgais raksturs, sākotnējais novērtējums, kā arī veiktie koriģējošie vai riska mazināšanas pasākumi un pasākumi, ko var veikt lietotāji.
- Galīgais ziņojumsGalīgais ziņojums. Ja tā ir ievainojamība, ne vēlāk kā 14 dienas pēc tam, kad kļūst pieejams koriģējošs vai riska mazināšanas pasākums. Ja tas ir nopietns incidents, tad viena mēneša laikā pēc 72 stundu paziņojuma. Tajā izklāsta pilnu aprakstu, smagumu, ietekmi un veiktos koriģējošos pasākumus.
Ievērojiet asimetriju pēdējā rindā: ievainojamības pulksteni iedarbina labojuma esamība, bet incidenta pulksteni, iepriekšējais paziņojums. Tie ir atšķirīgi mehānismi, un tos ir vērts atsevišķi ierakstīt savā rīcības rokasgrāmatā.
03Kad tas sākas
Ziņošanas pienākumi ir pirmā nozīmīgā CRA daļa, kas stājas spēkā. Lai gan lielākā daļa noteikumu piemērojami no 2027. gada 11. decembra, 14. pants piemērojams no 2026. gada 11. septembris; 21 mēnesi pēc akta stāšanās spēkā. ENISA ir paredzējusi, ka tajā pašā dienā vienotajai ziņošanas platformai jāsāk darboties. Art. 71
Platforma vēl nedarbojas un tās publiskais URL vēl nav publicēts. ENISA norāda, ka tas tiks paziņots tās vienotās ziņošanas platformas lapā pirms darbības sākuma. Lietotāju un drošības testēšana ir veikta, tajā piedaloties dažādiem CSIRT tīkla CSIRT.
ENISA pārrakstīja gandrīz visu SRP BUJ 2026. gada 4. septembrī un publicēja sen gaidīto par koordinatoriem izraudzīto CSIRT sarakstu, kas aptver visas 27 dalībvalstis. Šis saraksts ir saistīts turpmāk 08. sadaļā. Līdzās BUJ ENISA tagad publicē faktu lapu, pa laukiem sagatavotu SRP glosāriju, kas 2026. gada 5. septembrī pārskatīts uz 1.1. versiju un pārcelts uz jaunu adresi, un trīs soli pa solim sagatavotas norādījumu lapas pārstāvjiem; šajās norādījumu lapās joprojām ir norādīts, ka tās atjauninātas 3. augustā un 2026. gada 14. augustā , tāpēc, ja tās nesakrīt ar BUJ vai glosāriju, vecākais datums zaudē. ENISA norāda, ka lietotāja rokasgrāmata un pamācību video tiks publicēti darbības sākumā, un atzīmē, ka visi publicētie norādījumi var tikt mainīti.
Divas lietas, kuras, kā ENISA tagad apstiprinājusi, nav pieejamas jau pirmajā dienā: brīvprātīgā ziņošana saskaņā ar 15. pantu, kas tiek pārcelta uz nākotnes posmu bez datuma, un ziņošanas API, ko varētu apsvērt vēlākā posmā. saskaņotie standarti uz kuriem balstās ievainojamību apstrāde, joprojām nav pieņemti; tie tagad gaidāmi ap 2026. gada 30. oktobri, pēc tam kad Komisijas 2026. gada jūlija grozījuma projekts standartizācijas pieprasījumam M/606 par diviem mēnešiem atlika 2026. gada termiņus, un tie vēl nav publicēti Oficiālajā Vēstnesī.
Atšķirībā no CE marķējuma, ko veicat vienreiz pirms produkta laišanas tirgū, ziņošana ir dzīvs, nepārtraukts pienākums, kas sākas 2026. gada septembrī un var iestāties jebkurā brīdī pēc tam. Gatavība nav vienreizējs projekts. Veidojiet iekšējo atklāšanas un ziņošanas procesu jau tagad; pienākums ir spēkā no 2026. gada 11. septembra neatkarīgi no tā, vai rīki ir gatavi.
04Kam jūs ziņojat
Ziņojumi nosūtāmi ENISA un uz koordinatora statusā iecelts CSIRT, izmantojot vienu ieejas punktu, nevis iesniedzot atsevišķus paziņojumus katrai valsts iestādei. Šis ieejas punkts ir Vienotā ziņošanas platforma, ko ENISA izveido, pārvalda un uztur saskaņā ar 16. pantu. Art. 14 · 16
Kurš CSIRT ir jūsējais, izriet no jūsu galvenās uzņēmējdarbības vietas Savienībā vai, ja neesat iedibināts ES, no jūsu pilnvarotā pārstāvja. Saņēmējs CSIRT paziņojumu tālāk izplata CSIRT tajās dalībvalstīs, kurās produkts ir pieejams, un vajadzības gadījumā tirgus uzraudzības iestādēm. Art. 14(7) · 18
Koordinatoru saraksts tika publicēts 2026. gada 4. septembrī
Tikai 2026. gada 4. septembrī tika publicēta atbilde uz šīs lapas praktiskāko jautājumu: kura valsts komanda faktiski saņem jūsu iesniegto paziņojumu. ENISA tagad ir publicējusi par koordinatoriem izraudzīto CSIRT sarakstu , norādot vienu vai vairākus kontaktu URL katrai no 27 dalībvalstīm. Īrija norāda uz atsevišķu NCSC lapu par CRA; Spānija norāda divus atsevišķus INCIBE ceļus, vienu incidentiem un otru ievainojamību koordinācijai.
Saraksts pasaka, kurš ir katras dalībvalsts koordinators. Tas nepasaka, kurš ir jūsējais, un 14. panta 7. punkta tests ir šaurāks, nekā pieņem lielākā daļa organizāciju. To nosaka jūsu galvenās uzņēmējdarbības vietas atrašanās: tā ir dalībvalsts, kurā lēmumi par jūsu digitālo elementu produktu kiberdrošību tiek galvenokārt pieņemti, kas var būt izstrādes vieta, nevis juridiskā adrese vai lielākā komercdarbības vieta. Ja to nevar noteikt, tiek izmantota dalībvalsts, kurā jums ir vislielākais darbinieku skaits ES. Ja uzņēmējdarbības vietas ES nav vispār, secība ir šāda: dalībvalsts, kurā jūsu pilnvarotais pārstāvis rīkojas attiecībā uz visvairāk produktiem, tad importētājs, kas laiž tirgū visvairāk produktu, tad izplatītājs, kas dara pieejamus visvairāk produktu, tad dalībvalsts ar visvairāk lietotājiem. Tā kā tas nosaka saņēmēju visiem turpmākajiem paziņojumiem, izlemiet to iepriekš, ar juristu iesaisti, un pierakstiet pamatojumu.
Atbalsts pastāv abās pusēs. ENISA uztur palīdzības dienestu, īpašu uzmanību pievēršot MVU, un par koordinatoriem izraudzītajiem CSIRT arī ir jāsniedz palīdzības dienesta atbalsts par 14. panta pienākumiem. ENISA arī nodod novērstās ievainojamības Eiropas ievainojamību datubāzē, kā arī reizi divos gados publicē tehnisko tendenču ziņojumu; pirmais gaidāms 24 mēnešu laikā pēc ziņošanas pienākumu sākuma. Art. 17(6)
Paziņotas ievainojamības izplatīšanu var apturēt CSIRT, bet ne jūs
Saņēmējs CSIRT var atlikt vai aizturēt tālāku izplatīšanu pamatotu kiberdrošības apsvērumu dēļ uz stingri nepieciešamu laiku; piemēram, ja ievainojamībai piemēro koordinētas atklāšanas procedūru. Komisija nosacījumus precizēja tiesību aktā Deleģētā regula (ES) 2026/881, kas pieņemta 2025. gada 11. decembrīJa CSIRT aiztur paziņojumu, tam nekavējoties jāinformē ENISA, sniedzot pamatojumu un norādot, kad tas paziņojumu izplatīs.
Atsevišķi, īpaši ārkārtas apstākļos savā 72 stundu paziņojumā varat atzīmēt vienu no šauri definētajiem nosacījumiem, kas noteikti 16. panta 2. punktā : ka izmantošana aprobežojas ar jūsu CSIRT dalībvalsti, ka tālāka izplatīšana būtu pretrunā minētās dalībvalsts būtiskajām interesēm vai ka izplatīšana rada nenovēršamu augstu kiberdrošības risku. Ja tā rīkojaties, ENISA saņem tikai ierobežotu informāciju (ka paziņojums ir iesniegts, vispārīgu informāciju par produktu, izmantošanas vispārīgo raksturu un to, ka ir izvirzīti drošības apsvērumi), līdz CSIRT atbrīvo pilno paziņojumu.
2026. gada 9. septembrī ENISA publicēja atsevišķu norādījumu lapu par īpaši ārkārtas apstākļiem (PEC), un tā atrisina piemērošanas jomas jautājumu, ko iepriekšējie materiāli atstāja atklātu. Uz PEC var atsaukties tikai 72 stundu paziņojumā par aktīvi izmantotu ievainojamību. Nekāda ekvivalenta nav, ja tas ir nopietns incidents, un platformā incidenta paziņojumam PEC vadīklas nav.
Tehniski tas ir slēdzis 72 stundu veidlapas apakšā, kas atklāj trīs kavēšanas iemeslus un neobligātu brīvā teksta pamatojumu. Šis pamatojums nav rotājums: ENISA norāda, ka tas palīdz CDaC izlemt, vai pieņemt iesniegumu saskaņā ar PEC. Tādējādi atsaukšanās uz PEC ir lūgums noteikt ierobežojumu, nevis tā noteikšana, un ierakstam vienkārši tiek piešķirts statuss 72h Submitted under PEC kamēr koordinators pieņem lēmumu. Rakstiet pamatojumu tā, it kā to lasītu cilvēks, kuram tas jāsver pret nepieciešamību ātri informēt citas dalībvalstis, jo tā arī notiks.
Neviens no šiem mehānismiem neaptur jūsu pulksteni. Jūs nevarat atlikt iesniegšanu; 24 stundu, 72 stundu un galīgā ziņojuma termiņi skaitās no brīža, kad uzzinājāt. Ko varat darīt, ir atzīmēt sensitivitāti, kas ierobežo to, kas redz saturu. Lēmums aizturēt izplatīšanu pieder saņēmējam CSIRT.
05Reģistrācija platformā
ENISA norādījumi, kas atjaunināti 2026. gada 3. augustā un papildināti ar saskarnes lapu 2026. gada 14. augustā, ir pirmais materiāls, kurā redzami reālie ekrāni. Reģistrēties pašā platformā nevarēsiet, kamēr tā nesāks darboties, taču jau tagad varat izlemt, kam būs konti, un sagatavot to piekļuves datus; turklāt plūsma jums būtu jāzina, pirms saskaraties ar to 24 stundu termiņa spiedienā.
Ieceliet divus cilvēkus, pirms tie jums ir vajadzīgi
Platforma katram ražotājam piešķir divus lietotāju kontu veidus, un jau šodien varat izlemt, kas tos aizpildīs. Galvenais pārstāvis reģistrējas pirmais un izveido ražotāja ierakstu platformā. Pēc tam šī persona nosūta uzaicinājumu, ko saņem otrais pārstāvis, kuram ir rezerves loma pie tā paša ražotāja un kurš var iesniegt paziņojumus tā vārdā. Abi ir konkrēti nosaukti jūsu uzņēmuma darbinieki. Tā kā iesniegšana ir manuāla, viens vienīgs izraudzīts ziņotājs, kurš ir atvaļinājumā, guļ vai jau ir aizgājis no darba, ir reāls darbības risks, tāpēc otro vietu uzskatiet par nepieciešamu, nevis izvēles iespēju.
EU Login ir piekļuves līdzeklis, un abas personas to var izveidot jau šodien
Platformas kontu autentifikācija notiek, izmantojot EU Login, Eiropas Komisijas kopīgo pieteikšanās pakalpojumu, ko izmanto visās tās tiešsaistes sistēmās. ENISA norāda, ka kontu var izveidot iepriekš, un tā ir noderīgākā lieta, ko varat izdarīt tieši tagad. Izveidojiet vienu galvenajam pārstāvim un vienu otrajam pārstāvim vietnē ecas.ec.europa.eu, izmantojot darba e-pasta adreses, kas pastāvēs arī pēc gada. Komisija skaidro, kas ir EU Login un kā tas iekļaujas tās plašākajā identitātes sistēmā, savās uzticamas digitālās identitātes lapās.
Reģistrācijas plūsma
Pirmoreiz piekļūstot platformai, jūs izvēlaties savu lomu, no nolaižamā saraksta izvēlaties savu izraudzīto CSIRT , autentificējaties, izmantojot EU Login, izlasāt un pieņemat juridisko vienošanos, apstiprināt iepriekš aizpildītos personas datus (vārdu, uzvārdu, e-pastu, juridisko nosaukumu), pēc tam ievadāt ražotāja nosaukumu, adresi un papildu informāciju. Ja obligāts ražotāja lauks nav aizpildīts, plūsma tiek bloķēta. Pēc pabeigšanas jūsu konta statuss ir "Active" un jums ir "AR Primary User" loma, jūs saņemat apstiprinājuma e-pastu, un platformā tiek izveidota ražotāja vienība.
Šis otrais pārstāvis pievienojas, saņemot e-pasta uzaicinājumu no galvenā pārstāvja, apstiprina iepriekš aizpildītos personas un ražotāja datus un tiek reģistrēts "AR Backup User" lomā pie tā paša ražotāja. Minētais uzaicinājums zaudē spēku pēc 7 dienām, pēc tam ieraksts tiek atzīmēts kā "Invitation Expired" un ir jānosūta jauns. Iestatiet rezerves lietotāju vienā piegājienā ar galveno; incidenta laikā atklāts nokavēts uzaicinājums ir novēršama problēma.
CSIRT jūsu pārstāvi pārbauda manuāli, taču tas neliedz jums iesniegt paziņojumu
Kādam ir jāapstiprina, ka konkrētā persona tiešām drīkst ziņot konkrētā ražotāja vārdā, un šī pārbaude ir par koordinatoru izraudzītā CSIRT ziņā, ko ENISA tagad saīsina CDaC. Tas ir manuāls solis, procedūra dažādos CSIRT atšķiras, un katrs CSIRT izmanto savu pieeju. Būtiski, ka tas notiek pēc jūsu pirmās piekļuves platformai un norit paralēli ar jūsu ziņojumu. Savā atjauninājumā 2026. gada 3. augustā ENISA to nepārprotami apstiprināja: CDaC veiktā validācija nav priekšnoteikums CRA ziņošanas pienākuma izpildei, un neietekmē jūsu spēju iesniegt paziņojumus. Nevalidēts konts joprojām var iesniegt paziņojumu 24 stundu logā.
Tāpēc arī ENISA iesaka reģistrēties un sākt validāciju tikai tad, kad jums patiešām ir jāiesniedz paziņojums, nevis iepriekš reģistrēt visu tirgu un apbērt CSIRT ar spekulatīvām pārbaudēm. Iepriekš veicamā sagatavošanās ir EU Login konti un lēmums par to, kas aizpildīs abas vietas, nevis pati reģistrācija platformā.
Ja pārstāvis piesaista savu kontu ražotājam sadaļā Association Management, saikne tiek izveidota ar statusu Unverified un verifikācijas pieprasījums nonāk pie CDaC. Saskarnes norādījumos 2026. gada 14. augustā noteikts 10 paziņojumu ierobežojums. BUJ pārrakstīšana 2026. gada 4. septembrī to dubulto: nevalidēts pārstāvis var iesniegt līdz 20 paziņojumiem par vienu ražotāju pirms validācija kļūst obligāta.
Abi apgalvojumi pastāv līdzās: validācija nav šķērslis jūsu pirmajam paziņojumam, taču to nevar arī bezgalīgi atlikt. ENISA nenorāda, kas notiek divdesmit pirmajā mēģinājumā vai arī to, vai ierobežojums skaita notikumus vai atsevišķus iesniegumus. Ņemiet vērā arī, ka norādījumu lapās joprojām ir vecākais skaitlis, tāpēc, ja augustā iekopējāt "desmit" savā iekšējā procedūrā, izlabojiet to. Divdesmit ir daudz uzņēmumam ar vienu produktu un tomēr ierobežots skaits koncernam, kas ziņo par vairākām vienībām, tāpēc, ja tas attiecas uz jums, sāciet sarunu ar savu koordinējošo CSIRT, nevis gaidiet, līdz to piespiedīs incidents.
Vienam kontam var būt vairāki ražotāji
Tie paši norādījumi nosaka kārtību ap abām vietām. Galvenais pārstāvis uzaicina rezerves pārstāvi pēc e-pasta adreses, un tādējādi tiek izveidots ieraksts ar atzīmi "Pending Invitation" bez lomas, līdz tas tiek pieņemts. Otrais pārstāvis var lūgt paaugstināšanu par galveno, un to izskata CDaC. Jebkurš no viņiem var noņemt saikni, kas pēc tam tiek atzīmēta "Deleted". Un vienam kontam var būt saiknes ar vairākiem ražotājiem, katru pievienojot sadaļā Association Management un katru verificējot atsevišķi.
Šis pēdējais punkts ir svarīgs koncerniem ar vairākām ražošanas vienībām un uzņēmumiem, kas saskaņā ar 18. pantu rīkojas to ražotāju vārdā, kuri veic uzņēmējdarbību ārpus ES. Tieši tur turpmāk aprakstītās nosaukumu lamatas sāp visvairāk.
ENISA norādījumi ir rakstīti par "Assigned Representatives" (AR), ar galvenajiem lietotājiem un rezerves lietotājiem. Tā ir platformas konta loma. Tas nav tas pats, kas pilnvarotā pārstāvja , ko ieceļ ar rakstisku pilnvarojumu saskaņā ar CRA 18. pantu. Jums var būt pirmais bez otrā. Savā iekšējā procedūrā turiet tos šķirti, citādi jūs strīdēsieties par juridisku iecelšanu tad, kad jums ir vajadzīga tikai otra pieteikšanās.
06Ziņojuma iesniegšana
Ziņošana notiek no informācijas paneļa. Jūs izveidojat paziņojumu un pēc tam katrā posmā papildināt to pašu ierakstu, nevis iesniedzat trīs atsevišķas lietas. Katram posmam ir sava cilne, un katru vispirms var saglabāt kā melnrakstu. Informācijas panelī var meklēt pēc paziņojuma ID, ražotāja vai virsraksta, kārtot pēc virsraksta vai pēdējā atjauninājuma un filtrēt pēc dalībvalsts, iesnieguma veida vai Action Required karodziņa.
Saskarnes norādījumos 2026. gada 14. augustā ir skaidri pateikts: informācijas panelī redzami tikai tie melnraksti, kurus izveidojāt jūs pats, un jūs nevarat skatīt melnrakstus, ko izveidojis cits ar to pašu ražotāju saistīts pārstāvis. Melnraksti ir pieejami tikai to autoram, un tie netiek koplietoti uzņēmumā.
Iedomājieties sekas. Kāds sāk 24 stundu agrīno brīdinājumu, saglabā melnrakstu un pēc tam kļūst nesasniedzams; rezerves pārstāvis atver informācijas paneli un neatrod neko, un 24 stundu logs visu šo laiku ir tecējis no uzzināšanas brīža. Formulējumu sagatavojiet ārpus platformas, dokumentā, ko jūsu incidentu komanda jau koplieto, un izmantojiet platformu, lai to pārrakstītu.
- Agrīns brīdinājumsSāciet jaunu paziņojumu no informācijas paneļa, aizpildiet obligātos laukus un izvēlieties esošu ražotāju vai pievienojiet jaunu. Pēc iesniegšanas tas ir pieejams jūsu izraudzītajam CSIRT un automātiski arī ENISA. E-pasta un brīdinājumu apstiprinājumi tiek nosūtīti CSIRT, ENISA un katram šim ražotājam reģistrētajam pārstāvim, nevis tikai iesniedzējam.
- 72 stunduPieejams tikai tad, ja jau ir agrīns brīdinājums. Atveriet to pašu paziņojumu un aizpildiet 72 stundu cilni. ENISA to saņem automātiski, ja vien neatsaucaties uz 16. panta 2. punkta nosacījumiem; tādā gadījumā ieraksts tiek atzīmēts ar "72h Submitted under PEC", un ENISA redzamā informācija ir ierobežota, līdz CSIRT to atbrīvo.
- Galīgais ziņojumsPieejams tikai tad, kad pastāv abi iepriekšējie posmi. ENISA to saņem automātiski, ja vien nav izmantoti 16. panta 2. punkta nosacījumi.
ENISA norādījumi, kas publicēti 2026. gada 3. augustā norāda, ka pārējie attiecīgie CSIRT saņem agrīno brīdinājumu, 72 stundu paziņojumu un galīgo ziņojumu tikai pēc manuālas izplatīšanas, ko veic par koordinatoru izraudzītais CSIRT. 31. jūlija tekstā tas bija teikts tikai par galīgo ziņojumu. Jūsu pienākumā nekas nemainās, un CDaC saskaņā ar 16. panta 2. punktu joprojām ir pienākums izplatīt bez kavēšanās, taču ir vērts zināt, ka starp jūsu ziņojumu un pārējiem tirgiem, kuros tiek pārdots jūsu produkts, atrodas cilvēks vienā valsts CSIRT.
Kas ir obligāts un kad
ENISA ir publicējusi, kuri lauki ir obligāti katrā posmā. Tabula ir noderīgs labojums plaši izplatītam pieņēmumam: 24 stundu agrīnais brīdinājums ir signāls, nevis izmeklēšana.
- 24 stundās; paziņojuma veids un līmenis, ražotāja vai pārrauga nosaukums, produkts un virsraksts. Incidentu gadījumā, vai ir aizdomas par nelikumīgām vai ļaunprātīgām darbībām. Dalībvalstis, kurās produkts ir pieejams, jānorāda tikai tad, ja šī informācija jums jau ir.
- 72 stundās; ievainojamības un tās izmantošanas vispārīgais raksturs, veiktie koriģējošie vai riska mazināšanas pasākumi un pasākumi, ko var veikt lietotāji. Incidentu gadījumā, kad tas tika atklāts un kad tas notika, kā arī sākotnējais novērtējums. Sensitivitāte tiek atzīmēta šeit.
- Galīgajā ziņojumā; pilns apraksts, smagums un ietekme, datums, kad koriģējošais pasākums kļuva pieejams, un drošības atjauninājuma detaļas. Incidentu gadījumā, iespējamais pamatcēlonis un joprojām īstenotie riska mazināšanas pasākumi.
Neobligātie lauki, ko tomēr ir vērts fiksēt, ir CVE ID un EUVD ID, abi pieejami jau no pirmā posma.
Katram laukam ir rakstzīmju ierobežojums, un viens no tiem ir ļoti īss
ENISA SRP glosārijs, kas 2026. gada 5. septembrī pārskatīts uz 1.1. versiju, ir pirmais ENISA dokuments, kurā publicēts katra lodziņa lielums. Rakstiet savas iekšējās veidnes atbilstoši šiem ierobežojumiem, nevis atklājiet tos divos naktī:
- 4000 rakstzīmju aprakstošajiem laukiem: kopsavilkumam, vispārīgai informācijai par ievainojamību vai incidentu, koriģējošiem pasākumiem, ko var veikt lietotāji, pilnīgiem smaguma un ietekmes aprakstiem un sākotnējam novērtējumam.
- 2000 rakstzīmju koriģējošiem vai mazinošiem pasākumiem, ko jau esat veicis.
- 255 rakstzīmes nosaukumam, produkta nosaukumam, produkta versiju diapazonam, komponentes nosaukumam, uzbrukuma vektoram, sensitivitātes pamatojumam un iespējamam pamatcēlonim.
- 100 rakstzīmes ļaunprātīgajam aktoram, kas izmantoja ievainojamību. Tā ir aptuveni viena rinda, tāpēc plānojiet aktoru nosaukt vai norādīt uz indikatora atsauci, nevis aprakstīt kampaņu.
Glosārijs apstiprina arī nelielu ērtību: lauks Dalībvalstis, kurās produkts ir pieejams tiek aizpildīts jau iepriekš ar jūsu koordinējošo CSIRT, bet pārējos tirgus pievienojat pats.
Rediģēšana un punkts, no kura nav atgriešanās
Iesniegtu paziņojumu var atjaunināt, un platforma automātiski nosūta brīdinājumu un e-pastu jūsu CSIRT, kā arī ENISA un visiem CSIRT, kas to jau saņēmuši izplatīšanas ceļā. Ir divi ierobežojumi: slēgtu paziņojumu nevar atjaunināt, un ieraksts kļūst nerediģējams, tiklīdz ir iesniegts galīgais ziņojums.
Sekojiet līdzi brīdinājumu cilnei, arī nedēļas nogalē
Katram kontam ir Alerts cilne ar krāsu kodējumu: nelasītie brīdinājumi ir gaiši zili un pēc atvēršanas kļūst pelēki, un sarkanie brīdinājumi parādās tikai tad, ja noticis kas ārkārtējs. ENISA min piemēru par izraudzīto CSIRT, kurš ir atzinis iesniegumu par nederīgu. Tātad iesniegšana nav sarakstes beigas, un neviens 14. panta termiņš nemainās tāpēc, ka paziņojums atgriezies pie jums. Tam, kas seko šai cilnei, tā jāuzrauga arī ārpus darba laika, un tas ir vēl viens arguments par labu uzraudzītai komandas pastkastei aiz abām vietām, nevis divām personīgām adresēm.
Platformas 72 stundu skaitītājs neskaita no uzzināšanas brīža
BUJ 2026. gada 4. septembrī atklāj, kā patiesībā darbojas ekrānā redzamie atskaites taimeri, un tie neatbilst juridiskajam termiņam. Pašreizējā laidienā 72 stundu skaitītājs rāda termiņu, kas ir 48 stundas pēc 24 stundu ziņojuma iesniegšanas, nevis 72 stundas pēc tam, kad uzzinājāt. ENISA skaidri norāda, ka paziņojums tāpēc var izskatīties nokavēts pirms no uzzināšanas ir pagājušas 72 stundas, un ka loģika vēlākā laidienā tiks mainīta, lai skaitītu no lauka "date and time when you became aware", tiklīdz šis lauks kļūs obligāts.
Galīgā ziņojuma skaitītāji atkal atšķiras. Ja tas ir nopietns incidents , skaitītājs rāda vienu mēnesi pēc 72 stundu paziņojuma. Ja tā ir aktīvi izmantota ievainojamība , nav vispār neviena skaitītāja, jo termiņš ir atkarīgs no tā, kad kļūst pieejams korektīvs pasākums, un to platforma nevar zināt.
ENISA skaidri norāda, ka skaitītāji pastāv pārskatāmībai un neaizstāj 14. pantā noteikto pienākumu. Sāciet savu laika uzskaiti no uzzināšanas brīža un ierakstiet to savā incidentu žurnālā. Ātra agrīnā brīdinājuma iesniegšana, ko likums tieši vēlas, padara ekrānā redzamo skaitītāju stingrāku nekā juridisko. Ekrānā redzama "overdue" atzīme nav neatbilstības konstatējums, un zaļš skaitītājs nav aizstāvība.
Darbības sākumā platforma nefiksē, kad jūs uzzinājāt
2026. gada 5. septembrī ENISA aizstāja savu pa laukiem izstrādāto SRP glosāriju ar 1.1. versiju, un divas tajā ietvertās zemsvītras piezīmes ir svarīgākas par visu pārējo šajā lapā. Aktīvi izmantotas ievainojamības gadījumā laukam Date/time when you become aware ir piezīme, ka tas būs pieejams nākamajā platformas laidienā. Nopietna incidenta gadījumā piezīmē teikts, ka pašreizējā laidienā līdzvērtīgais lauks saucas Date/time the incident was detected.
Nostatot to blakus iepriekš aprakstītajai skaitītāju loģikai, aplis noslēdzas. BUJ norādīja, ka 72 stundu skaitītājs tiks labots, tiklīdz uzzināšanas lauks kļūs obligāts; glosārijs apstiprina, ka šā lauka nav laidienā, kas sāk darboties 11. septembrī. Tātad pirmajā dienā platforma ievainojamībām nefiksē nekādu uzzināšanas laika zīmogu, bet incidentiem fiksē atklāšanas brīdi, kas nav uzzināšanas brīdis.
Saskaņā ar Komisijas norādījumiem, kas pieņemti 2026. gada 27. jūlijā jūs uzzināt tad, kad sākotnējais novērtējums sniedz jums pamatotu pārliecības pakāpi par to, ka jūsu produkta ievainojamība tiek izmantota vai ka ir noticis nopietns incidents. Atklāšana parasti notiek agrāk, dažkārt daudz agrāk. Tā kā platforma fiksēs atklāšanas, nevis novērtējuma brīdi, tās glabātais ieraksts nav tas brīdis, no kura termiņus skaita 14. pants. Glabājiet savu ierakstu ar laika zīmogu par to, kad tika pabeigts sākotnējais novērtējums un kas pieņēma šo lēmumu. Ja tirgus uzraudzības iestāde kādreiz jautās, kāpēc agrīnais brīdinājums pienāca tieši tad, jūsu pierādījums būs šis ieraksts, nevis platforma.
ENISA pievienoja atbildi par darbības pārtraukumiem 2026. gada 4. septembrī. Ja SRP īslaicīgi nav pieejama, nogaidiet, līdz tā atkal darbojas, un tad iesniedziet. Ja pa to laiku ir nepieciešama tūlītēja saziņa, varat sazināties tieši ar savu izraudzīto CSIRT, taču pēc pakalpojuma atjaunošanas paziņojums tik un tā jāiesniedz platformā.
To ir vērts pateikt skaidri, jo ENISA to nedara: nekas CRA neaptur 24 stundu, 72 stundu, 14 dienu vai viena mēneša termiņus darbības pārtraukuma laikā. Fiksējiet pārtraukuma un jebkuras tiešās saziņas laika zīmogu un glabājiet abus kopā ar uzzināšanas laika zīmogu.
ENISA norāda, ka sākotnējā laidienā lietojumprogrammu saskarne netiks nodrošināta, un ka API funkcionalitāte varētu tikt apsvērta nākotnes posmā. Atklāšanu, šķirošanu un sagatavošanu varat automatizēt iekšēji, taču pašu iesniegšanu veic cilvēks, aizpildot pārlūkprogrammas veidlapu. Plānojiet šo nodošanu apzināti un pārliecinieties, ka to var veikt vairāk nekā viena persona ārpus darba laika un nedēļas nogalē.
Platforma galu galā pieņems brīvprātīgus ziņojumus par ievainojamībām, kiberdraudiem, incidentiem un gandrīz notikušiem incidentiem no jebkuras fiziskas vai juridiskas personas, ne tikai no ražotājiem. 2026. gada 31. jūlija BUJ norādīja, ka tas tiks iespējots pēc 2026. gada 11. septembra. Pārrakstītā versija 2026. gada 4. septembrī ir stingrāka un vēlāka: 11. septembrī platforma pieņem tikai obligātos paziņojumus saskaņā ar 14. un 24. pantu, un 15. panta brīvprātīgā ziņošana tiek pārcelta uz nākotnes posmu bez datuma. Nekas juridiski prasīts netrūkst, taču nav neviena nesaistoša izmēģinājuma, un atklāšanas procesam, kas plānoja neizmantotās ievainojamības novirzīt caur SRP, pagaidām nav, kurp tās sūtīt.
07Ko varat izdarīt jau šodien
24 stundu termiņa ievērošana ir darbības, nevis papīru problēma, un gandrīz visa sagatavošanās ir iespējama jau tagad. Nekas no turpmāk minētā nav atkarīgs no tā, vai platforma jau darbojas.
- Izveidojiet savus EU Login kontus. Galvenajam ziņotājam un vismaz vienam rezerves ziņotājam. Tas aizņem dažas minūtes vietnē ecas.ec.europa.eu un novērš soli, ko nevēlaties atklāt incidenta vidū.
- Nosakiet savu izraudzīto CSIRT. ENISA publicēja koordinatoru sarakstu par visām 27 dalībvalstīm 2026. gada 4. septembrī, tāpēc tagad šo uzdevumu var pabeigt. Piemērojiet 14. panta 7. punkta galvenās uzņēmējdarbības vietas testu, izvēlieties savu rindu un pierakstiet pamatojumu.
- Izveidojiet 24 stundu veidlapu iekšēji. Īsa veidne, kas atbilst ENISA obligātajiem agrīnā brīdinājuma laukiem, lai jūsu pirmais reālais paziņojums būtu pārrakstīšana, nevis sacerēšana. Glabājiet to vietā, kuru var atvērt abi pārstāvji, jo platformas melnraksti ir redzami tikai to izveidotājam.
- Nosauciet cilvēkus, tostarp ārpus darba laika. Izlemiet, kurš spriež, ka ziņojums ir jāsniedz, kurš to sagatavo un kurš to iesniedz. Tā kā API nav, pēdējo soli veic konkrēts cilvēks pie klaviatūras.
- Uzturiet precīzu SBOM. Jūs nevarat ziņot par komponentu, par kura piegādi nezinājāt. Uzturiet programmatūras materiālu sarakstu un atjauniniet to, mainoties laidieniem.
- Uzraugiet to nepārtraukti. Salīdziniet savus komponentus ar zināmo ievainojamību avotiem, lai aktīvi izmantots trūkums atklātos stundu, nevis nedēļu laikā. Mūsu SBOM un ievainojamību analizators salīdzina jūsu materiālu sarakstu ar NVD un ES ievainojamību datubāzi (EUVD).
- Pārliecinieties, kas patiešām ietilpst darbības jomā. 72 stundu posmā tiek prasīts produkta veids un III vai IV pielikuma kategorija, tāpēc noskaidrojiet klasifikāciju, pirms tā jums ir vajadzīga. Mūsu klasifikācijas rīks sniedz atbildi uz to, un atbilstības matrica saista ziņošanu ar plašākiem I pielikuma ievainojamību apstrādes pienākumiem, kuros tā ietilpst.
- Izlemiet, kurš ārpus darba laika lasa brīdinājumu cilni. Izraudzītais CSIRT var atzīt iesniegumu par nederīgu, un attiecīgais brīdinājums nonāk platformā, nevis tikai jūsu e-pastā. Aiz abām pārstāvju vietām nolieciet uzraudzītu pastkasti.
- Nepaļaujieties uz platformas atskaiti. Fiksējiet uzzināšanas laika zīmogu pats. Ekrānā redzamais 72 stundu skaitītājs sākas no 24 stundu ziņojuma iesniegšanas, nevis no uzzināšanas, tāpēc tas var atzīmēt paziņojumu kā nokavētu, pirms juridiskais termiņš ir pagājis.
- Sekojiet līdzi darbības sākuma materiāliem. ENISA norāda, ka lietotāja rokasgrāmata un pamācību video tiks publicēti, kad platforma sāks darboties, kopā ar pašu publisko URL.
08Sekojiet līdzi pirmavotos
Šī lapa atspoguļo stāvokli 2026. gada 9. septembrī. Platforma joprojām mainās, un ENISA savas lapas rediģē klusi, nevis paziņo par katru izmaiņu. BUJ tika pārrakstīts 2026. gada 4. septembrī, kad parādījās arī koordinatoru saraksts, glosārijs sasniedza 1.1. versiju 2026. gada 5. septembrī, bet piektā norādījumu lapa par īpaši ārkārtas apstākļiem tika publicēta 2026. gada 9. septembrī. Atbalsta jautājumiem ENISA centrālajā lapā publicē palīdzības dienesta adresi, cra-srp-helpdesk [at] enisa.europa.eu. Šie ir pirmavoti; viss iepriekš minētais ir mūsu lasījums par tiem.
Iepriekš ieteicām pierakstīt šo zīmogu līdzās visam, ko pārkopējat iekšējā procedūrā. Šim ieteikumam vajadzīga atruna. Laikā no 2026. gada 7. līdz 9. septembrim ENISA būtiski pārrakstīja AR Notification submission and update lapu, atstājot tās zīmogu 3/08/2026: terminoloģija mainīta uz CDaC visā tekstā, atsauces uz valsts galapunktu datu slāni ir svītrotas, iesniegšanas apstiprinājumi tagad tiek nosūtīti katram ražotāja Assigned Representative, nevis tikai iesniedzējam, un tagad ir skaidri norādīts, ka agrīnais brīdinājums citus attiecīgos CSIRT sasniedz tikai pēc manuālas izplatīšanas. Ja norādījumu lapa ir svarīga jūsu procedūrai, glabājiet savu datētu teksta kopiju, nevis paļaujieties uz datumu, ko ENISA norāda lapā.
- ENISA · Vienotā ziņošanas platforma; centrālā lapa ar faktu lapu, palīdzības dienesta adresi un saitēm uz norādījumiem. Šeit tiks paziņots publiskais URL.enisa.europa.eu/topics/product-security/single-reporting-platform-srp
- ENISA · SRP biežāk uzdotie jautājumi (pārrakstīts 2026. gada 4. septembrī); juridiskais pamats, termiņi, maršrutēšana, lauku tabula, skaitītāju loģika un rīcība darbības pārtraukuma laikā. Jaunākā no ENISA SRP lapām.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions
- ENISA · Par koordinatoriem izraudzīto CSIRT saraksts (2026. gada 4. septembris); kontaktpunkti visām 27 dalībvalstīm. Nosakiet savu rindu, izmantojot 14. panta 7. punkta testu 04. sadaļā.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/list-of-csirts-designated-as-coordinators
- ENISA · CRA SRP glosārijs (1.1. versija, 2026. gada 5. septembris); norādījumi pa laukiem par to, ko nozīmē katrs ziņošanas lauks, kā to aizpildīt, kāds formāts tiek gaidīts, kāds ir tā rakstzīmju ierobežojums un kurā posmā to piemēro. Ievērojiet adresi: ENISA pārcēla glosāriju uz glossary2 adresi, bet uz veco joprojām ir saites dažās pašas ENISA lapās, tāpēc pirms paļaušanās uz kopiju pārbaudiet versijas rindu augšpusē.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-glossary2
- ENISA · SRP lietotāju reģistrācijas norādījumi; soli pa solim izklāstīta reģistrācijas plūsma galvenajiem un rezerves lietotājiem ar saskarnes ekrānuzņēmumiem.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-user-registration
- ENISA · SRP paziņojumu iesniegšanas norādījumi; kā tiek iesniegts un atjaunināts agrīnais brīdinājums, 72 stundu paziņojums un galīgais ziņojums un ko izraisa katrs statuss.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-notification-submission-and-update
- ENISA · SRP saskarnes funkciju norādījumi (2026. gada 14. augusts); iestatījumi, ražotāju saiknes, neverificēto saikņu ierobežojums (šeit norādīts 10, 4. septembra BUJ paaugstināts līdz 20), informācijas panelis un brīdinājumu cilne. Centrālajā lapā šī lapa pašlaik ir nepareizi saistīta, tāpēc atveriet to no Content saraksta centrālās lapas augšdaļā.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-interface-functions
- ENISA · SRP norādījumi par īpaši ārkārtas apstākļiem (2026. gada 9. septembris); kad piemēro PEC, slēdzis un kavēšanas iemesli 72 stundu veidlapā un ko koordinējošais CSIRT dara ar pamatojumu. Piektā norādījumu lapa un vienīgā, kas tieši attiecas uz PEC.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-particular-exceptional-circumstances-pec
- Eiropas Komisija · CRA ziņošanas pienākumi; politikas lapa, tostarp BUJ par CRA īstenošanu, kuru 5. sadaļa aptver ziņošanu.digital-strategy.ec.europa.eu/en/policies/cra-reporting
- Eiropas Komisija · CRA piemērošanas norādījumi (2026. gada 27. jūlijs); 9.1. punktā izklāstīti ražotāju un atvērtā pirmkoda pārraugu ziņošanas pienākumi. Mūsu norādījumu kopsavilkums aptver pārējo.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
- EU Login; izveidojiet kontu, ko izmantos platforma. Dariet to tagad.ecas.ec.europa.eu/cas/login
Saistošo tekstu skatiet 14. līdz 17. pantā, kur izklāstīta ziņošanas sistēma, un 16. pantā, ar ko izveido platformu; lasiet tos mūsu regulas lasītājā. Galvenie datumi tiek izsekoti norises stāvokļa lapā.
09Biežākie jautājumi
Kas man jāziņo saskaņā ar CRA un cik ātri?
Aktīvi izmantotas ievainojamības un nopietni incidenti, kas ietekmē jūsu produkta drošību. Agrīns brīdinājums 24 stundu laikā pēc uzzināšanas, pilnīgāks paziņojums 72 stundu laikā un galīgais ziņojums 14 dienu laikā pēc tam, kad ievainojamībai kļuvis pieejams koriģējošs pasākums, vai viena mēneša laikā pēc 72 stundu paziņojuma nopietna incidenta gadījumā. Art. 14
Kad sākas ziņošanas pienākumi?
2026. gada 11. septembris; 21 mēnesis pēc Akta spēkā stāšanās un krietni pirms pilnīgas piemērošanas 2027. gada 11. decembrī.
Kam es ziņoju?
ENISA un par koordinatoru izraudzītajam nacionālajam CSIRT, izmantojot vienoto ziņošanas platformu, kas izveidota saskaņā ar 16. pantu. Jūsu CSIRT izriet no jūsu galvenās uzņēmējdarbības vietas Savienībā vai no jūsu pilnvarotā pārstāvja vietas, ja neesat iedibināts ES.
Vai koordinējošo CSIRT saraksts ir publicēts?
Jā, kopš 2026. gada 4. septembra. ENISA publicē kontaktpunktus visām 27 dalībvalstīm. Saraksts norāda katras dalībvalsts koordinatoru; tas, kurš ir jūsējais, joprojām izriet no 14. panta 7. punkta galvenās uzņēmējdarbības vietas testa, kas balstās uz to, kur galvenokārt tiek pieņemti lēmumi par jūsu produktu kiberdrošību.
Vai man jāziņo par katru kļūdu vai ievainojamību?
Nē. Ziņojami ir tikai aktīvi izmantotās ievainojamības un nopietni incidenti. Ievainojamības, ko atklājat un novēršat pirms izmantošanas, tiek pārvaldītas izmantojot parasto ievainojamību apstrādes procesu.
Vai ENISA vienotā ziņošanas platforma jau ir pieejama?
2026. gada 7. septembrī vēl nē. Platforma nedarbojas, un tās publiskais URL nav publicēts; ENISA to paziņos savā SRP lapā pirms darbības sākuma. Paredzēts, ka tā darbosies no 2026. gada 11. septembra, un ENISA norāda, ka lietotāju un drošības testēšana ir veikta, tajā piedaloties dažādiem CSIRT.
Ko darīt, ja platforma nedarbojas brīdī, kad man jāiesniedz paziņojums?
ENISA atbilde, kas pievienota 2026. gada 4. septembrī, ir gaidīt un iesniegt, tiklīdz platforma atkal ir pieejama. Ja pa to laiku ir nepieciešama tūlītēja saziņa, varat sazināties tieši ar savu izraudzīto CSIRT, taču paziņojums pēc tam tik un tā jāiesniedz platformā. Ņemiet vērā, ka nekas CRA neaptur jūsu termiņus darbības pārtraukuma laikā, tāpēc fiksējiet pārtraukuma un jebkuras tiešās saziņas laika zīmogu.
Vai platformas atskaite atbilst manam juridiskajam termiņam?
Ne gluži. Pašreizējā laidienā 72 stundu skaitītājs rāda termiņu 48 stundas pēc tam, kad iesniedzat 24 stundu ziņojumu, nevis 72 stundas pēc tam, kad uzzinājāt, tāpēc paziņojums var izskatīties nokavēts, pirms beidzies juridiskais termiņš. ENISA norāda, ka loģika vēlākā laidienā mainīsies un ka skaitītāji neaizstāj 14. panta pienākumu. Uzturiet savu laika uzskaiti, sākot no uzzināšanas brīža.
Vai platforma fiksē, kad es uzzināju?
Ne darbības sākumā. 2026. gada 5. septembra SRP glosārijs norāda, ka uzzināšanas lauks aktīvi izmantotai ievainojamībai parādīsies tikai vēlākā laidienā un ka nopietna incidenta gadījumā pašreizējais lauks fiksē atklāšanas brīdi. Atklāšana parasti notiek pirms uzzināšanas, ko Komisijas 2026. gada jūlija norādījumi sasaista ar sākotnējo novērtējumu, kas sasniedz pamatotu pārliecību. Glabājiet savu ierakstu par to, kad šis novērtējums tika pabeigts.
Vai es varu atsaukties uz PEC nopietna incidenta gadījumā?
Nē. ENISA 2026. gada 9. septembra norādījumos teikts, ka īpaši ārkārtas apstākļi attiecas tikai uz 72 stundu paziņojumu par aktīvi izmantotu ievainojamību. Nopietna incidenta paziņojumam PEC vadīklas nav. Ņemiet vērā arī to, ka atsaukšanās uz PEC ir lūgums: par tā pieņemšanu lemj koordinējošais CSIRT, un tam palīdz jūsu sniegtais neobligātais pamatojums.
Cik garš var būt katrs lauks?
Glosārijs publicē ierobežojumus: 4000 rakstzīmes aprakstošajiem laukiem, 2000 jau veiktajiem pasākumiem, 255 nosaukumam, produktam, komponentei, uzbrukuma vektoram un pamatcēlonim un tikai 100 ļaunprātīgajam aktoram. Veidojiet savu iekšējo veidni atbilstoši šiem izmēriem.
Vai varu jau tagad reģistrēties vai kaut ko sagatavot?
Jā, un jums to vajadzētu darīt. Izveidojiet EU Login kontus, ko izmantos platforma, galvenajam ziņotājam un rezerves ziņotājam. Reģistrēties pašā platformā nevarēsiet, kamēr tā nesāks darboties, un ENISA iesaka sākt reģistrāciju platformā tikai tad, kad jums patiešām būs jāiesniedz paziņojums, jo koordinējošais CSIRT kontu validē pēc pirmās piekļuves, nevis pirms tās. ENISA 2026. gada 3. augustā apstiprināja, ka šī validācija nav priekšnoteikums ziņošanas pienākuma izpildei un neliedz iesniegt paziņojumu.
Vai pirms CSIRT veiktās verifikācijas ir ierobežojums paziņojumu iesniegšanai?
Jā, un skaitlis ir mainījies. ENISA saskarnes norādījumos 2026. gada 14. augustā tas bija 10 paziņojumi; 2026. gada 4. septembrī pārrakstītajā BUJ teikts, ka nevalidēts pārstāvis var iesniegt līdz 20 paziņojumiem par vienu ražotāju, pirms validācija kļūst obligāta. Validācija nav šķērslis jūsu pirmajam paziņojumam, taču to nevar arī bezgalīgi atlikt.
Vai mans rezerves ziņotājs var redzēt manis iesāktu melnrakstu?
Nē. Informācijas panelī redzami tikai tie melnraksti, ko izveidojis pieteikušais pārstāvis, tāpēc pusē uzrakstīts agrīnais brīdinājums jūsu rezerves pārstāvim nav redzams. Sagatavojiet melnrakstu ārpus platformas, dokumentā, ko koplieto jūsu incidentu komanda, un izmantojiet platformu tā pārrakstīšanai.
Vai varu iesniegt ziņojumus, izmantojot API?
Nē. ENISA norāda, ka šajā posmā lietojumprogrammu saskarne netiks nodrošināta. Iekšējo atklāšanu un sagatavošanu varat automatizēt, taču iesniegšanu veic cilvēks, aizpildot pārlūkprogrammas veidlapu.
Kas patiesībā jāiekļauj 24 stundu agrīnajā brīdinājumā?
Mazāk, nekā vairums gaida. Obligātie lauki ir paziņojuma veids un līmenis, ražotāja vai pārrauga nosaukums, produkts, virsraksts un incidentu gadījumā tas, vai ir aizdomas par nelikumīgām vai ļaunprātīgām darbībām. Saturiskā analīze jāsniedz 72 stundās, nevis pirmajā dienā.
Vai ziņošanai jau ir standarta formāts vai veidne?
Datu lauki ir publicēti. ENISA BUJ ir noteikts, kuri lauki ir obligāti 24 stundu, 72 stundu un galīgā ziņojuma posmā, tāpēc atbilstošu iekšējo veidni varat izveidot jau šodien. Komisija ar īstenošanas aktiem vēl var sīkāk noteikt formātu un procedūru.
Vai varu atlikt ziņojumu, ja atklāšana būtu riskanta?
Pašu iesniegšanu, nē. 24 stundu, 72 stundu un galīgā ziņojuma termiņi skaitās no brīža, kad uzzinājāt, un nekas tos neaptur. Varat atzīmēt sensitivitāti: saskaņā ar 16. panta 2. punktu varat atzīmēt šauri definētus nosacījumus, kas ierobežo to, ko redz ENISA, līdz CSIRT atbrīvo pilno paziņojumu. Lēmums atlikt tālāku izplatīšanu pieder saņēmējam CSIRT saskaņā ar Deleģēto regulu (ES) 2026/881, kas pieņemta 2025. gada 11. decembrī.
Vai man jāziņo par izmantošanu, par kuru zināju jau pirms 2026. gada septembra?
Nē. Pienākums iestājas, tiklīdz uzzināt, un neattiecas uz ievainojamībām, par kuru aktīvo izmantošanu jau zinājāt pirms 2026. gada 11. septembra.
Vai ziņošana attiecas uz produktiem, ko laidu tirgū pirms daudziem gadiem?
Jā. 69. panta 2. punktā teikts, ka produktiem, kas laisti tirgū pirms 2027. gada 11. decembra, Regula ir piemērojama tikai tad, ja tie kopš minētās dienas ir būtiski pārveidoti, taču 69. panta 3. punktā no tā ir skaidri paredzēta atkāpe attiecībā uz 14. pantu: ziņošanas pienākumi attiecas uz visiem darbības jomā ietilpstošiem produktiem, kas laisti tirgū pirms 2027. gada 11. decembra, neatkarīgi no tā, vai tie ir pārveidoti. Tāpēc uz produktu var neattiekties CRA produktu prasības, bet joprojām attiekties ziņošanas pienākums. Art. 69(2)–(3)
Vai kaut kas no tā attiecas uz atvērtā pirmkoda projektiem?
Atvērtā pirmkoda programmatūras pārraugiem ir ziņošanas pienākumi tiktāl, ciktāl tie ir saistīti ar produktiem ar digitāliem elementiem, saskaņā ar 24. panta 3. punktu. Komisijas 2026. gada 27. jūlija norādījumos atvērtais pirmkods aplūkots sīkāk.
Kur meklēt palīdzību, ja esmu mazs uzņēmums?
ENISA uztur palīdzības dienestu, īpašu uzmanību pievēršot MVU, un arī par koordinatoriem izraudzītajiem CSIRT ir jāsniedz palīdzības dienesta atbalsts par 14. panta pienākumiem. ENISA publicē palīdzības dienesta adresi, cra-srp-helpdesk [at] enisa.europa.eu, jautājumiem, uz kuriem neatbild BUJ vai norādījumu lapas, un norāda, ka lietotāja rokasgrāmata un pamācību video sekos darbības sākumā.