01Kas jāziņo
14. pants Kiberstabilitātes akts rada divus ziņošanas pienākumus produktu ar digitāliem elementiem ražotājiem. Tie ir šaurāki, nekā sākotnēji šķiet: ikdienišķas kļūdas un parasti ielāpi tajos neietilpst. Art. 14
- Aktīvi izmantotās ievainojamības; ievainojamība jūsu produktā, par kuru ir ticami pierādījumi, ka ļaunprātīgs dalībnieks to ir izmantojis sistēmā bez īpašnieka atļaujas. Ievainojamība, ko atklājat un novēršat, pirms tā tiek izmantota, tiek risināta jūsu parastajā ievainojamību apstrādes process, nevis šis paziņošanas kanāls.
- Nopietni incidenti; incidents, kas negatīvi ietekmē vai var negatīvi ietekmēt produkta spēju aizsargāt datu vai funkciju pieejamību, autentiskumu, integritāti vai konfidencialitāti. Smaguma kritēriji ir noteikti 14. panta 5. punktā.
Šie pienākumi neattiecas tikai uz komerciāliem ražotājiem. Atvērtā pirmkoda programmatūras uzturētāji ir savi ziņošanas pienākumi tiktāl, ciktāl tie ir saistīti ar produktiem ar digitāliem elementiem. Art. 24(3)
Ja drošības vājuma vieta jūsu produktā tiek aktīvi izmantota vai drošības incidents to ir nopietni ietekmējis, 14. panta termiņš sākas. Viss pārējais paliek jūsu ikdienas ievainojamību apstrādes ietvaros.
Par ievainojamību, kuras aktīvo izmantošanu jūs jau zinājāt pirms ziņošanas pienākuma piemērošanas sākuma, t. i., 2026. gada 11. septembris, nav jāziņo. Pienākums iestājas brīdī, kad jūs uzziniet, tāpēc tas aptver to, ko uzzināt no minētās dienas, un neko agrāku.
Tieši šeit daudzi kļūdās, tāpēc ir vērts būt precīziem. 69. panta 2. punktā ir noteikts vispārējais pārejas noteikums: produktiem, kas laisti tirgū pirms 2027. gada 11. decembra Regula ir piemērojama tikai tad, ja tie kopš minētās dienas ir būtiski pārveidoti . Lasot atsevišķi, tas liek domāt, ka jūsu esošais klāsts paliek neskarts.
69. panta 3. punktā 14. pants no tā tiek uzreiz izņemts. Ar skaidru atkāpi ziņošanas pienākumi attiecas uz visiem produktiem ar digitāliem elementiem, kas ietilpst Regulas darbības jomā un ir laisti tirgū pirms 2027. gada 11. decembra, neatkarīgi no tā, vai tie jebkad tiek pārveidoti.
Tātad abi noteikumi darbojas dažādās plaknēs. Produktam, ko pārdevāt 2025. gadā, saskaņā ar CRA, iespējams, nekad nebūs vajadzīgs CE marķējums, taču, ja tā ievainojamība tiek aktīvi izmantota un jūs par to uzzināt 2026. gada 11. septembrī vai vēlāk, par to ir jāziņo. Jūsu jau uzstādīto produktu bāze ietilpst ziņošanas darbības jomā pat tad, ja uz to neattiecas produktu prasības. Komisija nonāk pie tāda paša secinājuma savu BUJ par CRA īstenošanu 5.3. sadaļā. Art. 69(2)–(3)
02Trīs termiņi
Katrs ziņojums tiek sagatavots trīs posmos, skaitot no brīža, kad jūs uzziniet par izmantoto ievainojamību vai nopietno incidentu. Termiņi ir īsi, tāpēc gatavība ir svarīga. Art. 14(2)–(4)
- 24 stundu laikāAgrīns brīdinājums. Pirmais paziņojums par to, ka ir notikusi ievainojamības aktīva izmantošana vai nopietns incidents, tostarp incidentu gadījumā norāde, vai ir aizdomas, ka to izraisījušas nelikumīgas vai ļaunprātīgas darbības.
- 72 stundu laikāIevainojamības / incidenta paziņojums. Pilnīgāks izklāsts: ievainojamības un tās izmantošanas vispārīgais raksturs, sākotnējais novērtējums, kā arī veiktie koriģējošie vai riska mazināšanas pasākumi un pasākumi, ko var veikt lietotāji.
- Galīgais ziņojumsGalīgais ziņojums. Ja tā ir ievainojamība, ne vēlāk kā 14 dienas pēc tam, kad kļūst pieejams koriģējošs vai riska mazināšanas pasākums. Ja tas ir nopietns incidents, tad viena mēneša laikā pēc 72 stundu paziņojuma. Tajā izklāsta pilnu aprakstu, smagumu, ietekmi un veiktos koriģējošos pasākumus.
Ievērojiet asimetriju pēdējā rindā: ievainojamības pulksteni iedarbina labojuma esamība, bet incidenta pulksteni, iepriekšējais paziņojums. Tie ir atšķirīgi mehānismi, un tos ir vērts atsevišķi ierakstīt savā rīcības rokasgrāmatā.
03Kad tas sākas
Ziņošanas pienākumi ir pirmā nozīmīgā CRA daļa, kas stājas spēkā. Lai gan lielākā daļa noteikumu piemērojami no 2027. gada 11. decembra, 14. pants piemērojams no 2026. gada 11. septembris; 21 mēnesi pēc akta stāšanās spēkā. ENISA ir paredzējusi, ka tajā pašā dienā vienotajai ziņošanas platformai jāsāk darboties. Art. 71
Platforma vēl nedarbojas , un tās publiskais URL vēl nav publicēts. ENISA norāda, ka tas tiks paziņots tās vienotās ziņošanas platformas lapā pirms darbības sākuma. Pirms tam paredzēta lietotāju un drošības testēšana, kurā iesaistīts CSIRT tīkls.
Tomēr ENISA ir publicējusi faktu lapu, paplašinātu BUJ un divas soli pa solim veidotas norādījumu lapas par reģistrāciju un paziņojumu iesniegšanu; tās visas pēdējoreiz atjauninātas 2026. gada 31. jūlijā. Īsi mācību video un vebinārs divas nedēļas pirms darbības sākuma vēl tikai gaidāmi. ENISA norāda, ka publicētie norādījumi var mainīties.
Vēl trūkst divu elementu: par koordinatoriem izraudzīto nacionālo CSIRT saraksta, ko ENISA solās sniegt vēlākā posmā, un saskaņotie standarti , uz kuriem balstās ievainojamību apstrāde; tie gaidāmi ap 2026. gada 30. augustu un vēl nav publicēti Oficiālajā Vēstnesī.
Atšķirībā no CE marķējuma, ko veicat vienreiz pirms produkta laišanas tirgū, ziņošana ir dzīvs, nepārtraukts pienākums, kas sākas 2026. gada septembrī un var iestāties jebkurā brīdī pēc tam. Gatavība nav vienreizējs projekts. Veidojiet iekšējo atklāšanas un ziņošanas procesu jau tagad; pienākums ir spēkā no 2026. gada 11. septembra neatkarīgi no tā, vai rīki ir gatavi.
04Kam jūs ziņojat
Ziņojumi nosūtāmi ENISA un uz koordinatora statusā iecelts CSIRT, izmantojot vienu ieejas punktu, nevis iesniedzot atsevišķus paziņojumus katrai valsts iestādei. Šis ieejas punkts ir Vienotā ziņošanas platforma, ko ENISA izveido, pārvalda un uztur saskaņā ar 16. pantu. Art. 14 · 16
Kurš CSIRT ir jūsējais, izriet no jūsu galvenās uzņēmējdarbības vietas Savienībā vai, ja neesat iedibināts ES, no jūsu pilnvarotā pārstāvja. Saņēmējs CSIRT paziņojumu tālāk izplata CSIRT tajās dalībvalstīs, kurās produkts ir pieejams, un vajadzības gadījumā tirgus uzraudzības iestādēm. Art. 14(7) · 18
Atbalsts pastāv abās pusēs. ENISA uztur palīdzības dienestu, īpašu uzmanību pievēršot MVU, un par koordinatoriem izraudzītajiem CSIRT arī ir jāsniedz palīdzības dienesta atbalsts par 14. panta pienākumiem. ENISA arī nodod novērstās ievainojamības Eiropas ievainojamību datubāzē, kā arī reizi divos gados publicē tehnisko tendenču ziņojumu; pirmais gaidāms 24 mēnešu laikā pēc ziņošanas pienākumu sākuma. Art. 17(6)
Paziņotas ievainojamības izplatīšanu var apturēt CSIRT, bet ne jūs
Saņēmējs CSIRT var atlikt vai aizturēt tālāku izplatīšanu pamatotu kiberdrošības apsvērumu dēļ uz stingri nepieciešamu laiku; piemēram, ja ievainojamībai piemēro koordinētas atklāšanas procedūru. Komisija nosacījumus precizēja deleģētajā aktā, kas pieņemts 2025. gada 11. decembrīJa CSIRT aiztur paziņojumu, tam nekavējoties jāinformē ENISA, sniedzot pamatojumu un norādot, kad tas paziņojumu izplatīs.
Atsevišķi, īpaši ārkārtas apstākļos savā 72 stundu paziņojumā varat atzīmēt vienu no šauri definētajiem nosacījumiem, kas noteikti 16. panta 2. punktā : ka izmantošana aprobežojas ar jūsu CSIRT dalībvalsti, ka tālāka izplatīšana būtu pretrunā minētās dalībvalsts būtiskajām interesēm vai ka izplatīšana rada nenovēršamu augstu kiberdrošības risku. Ja tā rīkojaties, ENISA saņem tikai ierobežotu informāciju (ka paziņojums ir iesniegts, vispārīgu informāciju par produktu, izmantošanas vispārīgo raksturu un to, ka ir izvirzīti drošības apsvērumi), līdz CSIRT atbrīvo pilno paziņojumu.
Neviens no šiem mehānismiem neaptur jūsu pulksteni. Jūs nevarat atlikt iesniegšanu; 24 stundu, 72 stundu un galīgā ziņojuma termiņi skaitās no brīža, kad uzzinājāt. Ko varat darīt, ir atzīmēt sensitivitāti, kas ierobežo to, kas redz saturu. Lēmums aizturēt izplatīšanu pieder saņēmējam CSIRT.
05Reģistrācija platformā
ENISA norādījumi, kas publicēti 2026. gada 31. jūlijā , ir pirmais materiāls, kurā redzami reālie ekrāni. Reģistrēties pašā platformā nevarēsiet, kamēr tā nesāks darboties, taču jau tagad varat izlemt, kam būs konti, un sagatavot to piekļuves datus; turklāt plūsma jums būtu jāzina, pirms saskaraties ar to 24 stundu termiņa spiedienā.
Ieceliet divus cilvēkus, pirms tie jums ir vajadzīgi
Platforma katram ražotājam piešķir divus lietotāju kontu veidus, un jau šodien varat izlemt, kas tos aizpildīs. Galvenais pārstāvis reģistrējas pirmais un izveido ražotāja ierakstu platformā. Pēc tam šī persona nosūta uzaicinājumu, ko saņem otrais pārstāvis, kuram ir rezerves loma pie tā paša ražotāja un kurš var iesniegt paziņojumus tā vārdā. Abi ir konkrēti nosaukti jūsu uzņēmuma darbinieki. Tā kā iesniegšana ir manuāla, viens vienīgs izraudzīts ziņotājs, kurš ir atvaļinājumā, guļ vai jau ir aizgājis no darba, ir reāls darbības risks, tāpēc otro vietu uzskatiet par nepieciešamu, nevis izvēles iespēju.
EU Login ir piekļuves līdzeklis, un abas personas to var izveidot jau šodien
Platformas kontu autentifikācija notiek, izmantojot EU Login, Eiropas Komisijas kopīgo pieteikšanās pakalpojumu, ko izmanto visās tās tiešsaistes sistēmās. ENISA norāda, ka kontu var izveidot iepriekš, un tā ir noderīgākā lieta, ko varat izdarīt tieši tagad. Izveidojiet vienu galvenajam pārstāvim un vienu otrajam pārstāvim vietnē ecas.ec.europa.eu, izmantojot darba e-pasta adreses, kas pastāvēs arī pēc gada. Komisija skaidro, kas ir EU Login un kā tas iekļaujas tās plašākajā identitātes sistēmā, savās uzticamas digitālās identitātes lapās.
Reģistrācijas plūsma
Pirmoreiz piekļūstot platformai, jūs izvēlaties savu lomu, no nolaižamā saraksta izvēlaties savu izraudzīto CSIRT , autentificējaties, izmantojot EU Login, izlasāt un pieņemat juridisko vienošanos, apstiprināt iepriekš aizpildītos personas datus (vārdu, uzvārdu, e-pastu, juridisko nosaukumu), pēc tam ievadāt ražotāja nosaukumu, adresi un papildu informāciju. Ja obligāts ražotāja lauks nav aizpildīts, plūsma tiek bloķēta. Pēc pabeigšanas jūsu konts kļūst aktīvs "AR Active" lomā, jūs saņemat apstiprinājuma e-pastu, un platformā tiek izveidota ražotāja vienība.
Šis otrais pārstāvis pievienojas, saņemot e-pasta uzaicinājumu no galvenā pārstāvja, apstiprina iepriekš aizpildītos personas un ražotāja datus un tiek reģistrēts kā rezerves lietotājs pie tā paša ražotāja. Minētais uzaicinājums zaudē spēku pēc 7 dienām, pēc tam ieraksts tiek atzīmēts kā "Invitation Expired" un ir jānosūta jauns. Iestatiet rezerves lietotāju vienā piegājienā ar galveno; incidenta laikā atklāts nokavēts uzaicinājums ir novēršama problēma.
CSIRT jūsu pārstāvi pārbauda manuāli, taču tas neliedz jums iesniegt paziņojumu
Kādam ir jāapstiprina, ka konkrētā persona tiešām drīkst ziņot konkrētā ražotāja vārdā, un šī pārbaude ir par koordinatoru izraudzītā CSIRT ziņā. Tas ir manuāls solis, procedūra dažādos CSIRT atšķiras, un katrs CSIRT izmanto savu pieeju. Būtiski, ka tas notiek pēc jūsu pirmās piekļuves platformai un norit paralēli jūsu ziņojumam: ENISA norāda, ka validācija nav šķērslis jūsu spējai iesniegt paziņojumus. Nevalidēts konts joprojām var iesniegt paziņojumu 24 stundu logā.
Tāpēc arī ENISA iesaka reģistrēties un sākt validāciju tikai tad, kad jums patiešām ir jāiesniedz paziņojums, nevis iepriekš reģistrēt visu tirgu un apbērt CSIRT ar spekulatīvām pārbaudēm. Iepriekš veicamā sagatavošanās ir EU Login konti un lēmums par to, kas aizpildīs abas vietas, nevis pati reģistrācija platformā.
ENISA norādījumi ir rakstīti par "Assigned Representatives" (AR), ar galvenajiem lietotājiem un rezerves lietotājiem. Tā ir platformas konta loma. Tas nav tas pats, kas pilnvarotā pārstāvja , ko ieceļ ar rakstisku pilnvarojumu saskaņā ar CRA 18. pantu. Jums var būt pirmais bez otrā. Savā iekšējā procedūrā turiet tos šķirti, citādi jūs strīdēsieties par juridisku iecelšanu tad, kad jums ir vajadzīga tikai otra pieteikšanās.
06Ziņojuma iesniegšana
Ziņošana notiek no informācijas paneļa. Jūs izveidojat paziņojumu un pēc tam katrā posmā papildināt to pašu ierakstu, nevis iesniedzat trīs atsevišķas lietas. Katram posmam ir sava cilne, un katru vispirms var saglabāt kā melnrakstu; melnraksti ir redzami tikai jums.
- Agrīns brīdinājumsSāciet jaunu paziņojumu no informācijas paneļa, aizpildiet obligātos laukus un izvēlieties esošu ražotāju vai pievienojiet jaunu. Pēc iesniegšanas tas tiek nosūtīts jūsu izraudzītajam CSIRT un automātiski arī ENISA. E-pasta un brīdinājumu apstiprinājumi tiek nosūtīti jums, CSIRT un ENISA.
- 72 stunduPieejams tikai tad, ja jau ir agrīns brīdinājums. Atveriet to pašu paziņojumu un aizpildiet 72 stundu cilni. ENISA to saņem automātiski, ja vien neatsaucaties uz 16. panta 2. punkta nosacījumiem; tādā gadījumā ieraksts tiek atzīmēts un ENISA redzamā informācija ir ierobežota, līdz CSIRT to atbrīvo.
- Galīgais ziņojumsPieejams tikai tad, ja pastāv abi iepriekšējie posmi. Citi attiecīgie CSIRT galīgo ziņojumu saņem tikai pēc tam, kad jūsu koordinējošais CSIRT to izplata manuāli.
Kas ir obligāts un kad
ENISA ir publicējusi, kuri lauki ir obligāti katrā posmā. Tabula ir noderīgs labojums plaši izplatītam pieņēmumam: 24 stundu agrīnais brīdinājums ir signāls, nevis izmeklēšana.
- 24 stundās; paziņojuma veids un līmenis, ražotāja vai pārrauga nosaukums, produkts un virsraksts. Incidentu gadījumā, vai ir aizdomas par nelikumīgām vai ļaunprātīgām darbībām. Dalībvalstis, kurās produkts ir pieejams, jānorāda tikai tad, ja šī informācija jums jau ir.
- 72 stundās; ievainojamības un tās izmantošanas vispārīgais raksturs, veiktie koriģējošie vai riska mazināšanas pasākumi un pasākumi, ko var veikt lietotāji. Incidentu gadījumā, kad tas tika atklāts un kad tas notika, kā arī sākotnējais novērtējums. Sensitivitāte tiek atzīmēta šeit.
- Galīgajā ziņojumā; pilns apraksts, smagums un ietekme, datums, kad koriģējošais pasākums kļuva pieejams, un drošības atjauninājuma detaļas. Incidentu gadījumā, iespējamais pamatcēlonis un joprojām īstenotie riska mazināšanas pasākumi.
Neobligātie lauki, ko tomēr ir vērts fiksēt, ir CVE ID un EUVD ID, abi pieejami jau no pirmā posma.
Rediģēšana un punkts, no kura nav atgriešanās
Iesniegtu paziņojumu var atjaunināt, un platforma automātiski brīdina jūsu CSIRT, kā arī ENISA un visus CSIRT, kas to jau saņēmuši izplatīšanas ceļā. Ir divi ierobežojumi: slēgtu paziņojumu nevar atjaunināt, un ieraksts kļūst nerediģējams, tiklīdz ir iesniegts galīgais ziņojums.
ENISA norāda, ka šajā posmā lietojumprogrammu saskarne netiks nodrošināta. Atklāšanu, šķirošanu un sagatavošanu varat automatizēt iekšēji, taču pašu iesniegšanu veic cilvēks, aizpildot pārlūkprogrammas veidlapu. Plānojiet šo nodošanu apzināti un pārliecinieties, ka to var veikt vairāk nekā viena persona ārpus darba laika un nedēļas nogalē.
Platforma pieņems arī brīvprātīgus ziņojumus par ievainojamībām, kiberdraudiem, incidentiem un gandrīz notikušiem incidentiem no jebkuras fiziskas vai juridiskas personas, ne tikai no ražotājiem. ENISA norāda, ka šī funkcionalitāte tiks ieslēgta pēc 2026. gada 11. septembrī, tāpēc tas nav veids, kā pirms termiņa veikt nesaistošu izmēģinājumu.
07Ko varat izdarīt jau šodien
24 stundu termiņa ievērošana ir darbības, nevis papīru problēma, un gandrīz visa sagatavošanās ir iespējama jau tagad. Nekas no turpmāk minētā nav atkarīgs no tā, vai platforma jau darbojas.
- Izveidojiet savus EU Login kontus. Galvenajam ziņotājam un vismaz vienam rezerves ziņotājam. Tas aizņem dažas minūtes vietnē ecas.ec.europa.eu un novērš soli, ko nevēlaties atklāt incidenta vidū.
- Nosakiet savu izraudzīto CSIRT. Tas izriet no jūsu galvenās uzņēmējdarbības vietas Savienībā vai no jūsu pilnvarotā pārstāvja vietas, ja esat iedibināts ārpus ES. Pilns ENISA koordinatoru saraksts vēl nav publicēts, tāpēc fiksējiet savu pamatojumu jau tagad un pārbaudiet to pēc saraksta, kad tas parādīsies.
- Izveidojiet 24 stundu veidlapu iekšēji. Īsa veidne, kas atbilst ENISA obligātajiem agrīnā brīdinājuma laukiem, lai jūsu pirmā reālā iesniegšana būtu pārrakstīšana, nevis sacerēšana.
- Nosauciet cilvēkus, tostarp ārpus darba laika. Izlemiet, kurš spriež, ka ziņojums ir jāsniedz, kurš to sagatavo un kurš to iesniedz. Tā kā API nav, pēdējo soli veic konkrēts cilvēks pie klaviatūras.
- Uzturiet precīzu SBOM. Jūs nevarat ziņot par komponentu, par kura piegādi nezinājāt. Uzturiet programmatūras materiālu sarakstu un atjauniniet to, mainoties laidieniem.
- Uzraugiet to nepārtraukti. Salīdziniet savus komponentus ar zināmo ievainojamību avotiem, lai aktīvi izmantots trūkums atklātos stundu, nevis nedēļu laikā. Mūsu SBOM un ievainojamību analizators salīdzina jūsu materiālu sarakstu ar NVD un ES ievainojamību datubāzi (EUVD).
- Pārliecinieties, kas patiešām ietilpst darbības jomā. 72 stundu posmā tiek prasīts produkta veids un III vai IV pielikuma kategorija, tāpēc noskaidrojiet klasifikāciju, pirms tā jums ir vajadzīga. Mūsu klasifikācijas rīks sniedz atbildi uz to, un atbilstības matrica saista ziņošanu ar plašākiem I pielikuma ievainojamību apstrādes pienākumiem, kuros tā ietilpst.
- Ierakstiet vebināru kalendārā. ENISA plāno to rīkot divas nedēļas pirms platformas darbības sākuma un tuvāk palaišanai publicēt īsus mācību video.
08Sekojiet līdzi pirmavotos
Šī lapa atspoguļo stāvokli 2026. gada 6. augustā. Platforma joprojām mainās, un ENISA savas lapas rediģē klusi, nevis paziņo par katru izmaiņu, tāpēc turpmāk minētajās lapās esošos "pēdējoreiz atjaunināts" zīmogus ir vērts pārbaudīt tieši. Šie ir pirmavoti; viss iepriekš minētais ir mūsu lasījums par tiem.
- ENISA · Vienotā ziņošanas platforma; centrālā lapa ar faktu lapu un detalizētu BUJ, kas aptver juridisko pamatu, termiņus, maršrutēšanu, lauku tabulu un platformas drošību. Šeit tiks paziņots publiskais URL.enisa.europa.eu/topics/product-security-and-certification/single-reporting-platform-srp
- ENISA · SRP lietotāju reģistrācijas norādījumi; soli pa solim izklāstīta reģistrācijas plūsma galvenajiem un rezerves lietotājiem ar saskarnes ekrānuzņēmumiem.enisa.europa.eu/cra-srp-ar-user-registration
- ENISA · SRP paziņojumu iesniegšanas norādījumi; kā tiek iesniegts un atjaunināts agrīnais brīdinājums, 72 stundu paziņojums un galīgais ziņojums un ko izraisa katrs statuss.enisa.europa.eu/cra-srp-ar-notification-submission-and-update
- Eiropas Komisija · CRA ziņošanas pienākumi; politikas lapa, tostarp BUJ par CRA īstenošanu, kuru 5. sadaļa aptver ziņošanu.digital-strategy.ec.europa.eu/en/policies/cra-reporting
- Eiropas Komisija · CRA piemērošanas norādījumi (2026. gada 27. jūlijs); 9.1. punktā izklāstīti ražotāju un atvērtā pirmkoda pārraugu ziņošanas pienākumi. Mūsu norādījumu kopsavilkums aptver pārējo.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
- EU Login; izveidojiet kontu, ko izmantos platforma. Dariet to tagad.ecas.ec.europa.eu/cas/login
Saistošo tekstu skatiet 14. līdz 17. pantā, kur izklāstīta ziņošanas sistēma, un 16. pantā, ar ko izveido platformu; lasiet tos mūsu regulas lasītājā. Galvenie datumi tiek izsekoti norises stāvokļa lapā.
09Biežākie jautājumi
Kas man jāziņo saskaņā ar CRA un cik ātri?
Aktīvi izmantotas ievainojamības un nopietni incidenti, kas ietekmē jūsu produkta drošību. Agrīns brīdinājums 24 stundu laikā pēc uzzināšanas, pilnīgāks paziņojums 72 stundu laikā un galīgais ziņojums 14 dienu laikā pēc tam, kad ievainojamībai kļuvis pieejams koriģējošs pasākums, vai viena mēneša laikā pēc 72 stundu paziņojuma nopietna incidenta gadījumā. Art. 14
Kad sākas ziņošanas pienākumi?
2026. gada 11. septembris; 21 mēnesis pēc Akta spēkā stāšanās un krietni pirms pilnīgas piemērošanas 2027. gada 11. decembrī.
Kam es ziņoju?
ENISA un par koordinatoru izraudzītajam nacionālajam CSIRT, izmantojot vienoto ziņošanas platformu, kas izveidota saskaņā ar 16. pantu. Jūsu CSIRT izriet no jūsu galvenās uzņēmējdarbības vietas Savienībā vai no jūsu pilnvarotā pārstāvja vietas, ja neesat iedibināts ES.
Vai man jāziņo par katru kļūdu vai ievainojamību?
Nē. Ziņojami ir tikai aktīvi izmantotās ievainojamības un nopietni incidenti. Ievainojamības, ko atklājat un novēršat pirms izmantošanas, tiek pārvaldītas izmantojot parasto ievainojamību apstrādes procesu.
Vai ENISA vienotā ziņošanas platforma jau ir pieejama?
2026. gada 6. augustā, nē. Platforma nedarbojas, un tās publiskais URL nav publicēts; ENISA to paziņos savā SRP lapā pirms darbības sākuma. Paredzēts, ka tā sāks darboties līdz 2026. gada 11. septembrim, iepriekš veicot lietotāju un drošības testēšanu.
Vai varu jau tagad reģistrēties vai kaut ko sagatavot?
Jā, un jums to vajadzētu darīt. Izveidojiet EU Login kontus, ko izmantos platforma, galvenajam ziņotājam un rezerves ziņotājam. Reģistrēties pašā platformā nevarēsiet, kamēr tā nesāks darboties, un ENISA iesaka sākt reģistrāciju platformā tikai tad, kad jums patiešām būs jāiesniedz paziņojums, jo koordinējošais CSIRT kontu validē pēc pirmās piekļuves, nevis pirms tās. Šī validācija neliedz iesniegt paziņojumu.
Vai varu iesniegt ziņojumus, izmantojot API?
Nē. ENISA norāda, ka šajā posmā lietojumprogrammu saskarne netiks nodrošināta. Iekšējo atklāšanu un sagatavošanu varat automatizēt, taču iesniegšanu veic cilvēks, aizpildot pārlūkprogrammas veidlapu.
Kas patiesībā jāiekļauj 24 stundu agrīnajā brīdinājumā?
Mazāk, nekā vairums gaida. Obligātie lauki ir paziņojuma veids un līmenis, ražotāja vai pārrauga nosaukums, produkts, virsraksts un incidentu gadījumā tas, vai ir aizdomas par nelikumīgām vai ļaunprātīgām darbībām. Saturiskā analīze jāsniedz 72 stundās, nevis pirmajā dienā.
Vai ziņošanai jau ir standarta formāts vai veidne?
Datu lauki ir publicēti. ENISA BUJ ir noteikts, kuri lauki ir obligāti 24 stundu, 72 stundu un galīgā ziņojuma posmā, tāpēc atbilstošu iekšējo veidni varat izveidot jau šodien. Komisija ar īstenošanas aktiem vēl var sīkāk noteikt formātu un procedūru.
Vai varu atlikt ziņojumu, ja atklāšana būtu riskanta?
Pašu iesniegšanu, nē. 24 stundu, 72 stundu un galīgā ziņojuma termiņi skaitās no brīža, kad uzzinājāt, un nekas tos neaptur. Varat atzīmēt sensitivitāti: saskaņā ar 16. panta 2. punktu varat atzīmēt šauri definētus nosacījumus, kas ierobežo to, ko redz ENISA, līdz CSIRT atbrīvo pilno paziņojumu. Lēmums atlikt tālāku izplatīšanu pieder saņēmējam CSIRT saskaņā ar 2025. gada 11. decembrī pieņemto deleģēto aktu.
Vai man jāziņo par izmantošanu, par kuru zināju jau pirms 2026. gada septembra?
Nē. Pienākums iestājas, tiklīdz uzzināt, un neattiecas uz ievainojamībām, par kuru aktīvo izmantošanu jau zinājāt pirms 2026. gada 11. septembra.
Vai ziņošana attiecas uz produktiem, ko laidu tirgū pirms daudziem gadiem?
Jā. 69. panta 2. punktā teikts, ka produktiem, kas laisti tirgū pirms 2027. gada 11. decembra, Regula ir piemērojama tikai tad, ja tie kopš minētās dienas ir būtiski pārveidoti, taču 69. panta 3. punktā no tā ir skaidri paredzēta atkāpe attiecībā uz 14. pantu: ziņošanas pienākumi attiecas uz visiem darbības jomā ietilpstošiem produktiem, kas laisti tirgū pirms 2027. gada 11. decembra, neatkarīgi no tā, vai tie ir pārveidoti. Tāpēc uz produktu var neattiekties CRA produktu prasības, bet joprojām attiekties ziņošanas pienākums. Art. 69(2)–(3)
Vai kaut kas no tā attiecas uz atvērtā pirmkoda projektiem?
Atvērtā pirmkoda programmatūras pārraugiem ir ziņošanas pienākumi tiktāl, ciktāl tie ir saistīti ar produktiem ar digitāliem elementiem, saskaņā ar 24. panta 3. punktu. Komisijas 2026. gada 27. jūlija norādījumos atvērtais pirmkods aplūkots sīkāk.
Kur meklēt palīdzību, ja esmu mazs uzņēmums?
ENISA uztur palīdzības dienestu, īpašu uzmanību pievēršot MVU, un arī par koordinatoriem izraudzītajiem CSIRT ir jāsniedz palīdzības dienesta atbalsts par 14. panta pienākumiem. ENISA turklāt plāno mācību video un vebināru divas nedēļas pirms platformas darbības sākuma.