Zgłaszanie incydentów i podatności w ramach CRA

01Co podlega zgłoszeniu

Artykuł 14 Cyber Resilience Act tworzy dwa obowiązki zgłoszeniowe dla producentów produktów z elementami cyfrowymi. Są one węższe, niż się z pozoru wydaje: rutynowe błędy i zwykłe poprawki nie są nimi objęte. Art. 14

• Aktywnie wykorzystywane podatności; podatność w twoim produkcie, co do której istnieją wiarygodne dowody, że podmiot działający w złym zamiarze wykorzystał ją w systemie bez zgody właściciela. Podatność wykrytą i załataną, zanim zostanie wykorzystana, obsługuje się w ramach zwykłego proces zarządzania podatnościami, a nie za pośrednictwem niniejszego kanału zgłoszeń.
• Poważne incydenty; incydent, który negatywnie wpływa lub może negatywnie wpłynąć na zdolność produktu do ochrony dostępności, autentyczności, integralności lub poufności danych bądź funkcji. Kryteria powagi określono w art. 14(5).

Obowiązki te nie ograniczają się do producentów komercyjnych. Opiekunowie oprogramowania open source mają własne obowiązki zgłoszeniowe w zakresie, w jakim są zaangażowani w produkty z elementami cyfrowymi. Art. 24(3)

02Trzy terminy

Każde zgłoszenie przebiega w trzech etapach, liczonych od momentu, gdy uzyska wiedzę o wykorzystanej podatności lub poważnym incydencie. Terminy są napięte i właśnie dlatego przygotowanie ma znaczenie. Art. 14(2)–(4)

• W ciągu 24 godzinWczesne ostrzeżenie. Pierwsze zgłoszenie o wystąpieniu aktywnie wykorzystywanej podatności lub poważnego incydentu, w przypadku incydentów wraz ze wskazaniem, czy istnieje podejrzenie, że został on spowodowany bezprawnymi lub nacechowanymi złymi zamiarami działaniami.
• W ciągu 72 godzinZgłoszenie podatności / incydentu. Pełniejszy opis: ogólny charakter podatności i sposobu jej wykorzystania, wstępna ocena oraz podjęte środki naprawcze lub ograniczające ryzyko, a także środki, które mogą podjąć użytkownicy.
• Sprawozdanie końcoweSprawozdanie końcowe. W przypadku podatności, nie później niż 14 dni od udostępnienia środka naprawczego lub ograniczającego ryzyko. W przypadku poważnego incydentu, w terminie jednego miesiąca od zgłoszenia 72-godzinnego. Zawiera ono pełny opis, powagę, skutki oraz zastosowane działania naprawcze.

Zwróć uwagę na asymetrię w ostatnim wierszu: w przypadku podatności zegar uruchamia istnienie poprawki, a w przypadku incydentu wcześniejsze zgłoszenie. To odmienne mechanizmy i warto opisać je w procedurze operacyjnej osobno.

03Kiedy zaczyna obowiązywać

Obowiązki zgłoszeniowe są najwcześniejszą wchodzącą w życie główną częścią CRA. Podczas gdy większość przepisów obowiązuje od 11 grudnia 2027 r., Artykuł 14 obowiązuje od 11 września 2026 r.; 21 miesięcy po wejściu rozporządzenia w życie. ENISA otworzyła jednolitą platformę zgłoszeniową dokładnie tego samego dnia. Art. 71

04Do kogo składasz zgłoszenie

Zgłoszenia trafiają do ENISA i do CSIRT wyznaczony jako koordynator, przez jeden punkt wejścia, a nie odrębne zgłoszenia do każdego organu krajowego. Tym punktem wejścia jest jednolita platforma zgłoszeniowa, którą ENISA tworzy, obsługuje i utrzymuje na podstawie art. 16. Art. 14 · 16

To, który CSIRT jest właściwy, wynika z lokalizacji głównej jednostki organizacyjnej w Unii, a w przypadku braku siedziby w UE, z lokalizacji upoważnionego przedstawiciela. CSIRT otrzymujący zgłoszenie przekazuje je dalej do CSIRTs w państwach członkowskich, w których produkt jest dostępny, oraz w razie potrzeby do organów nadzoru rynku. Art. 14(7) · 18

Lista koordynatorów została opublikowana 4 września 2026 r.

Do 4 września 2026 r. nie było opublikowanej odpowiedzi na najbardziej praktyczne pytanie na tej stronie: który krajowy zespół faktycznie otrzymuje twoje zgłoszenie. ENISA opublikowała teraz listę CSIRTs wyznaczonych jako koordynatorzy podający co najmniej jeden adres URL do kontaktu dla każdego z 27 państw członkowskich, i opatrzyła go nową datą 10 września 2026 r., więc sprawdź swój wiersz ponownie, zanim oprzesz się na kopii pobranej wcześniej. Irlandia wskazuje dedykowaną stronę NCSC poświęconą CRA; Hiszpania podaje dwie odrębne ścieżki INCIBE, jedną dla incydentów i jedną dla koordynacji podatności.

Lista mówi, kto jest koordynatorem w każdym państwie członkowskim. Nie mówi, który z nich jest twój, a test z art. 14(7) jest węższy, niż zakłada większość organizacji. Miejscem twojej głównej jednostki organizacyjnej jest państwo członkowskie, w którym decyzje dotyczące cyberbezpieczeństwa twoich produktów z elementami cyfrowymi są podejmowane w przeważającej mierze, co może oznaczać ośrodek rozwojowy, a nie siedzibę statutową czy największą działalność handlową. Jeżeli nie da się tego ustalić, rozwiązaniem zastępczym jest państwo członkowskie, w którym zatrudniasz najwięcej osób w UE. Przy całkowitym braku jednostki organizacyjnej w UE kolejność jest następująca: państwo członkowskie, w którym twój upoważniony przedstawiciel działa dla największej liczby produktów, następnie importer wprowadzający do obrotu najwięcej produktów, następnie dystrybutor udostępniający ich najwięcej, a na końcu państwo członkowskie z największą liczbą użytkowników. Ponieważ przesądza to o odbiorcy każdego przyszłego zgłoszenia, rozstrzygnij tę kwestię z wyprzedzeniem, z udziałem prawników, i zapisz uzasadnienie.

Wsparcie istnieje po obu stronach. ENISA prowadzi punkt pomocy, ze szczególnym uwzględnieniem MŚP, a CSIRTs wyznaczone jako koordynatorzy również mają obowiązek zapewnić wsparcie w zakresie obowiązków z art. 14. ENISA przekazuje też usunięte podatności do bazy European Vulnerability Databaseoraz publikuje co dwa lata techniczne sprawozdanie o tendencjach; pierwsze ma powstać w ciągu 24 miesięcy od rozpoczęcia stosowania obowiązków zgłoszeniowych. Art. 17(6)

Rozpowszechnianie zgłoszonej podatności może wstrzymać CSIRT, ale nie zgłaszający

CSIRT otrzymujący zgłoszenie może opóźnić dalsze rozpowszechnianie lub od niego odstąpić z uzasadnionych względów cyberbezpieczeństwa, przez okres ściśle niezbędny; na przykład gdy podatność objęta jest procedurą skoordynowanego ujawniania. Komisja doprecyzowała warunki w rozporządzeniu delegowanym (UE) 2026/881, przyjętym 11 grudnia 2025 r.. Jeżeli CSIRT wstrzymuje zgłoszenie, musi niezwłocznie poinformować o tym ENISA, podając uzasadnienie oraz wskazując, kiedy dokona rozpowszechnienia.

Odrębnie, w szczególnie wyjątkowych okolicznościach można w zgłoszeniu 72-godzinnym zaznaczyć jedną z wąsko określonych przesłanek z art. 16(2) : że wykorzystywanie ogranicza się do państwa członkowskiego twojego CSIRT, że dalsze rozpowszechnienie byłoby sprzeczne z podstawowymi interesami tego państwa członkowskiego albo że rozpowszechnienie stwarza bezpośrednie wysokie ryzyko dla cyberbezpieczeństwa. W takim przypadku ENISA otrzymuje wyłącznie ograniczone informacje (o dokonaniu zgłoszenia, ogólne informacje o produkcie, ogólny charakter sposobu wykorzystania oraz o powołaniu się na względy bezpieczeństwa) do czasu udostępnienia pełnego zgłoszenia przez CSIRT.

05Rejestracja na platformie

Wytyczne ENISA dotyczące rejestracji, opatrzone nową datą 10 września 2026 r., oraz jej wytyczne dotyczące interfejsu, opatrzone nową datą 9 września 2026 r., pokazują rzeczywiste ekrany. Rejestracja została otwarta wraz z platformą 11 września 2026 r., więc jest to teraz ścieżka, którą można faktycznie przejść, a nie tylko o niej przeczytać. ENISA prosi jednak, aby nie rejestrować się prewencyjnie, z powodu wskazanego poniżej, co czyni wcześniejszą znajomość ścieżki raczej bardziej użyteczną niż mniej: za pierwszym razem możesz ją przechodzić przy biegnącym zegarze 24 godzin.

Wyznacz dwie osoby, zanim będą potrzebne

Platforma udostępnia każdemu producentowi dwa rodzaje kont użytkownika, a o tym, kto je obejmie, można zdecydować już dziś. Główny przedstawiciel rejestruje się jako pierwszy i tworzy wpis producenta na platformie. Następnie zaprasza zapasowego przedstawiciela, który pełni rolę rezerwową przy tym samym producencie i może składać zgłoszenia w jego imieniu. Obie osoby są imiennie wskazanymi pracownikami firmy. Ponieważ zgłoszenie składa się ręcznie, jedyna wyznaczona osoba, która akurat jest na urlopie, śpi albo odeszła z firmy, to realne ryzyko operacyjne; drugie miejsce należy więc traktować jako konieczne, a nie opcjonalne.

EU Login jest danymi uwierzytelniającymi, a obie osoby mogą je założyć już dziś

Konta na platformie uwierzytelnia się przez EU Login, wspólną usługę logowania Komisji Europejskiej stosowaną w jej systemach internetowych. Załóż jedno konto dla przedstawiciela głównego i jedno dla zapasowego pod adresem ecas.ec.europa.eu, używając służbowych adresów e-mail, które będą istnieć również za rok. Uwierzytelnianie wieloskładnikowe jest obowiązkowe: ENISA wymaga MFA na koncie EU Login przed pierwszym dostępem do platformy, więc jeżeli twoi ludzie mają już zwykłe konta EU Login, niech włączą MFA teraz, a nie w trakcie incydentu. Konta EU Login są osobiste, a ENISA nie prowadzi ponad nimi odrębnego uwierzytelniania korporacyjnego. Komisja wyjaśnia, czym jest EU Login i jak wpisuje się on w szersze ramy tożsamości, na swoich stronach poświęconych zaufanej tożsamości cyfrowej .

Przebieg rejestracji

Przy pierwszym wejściu na platformę wybierasz swoją rolę, wskazujesz z listy rozwijanej wyznaczony CSIRT , uwierzytelniasz się przez EU Login, czytasz i akceptujesz umowę prawną, potwierdzasz wstępnie wypełnione dane osobowe (imię, nazwisko, e-mail, nazwa prawna), a następnie wprowadzasz nazwę, adres i dodatkowe informacje producenta. Pominięcie obowiązkowego pola dotyczącego producenta blokuje dalsze kroki. Po zakończeniu status konta to "Active", a ty otrzymujesz rolę "AR Primary User" , otrzymujesz e-mail potwierdzający, a podmiot producenta zostaje utworzony na platformie.

The zapasowego przedstawiciel dołącza na podstawie zaproszenia e-mail od przedstawiciela głównego, potwierdza wstępnie wypełnione dane osobowe i dane producenta oraz zostaje zarejestrowany w roli "AR Backup User" przy tym samym producencie. Zaproszenie wygasa po 7 dniach, po czym wpis zostaje oznaczony jako "Invitation Expired" i trzeba wysłać nowe. Skonfiguruj konto zapasowe podczas tej samej sesji co główne; wygasłe zaproszenie odkryte w trakcie incydentu to problem, którego da się uniknąć.

CSIRT weryfikuje przedstawiciela ręcznie, ale nie blokuje to składania zgłoszeń

Ktoś musi potwierdzić, że dana osoba rzeczywiście może zgłaszać w imieniu danego producenta, a weryfikacja ta należy do CSIRT wyznaczonego jako koordynator, który ENISA skraca teraz jako CDaC. Jest to krok wykonywany ręcznie, procedura różni się w poszczególnych CSIRTs, a każdy CSIRT odpowiada za własne podejście. Co istotne, następuje ona po pierwszym wejściu na platformę i przebiega równolegle z twoim zgłoszeniem. W aktualizacji z 3 sierpnia 2026 r. ENISA rozwiała co do tego wątpliwości: walidacja przez CDaC nie jest warunkiem wstępnym wypełnienia obowiązku zgłoszeniowego wynikającego z CRA, a nie wpływa na możliwość składania zgłoszeń. Z konta niezwalidowanego nadal można złożyć zgłoszenie w terminie 24 godzin.

Właśnie dlatego ENISA zaleca rejestrację i rozpoczęcie walidacji dopiero wtedy, gdy zgłoszenie jest rzeczywiście potrzebne, zamiast rejestrowania z wyprzedzeniem całego rynku i zasypywania CSIRTs weryfikacjami na zapas. Przygotowanie z wyprzedzeniem obejmuje konta EU Login oraz decyzję o obsadzie obu miejsc, a nie samą rejestrację na platformie.

Jedno konto może obsługiwać kilku producentów

Te same wytyczne opisują kwestie porządkowe wokół dwóch stanowisk. Przedstawiciel główny zaprasza osobę zapasową za pomocą adresu e-mail, co tworzy wpis oznaczony "Pending Invitation" bez roli do czasu przyjęcia zaproszenia. Przedstawiciel zapasowy może wystąpić o awans na głównego, co trafia do CDaC do rozpatrzenia. ENISA sformalizowała to 17 września 2026 r., oznaczając pytanie 9 w FAQ jako „[ZAKTUALIZOWANE]” i stwierdzając, że przedstawiciel zapasowy (Secondary AR) „nie ma takich samych uprawnień administracyjnych jak przedstawiciel główny (Primary AR), ale może ubiegać się o rolę przedstawiciela głównego, z zastrzeżeniem przeglądu i zatwierdzenia przez wyznaczony CSIRT”. Każdy z nich może usunąć powiązanie, które zostaje wówczas oznaczone "Deleted". A jedno konto może mieć powiązania z kilkoma producentami, z których każde jest dodawane przez Association Management i każde weryfikowane osobno.

Ten ostatni punkt ma znaczenie dla grup z kilkoma podmiotami produkcyjnymi oraz dla firm działających na podstawie art. 18 na rzecz producentów mających siedzibę poza UE. To także miejsce, w którym najmocniej daje o sobie znać opisana niżej pułapka nazewnicza.

06Składanie zgłoszenia

Zgłaszanie odbywa się z poziomu pulpitu. Tworzysz zgłoszenie, a następnie na każdym etapie uzupełniasz ten sam wpis, zamiast składać trzy odrębne dokumenty. Każdy etap ma własną zakładkę i każdy można najpierw zapisać jako wersję roboczą. Pulpit można przeszukiwać według identyfikatora zgłoszenia, producenta lub tytułu, sortować według tytułu lub ostatniej aktualizacji oraz filtrować według państwa członkowskiego, rodzaju zgłoszenia albo flagi Action Required .

• Wczesne ostrzeżenieRozpocznij nowe zgłoszenie z poziomu pulpitu, wypełnij pola obowiązkowe i wybierz istniejącego producenta albo dodaj nowego. Po złożeniu zgłoszenie jest dostępne dla twojego wyznaczonego CSIRT oraz automatycznie dla ENISA. Potwierdzenia e-mail i powiadomienia trafiają do CSIRT, do ENISA oraz do każdego przedstawiciela zarejestrowanego przy tym producencie, a nie tylko do osoby, która złożyła zgłoszenie.
• 72 godzinyDostępne dopiero wtedy, gdy istnieje wczesne ostrzeżenie. Otwórz to samo zgłoszenie i wypełnij zakładkę 72-godzinną. ENISA otrzymuje je automatycznie, chyba że powołasz się na przesłanki z art. 16(2); wówczas wpis zostaje oznaczony jako "72h Submitted under PEC", a zakres widoczny dla ENISA jest ograniczony do czasu jego udostępnienia przez CSIRT.
• Sprawozdanie końcoweDostępne dopiero wtedy, gdy istnieją oba wcześniejsze etapy. ENISA otrzymuje je automatycznie, chyba że powołano się na przesłanki z art. 16(2).

Co jest obowiązkowe i kiedy

ENISA opublikowała, które pola są obowiązkowe na każdym etapie. Tabela dobrze koryguje rozpowszechnione przekonanie: wczesne ostrzeżenie w ciągu 24 godzin to alert, a nie postępowanie wyjaśniające.

• Po 24 godzinach; rodzaj i poziom zgłoszenia, nazwa producenta lub opiekuna, produkt oraz tytuł. W przypadku incydentów: czy podejrzewa się bezprawne lub nacechowane złymi zamiarami działania. Państwa członkowskie, w których produkt jest dostępny, są wymagane tylko wtedy, gdy dysponuje się już tą informacją.
• Po 72 godzinach; ogólny charakter podatności i sposobu jej wykorzystania, podjęte środki naprawcze lub ograniczające ryzyko oraz środki, które mogą podjąć użytkownicy. W przypadku incydentów: kiedy je wykryto i kiedy wystąpiły, wraz ze wstępną oceną. Tutaj oznacza się wrażliwość zgłoszenia.
• W sprawozdaniu końcowym; pełny opis, powaga i skutki, data udostępnienia środka naprawczego oraz szczegóły aktualizacji zabezpieczeń. W przypadku incydentów: prawdopodobna przyczyna źródłowa i bieżące działania ograniczające ryzyko.

Do pól opcjonalnych, które i tak warto wypełnić, należą CVE ID i EUVD ID, oba dostępne już od pierwszego etapu.

Każde pole ma limit znaków, a jedno z nich jest bardzo krótkie

Glosariusz SRP agencji ENISA, po raz pierwszy z rozmiarami pól w wersji 1.1 z 5 września 2026 r., a obecnie w wersji 1.3 z 10 września 2026 r., jest dokumentem ENISA, który podaje wielkość każdego okna. Twórz swoje wewnętrzne szablony pod te limity, zamiast odkrywać je o drugiej w nocy:

• 4000 znaków na pola opisowe: streszczenie, ogólne informacje o podatności lub incydencie, działania naprawcze, które mogą podjąć użytkownicy, pełne opisy dotkliwości i skutków, ocenę wstępną, a w przypadku incydentów zastosowane i trwające działania ograniczające.
• 2000 znaków na działania naprawcze lub ograniczające, które już podjąłeś, oraz na szczegóły aktualizacji zabezpieczeń lub działania naprawczego w raporcie końcowym.
• 800 znaków na uzasadnienie w polu tekstowym towarzyszące wnioskowi PEC przy 72-godzinnym zgłoszeniu podatności.
• 255 znaków na tytuł, nazwę produktu, zakres wersji produktu, nazwę komponentu, wektor ataku, uzasadnienie wrażliwości i prawdopodobną przyczynę źródłową.
• 100 znaków na złośliwego aktora, który wykorzystał podatność. To mniej więcej jeden wiersz, więc zaplanuj wskazanie nazwy aktora lub odesłanie do wskaźnika, a nie opis kampanii.

Glosariusz potwierdza też drobne udogodnienie: pole Państwa członkowskie, w których produkt jest dostępny jest wstępnie wypełnione twoim własnym koordynującym CSIRT, a pozostałe rynki dodajesz samodzielnie.

Edycja i punkt bez powrotu

Złożone zgłoszenie można zaktualizować, a platforma automatycznie wysyła powiadomienie i e-mail do twojego CSIRT oraz do ENISA i do tych CSIRTs, które otrzymały je już w ramach rozpowszechnienia. Obowiązują dwa ograniczenia: zamkniętego nie można zaktualizować, a wpis staje się nieedytowalny po złożeniu sprawozdania końcowego.

Obserwuj zakładkę alertów, także w weekend

Każde konto ma zakładkę Alerts , oznaczoną kolorami: nieprzeczytane alerty są jasnoniebieskie i po otwarciu szarzeją, a czerwone alerty pojawiają się tylko wtedy, gdy wydarzyło się coś wyjątkowego. Przykład podany przez ENISA to wyznaczony CSIRT, który unieważnił zgłoszenie. Złożenie zgłoszenia nie jest więc końcem wymiany informacji, a żaden termin z art. 14 nie ulega przesunięciu dlatego, że zgłoszenie do ciebie wróciło. Osoba, która obserwuje tę zakładkę, musi robić to również poza godzinami pracy, co jest kolejnym argumentem za monitorowaną skrzynką zespołową za oboma stanowiskami zamiast dwóch adresów osobistych.

72-godzinny licznik platformy nie liczy od powzięcia wiedzy

FAQ ujawnia, jak faktycznie zachowują się liczniki na ekranie, i nie odpowiadają one terminowi prawnemu. ENISA zaktualizowała FAQ 10 września 2026 r., dzień przed otwarciem, i pozostawiła tę odpowiedź bez zmian, więc zachowanie opisane tutaj jest zachowaniem, które faktycznie uruchomiono. W obecnym wydaniu 72-godzinny licznik pokazuje termin przypadający 48 godzin po złożeniu zgłoszenia 24-godzinnego, a nie 72 godziny od powzięcia przez ciebie wiedzy. ENISA stwierdza wprost, że zgłoszenie może w związku z tym wyglądać na przeterminowane przed upływem 72 godzin od powzięcia wiedzy, a także że logika ta zostanie zmieniona w późniejszym wydaniu, tak aby liczyć od pola „data i godzina powzięcia przez ciebie wiedzy”, zarówno dla podatności, jak i dla incydentów.

Liczniki sprawozdania końcowego zachowują się jeszcze inaczej. W przypadku poważnego incydentu licznik pokazuje jeden miesiąc po zgłoszeniu 72-godzinnym. W przypadku aktywnie wykorzystywanej podatności nie ma licznika w ogóle, ponieważ termin zależy od tego, kiedy dostępny stanie się środek naprawczy, czego platforma nie może wiedzieć.

W chwili uruchomienia platforma nie rejestruje momentu powzięcia wiedzy

W dniu 5 września 2026 r. ENISA zaktualizowała swój opracowany pole po polu Glosariusz SRP do wersji 1.1, a dwa przypisy w nim znaczą więcej niż cokolwiek innego na tej stronie. W przypadku aktywnie wykorzystywanej podatności pole Date/time when you become aware opatrzone jest uwagą, że będzie dostępne w kolejnym wydaniu platformy. W przypadku poważnego incydentu uwaga mówi, że w obecnym wydaniu równoważne pole nosi nazwę Date/time the incident was detected.

Zestawione z logiką liczników opisaną wyżej, zamyka to pewien krąg. FAQ zapowiadał, że licznik 72-godzinny zostanie poprawiony, gdy pojawi się pole powzięcia wiedzy; glosariusz mówił, że pole to pojawi się w późniejszym wydaniu. Żadne z nich nie drgnęło przed otwarciem: ENISA ponownie zrewidowała glosariusz do wersji 1.3 w dniu 10 września 2026 r. i pozostawiła oba przypisy nietknięte. Zatem od pierwszego dnia platforma w ogóle nie zapisuje znacznika powzięcia wiedzy dla podatności, a dla incydentów zapisuje moment wykrycia, który nie jest momentem powzięcia wiedzy.

07Co można zrobić już dziś

Dotrzymanie okna 24 godzin to problem operacyjny, a nie papierkowy. Teraz, gdy platforma jest otwarta, poniższa lista nie jest już przygotowaniem do przyszłego zdarzenia; obowiązek biegnie, a wszystko tutaj, czego nie zrobiłeś, jest ekspozycją, a nie planem.

• Załóż konta EU Login z włączonym MFA. Dla głównego zgłaszającego i co najmniej jednej osoby zapasowej. Zajmuje to kilka minut pod adresem ecas.ec.europa.eu, a platforma nikogo nie wpuści bez uwierzytelniania wieloskładnikowego, więc jego włączenie jest częścią zadania, a nie jego udoskonaleniem.
• Ustal swój wyznaczony CSIRT. ENISA opublikowała listę koordynatorów dla wszystkich 27 państw członkowskich w dniu 4 września 2026 r., więc to zadanie można już domknąć. Zastosuj test głównej jednostki organizacyjnej z art. 14(7), wybierz swój wiersz i zapisz uzasadnienie.
• Zbuduj wewnętrzny formularz 24-godzinny. Krótki szablon odpowiadający obowiązkowym polom wczesnego ostrzeżenia według ENISA, tak aby pierwsze rzeczywiste zgłoszenie polegało na przepisaniu, a nie na redagowaniu. Trzymaj go w miejscu, które mogą otworzyć obaj przedstawiciele, ponieważ wersje robocze na platformie widzi wyłącznie ich autor.
• Wskaż osoby imiennie, także poza godzinami pracy. Zdecyduj, kto ocenia, że zgłoszenie jest wymagane, kto je redaguje i kto je składa. Ponieważ nie ma API, ostatnim krokiem jest konkretny człowiek przy klawiaturze.
• Utrzymuj rzetelny SBOM. Nie da się zgłosić komponentu, o którego dostarczeniu się nie wiedziało. Prowadź zestawienie komponentów oprogramowania i aktualizuj je wraz z kolejnymi wydaniami.
• Monitoruj je w sposób ciągły. Porównuj swoje komponenty ze źródłami znanych podatności, tak aby aktywnie wykorzystywana luka ujawniła się w ciągu godzin, a nie tygodni. Nasz SBOM i analizator podatności zestawia twój wykaz komponentów z NVD i unijną bazą podatności (EUVD).
• Potwierdź, co faktycznie jest objęte zakresem. Na etapie 72-godzinnym wymagane są rodzaj produktu oraz kategoria z załącznika III lub IV, więc ustal klasyfikację, zanim będzie potrzebna. Narzędzie do klasyfikacji odpowiada na to pytanie, podobnie jak macierz zgodności łączy zgłaszanie z szerszymi obowiązkami w zakresie obsługi podatności z Annex I, w ramach których się mieści.
• Zdecyduj, kto czyta zakładkę alertów poza godzinami pracy. Wyznaczony CSIRT może unieważnić zgłoszenie, a powiadomienie o tym trafia na platformę, a nie tylko do twojej skrzynki. Za oboma stanowiskami przedstawicieli postaw monitorowaną skrzynkę pocztową.
• Nie polegaj na odliczaniu na platformie. Sam odnotuj znacznik czasu powzięcia wiedzy. Widoczny na ekranie licznik 72-godzinny biegnie od złożenia zgłoszenia 24-godzinnego, a nie od powzięcia wiedzy, więc może oznaczyć zgłoszenie jako przeterminowane, zanim upłynie termin prawny.
• Read the AR User Manual, and watch the tutorial video. ENISA published the manual at launch and added the AR User Tutorial Video within days, so between the two, plus the guidance pages, you have the fullest available description of the live platform.
• Przed złożeniem zgłoszenia sprawdź, czy wybrałeś właściwego koordynatora. ENISA ostrzega teraz, że wybór niewłaściwego CSIRT wyznaczonego jako koordynator może doprowadzić do unieważnienia zgłoszenia, a wtedy trzeba je złożyć ponownie do właściwego, przy nadal biegnącym zegarze.

08Śledź to u źródła

Ta strona odzwierciedla stan na 11 września 2026 r., dzień otwarcia platformy. Stan ten będzie się dalej zmieniał, a ENISA edytuje swoje strony po cichu, zamiast ogłaszać każdą zmianę. W tygodniu przed uruchomieniem FAQ został przepisany 4 września 2026 r. i ponownie zaktualizowany 10 września 2026 r., lista koordynatorów pojawiła się 4 września 2026 r. i otrzymała nową datę 10 września 2026 r., glosariusz osiągnął wersję 1.1 w dniu 5 września 2026 r. i wersję 1.3 w dniu 10 września 2026 r., wytyczne dotyczące szczególnie wyjątkowych okoliczności pojawiły się 9 września 2026 r., a AR User Manual i warunki korzystania z platformy zostały opublikowane 10 września 2026 r. Od uruchomienia FAQ zostało ponownie zaktualizowane 12 września 2026 r. (wideo instruktażowe dla użytkowników AR zostało udostępnione, a arkusz informacyjny SRP ukazał się w kolejnych dziewięciu językach) oraz 17 września 2026 r., gdy pytanie 9 oznaczono jako „[ZAKTUALIZOWANE]”, aby udokumentować, że przedstawiciel zapasowy (Secondary AR) może ubiegać się o rolę przedstawiciela głównego, z zastrzeżeniem przeglądu przez CDaC. W sprawach wsparcia ENISA publikuje na stronie głównej zagadnienia adres punktu pomocy, cra-srp-helpdesk [at] enisa.europa.eu. To są źródła pierwotne; wszystko powyżej jest naszym ich odczytaniem.

• ENISA · Sama jednolita platforma zgłoszeniowa (działa od 11 września 2026 r.); wybierz rolę Assigned Representative i zaloguj się przez EU Login z uwierzytelnianiem wieloskładnikowym. To tutaj składa się zgłoszenia.portal.cra-srp.enisa.europa.eu
• ENISA · jednolita platforma zgłoszeniowa; strona główna zagadnienia, z arkuszem informacyjnym, podręcznikiem użytkownika, adresem punktu pomocy i odnośnikami do każdej strony z wytycznymi.enisa.europa.eu/topics/product-security/single-reporting-platform-srp
• ENISA · Często zadawane pytania dotyczące SRP (zaktualizowane 10 września 2026 r.); podstawa prawna, terminy, kierowanie zgłoszeń, tabela pól, logika liczników, postępowanie w razie przerwy w dostępności oraz adres platformy. Przepisane 4 września i rozszerzone dzień przed uruchomieniem. Najbardziej aktualna ze stron ENISA poświęconych SRP i ta, którą należy preferować w razie sprzeczności.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions
• ENISA · CRA SRP AR User Manual (10 września 2026 r.); podręcznik z dnia uruchomienia dla Assigned Representatives i najpełniejszy pojedynczy opis platformy w kształcie, w jakim faktycznie została otwarta.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-ar-user-manual
• ENISA · Wykaz CSIRTs wyznaczonych jako koordynatorzy (opublikowany 4 września 2026 r., zaktualizowany 10 września 2026 r.); punkty kontaktowe dla wszystkich 27 państw członkowskich. Ustal swój wiersz przy użyciu testu z art. 14(7) opisanego w sekcji 04.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/list-of-csirts-designated-as-coordinators
• ENISA · Glosariusz SRP dla CRA (wersja 1.3, 10 września 2026 r.); wytyczne pole po polu: co oznacza każde pole zgłoszenia, jak je wypełnić, jaki format jest oczekiwany, jaki ma limit znaków i na jakim etapie ma zastosowanie. Zwróć uwagę na adres: ENISA przeniosła glosariusz pod adres glossary2 i stary nadal jest linkowany z niektórych jej własnych stron, więc sprawdź wiersz wersji na górze, zanim zaufasz kopii.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-glossary2
• ENISA · wytyczne dotyczące rejestracji użytkowników SRP; przebieg rejestracji krok po kroku dla użytkowników głównych i rezerwowych, ze zrzutami ekranu interfejsu.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-user-registration
• ENISA · wytyczne dotyczące składania zgłoszeń w SRP; jak składa się i aktualizuje wczesne ostrzeżenie, zgłoszenie 72-godzinne i sprawozdanie końcowe oraz co uruchamia każdy ze statusów.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-notification-submission-and-update
• ENISA · Wytyczne dotyczące funkcji interfejsu SRP (9 września 2026 r.); ustawienia, powiązania z producentami, pulpit i zakładka alertów. Otrzymała nową datę w samym dniu uruchomienia i jest teraz zgodna z FAQ co do tego, że niezweryfikowane powiązanie może złożyć do 20 zgłoszeń.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-interface-functions
• ENISA · Warunki korzystania z CRA SRP (wersja 1.0, 10 września 2026 r.); warunki, które akceptujesz przy rejestracji na platformie, opublikowane dzień przed jej otwarciem.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-single-reporting-platform-terms-and-conditions
• ENISA · Wytyczne SRP dotyczące szczególnie wyjątkowych okoliczności (9 września 2026 r.); kiedy stosuje się PEC, przełącznik i przyczyny opóźnienia w formularzu 72-godzinnym oraz co koordynujący CSIRT robi z uzasadnieniem. Piąta strona wytycznych i jedyna, która odnosi się do PEC bezpośrednio.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-particular-exceptional-circumstances-pec
• Komisja Europejska · obowiązki zgłoszeniowe na podstawie CRA; strona poświęcona polityce, wraz z FAQ dotyczącymi wdrażania CRA, których pkt 5 obejmuje zgłaszanie. Komisja zaktualizowała tę stronę 11 września 2026 r., potwierdzając, że platforma jest już operacyjna, a odrębny dokument FAQ Komisji był ostatnio aktualizowany 4 września 2026 r.digital-strategy.ec.europa.eu/en/policies/cra-reporting
• Komisja Europejska · wytyczne dotyczące stosowania CRA (27 lipca 2026 r.); pkt 9.1 określa obowiązki zgłoszeniowe producentów i opiekunów oprogramowania open source. Nasze podsumowanie wytycznych obejmuje resztę.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
• EU Login; załóż konto, z którego korzysta platforma, i włącz na nim uwierzytelnianie wieloskładnikowe. Zrób to teraz.ecas.ec.europa.eu/cas/login

Jeśli chodzi o tekst wiążący, art. 14 do 17 opisują ekosystem zgłaszania, a art. 16 ustanawia platformę; przeczytaj je w naszym czytniku rozporządzenia. Daty kluczowych etapów śledzimy na stronie stan prac .

09Najczęstsze pytania