Raportarea incidentelor și vulnerabilităților în conformitate cu CRA

01Ce trebuie raportat

Articolul 14 din Actul privind reziliența cibernetică creează două obligații de raportare pentru fabricanții de produse cu elemente digitale. Acestea sunt mai restrânse decât par la prima vedere: erorile de rutină și corecțiile obișnuite nu intră în domeniul de aplicare. Art. 14

• Vulnerabilități exploatate activ; o vulnerabilitate a produsului dumneavoastră pentru care există dovezi fiabile că un actor rău-intenționat a exploatat-o într-un sistem fără permisiunea proprietarului. O vulnerabilitate pe care o descoperiți și o remediați înainte de a fi exploatată este tratată prin procesul dumneavoastră obișnuit de procesul de gestionare a vulnerabilităților, nu prin acest canal de raportare.
• Incidente grave; un incident care afectează negativ sau este susceptibil să afecteze negativ capacitatea produsului de a proteja disponibilitatea, autenticitatea, integritatea sau confidențialitatea datelor ori a funcțiilor. Criteriile de gravitate se regăsesc la articolul 14(5).

Obligațiile nu se limitează la fabricanții comerciali. Administratorii de software cu sursă deschisă au propriile obligații de raportare în măsura în care sunt implicați în produse cu elemente digitale. Art. 24(3)

02Cele trei termene

Fiecare raport se desfășoară în trei etape, măsurate din momentul în care luați cunoștință de vulnerabilitatea exploatată sau de incidentul grav. Termenele sunt strânse, motiv pentru care pregătirea contează. Art. 14(2)–(4)

• În termen de 24 hAvertisment timpuriu. O primă notificare privind faptul că a survenit o vulnerabilitate exploatată activ sau un incident grav, inclusiv, în cazul incidentelor, dacă se suspectează că acesta a fost cauzat de acte ilegale sau rău-intenționate.
• În termen de 72 hNotificare privind vulnerabilitatea / incidentul. O relatare mai amplă: natura generală a vulnerabilității și a exploatării, o evaluare inițială, precum și măsurile corective sau de atenuare luate, plus cele pe care le pot lua utilizatorii.
• Raport finalRaport final. Pentru o vulnerabilitate, cel târziu la 14 zile după ce devine disponibilă o măsură corectivă sau de atenuare. Pentru un incident grav, în termen de o lună de la notificarea de 72 de ore. Acesta prezintă descrierea completă, gravitatea, impactul și remedierea aplicată.

Observați asimetria din ultimul rând: termenul pentru vulnerabilități este declanșat de existența unei remedieri, iar cel pentru incidente de notificarea anterioară. Sunt mecanisme diferite și merită consemnate separat în procedura dumneavoastră operațională.

03Când începe

Obligațiile de raportare reprezintă cea mai timpurie parte majoră a CRA care intră în vigoare. În timp ce majoritatea dispozițiilor se aplică de la 11 decembrie 2027, Articolul 14 se aplică de la 11 septembrie 2026; la 21 de luni de la intrarea în vigoare a actului. ENISA a deschis Platforma unică de raportare chiar la aceeași dată. Art. 71

04Cui raportați

Rapoartele se transmit la ENISA și la CSIRT desemnat ca coordonator, printr-un punct unic de intrare, iar nu prin transmiteri separate către fiecare autoritate națională. Acel punct de intrare este Platforma unică de raportare, pe care ENISA o instituie, o administrează și o menține în temeiul articolului 16. Art. 14 · 16

Care CSIRT vă revine depinde de sediul principal din Uniune sau, în cazul în care nu sunteți stabilit în UE, de sediul pe care îl are reprezentantul autorizat. CSIRT destinatar transmite mai departe notificarea către CSIRT din statele membre în care produsul este disponibil și, după caz, către autoritățile de supraveghere a pieței. Art. 14(7) · 18

Lista coordonatorilor a fost publicată la 4 septembrie 2026

Până la 4 septembrie 2026 nu exista niciun răspuns publicat la cea mai practică întrebare de pe această pagină: ce echipă națională primește efectiv depunerea dumneavoastră. ENISA a publicat acum o listă a CSIRT-urilor desemnate drept coordonatoare care oferă una sau mai multe adrese de contact pentru fiecare dintre cele 27 de state membre, și a redatat-o la 10 septembrie 2026, așa că verificați din nou rândul dumneavoastră înainte de a vă baza pe o copie luată mai devreme. Irlanda trimite la o pagină NCSC dedicată CRA; Spania oferă două căi INCIBE separate, una pentru incidente și una pentru coordonarea vulnerabilităților.

Lista vă spune cine este coordonatorul fiecărui stat membru. Nu vă spune care este al dumneavoastră, iar testul de la articolul 14(7) este mai restrâns decât presupun majoritatea organizațiilor. sediul principal al dumneavoastră este statul membru în care deciziile privind securitatea cibernetică a produselor dumneavoastră cu elemente digitale sunt luate în mod predominant, care poate fi un centru de dezvoltare, mai degrabă decât un sediu social sau cea mai mare operațiune comercială. Atunci când acest lucru nu poate fi determinat, soluția subsidiară este statul membru în care aveți cel mai mare număr de angajați din UE. În lipsa oricărui sediu în UE, ordinea este următoarea: statul membru în care reprezentantul dumneavoastră autorizat acționează pentru cele mai multe produse, apoi importatorul care introduce pe piață cele mai multe produse, apoi distribuitorul care pune la dispoziție cele mai multe și, în final, statul membru cu cei mai mulți utilizatori. Întrucât acest lucru fixează destinatarul pentru orice depunere viitoare, clarificați-l din timp, cu aport juridic, și consemnați raționamentul.

Sprijinul există de ambele părți. ENISA operează un serviciu de asistență, cu o atenție deosebită acordată IMM-urilor, iar CSIRT desemnate drept coordonatoare sunt de asemenea obligate să ofere asistență privind obligațiile prevăzute la articolul 14. ENISA alimentează totodată cu vulnerabilitățile remediate Baza de date europeană privind vulnerabilitățileși publică o dată la doi ani un raport tehnic privind tendințele, primul fiind așteptat în termen de 24 de luni de la începerea aplicării obligațiilor de raportare. Art. 17(6)

Difuzarea unei vulnerabilități raportate poate fi suspendată de CSIRT, dar nu de dumneavoastră

CSIRT destinatar poate amâna sau reține transmiterea ulterioară din motive justificate de securitate cibernetică, pentru o perioadă strict necesară; de exemplu, atunci când o vulnerabilitate face obiectul unei proceduri de divulgare coordonată. Comisia a precizat condițiile în Regulamentul delegat (UE) 2026/881, adoptat la 11 decembrie 2025. Atunci când un CSIRT reține o notificare, acesta trebuie să informeze imediat ENISA, cu o justificare și cu o indicație privind momentul în care o va difuza.

Separat, în circumstanțe cu totul excepționale, puteți marca una dintre condițiile restrânse prevăzute la articolul 16(2) în notificarea dumneavoastră de 72 de ore: că exploatarea este limitată la statul membru al CSIRT-ului dumneavoastră, că difuzarea ulterioară ar fi contrară intereselor esențiale ale statului membru respectiv sau că difuzarea prezintă un risc iminent și ridicat de securitate cibernetică. În acest caz, ENISA primește doar informații limitate (faptul că a fost făcută o notificare, informații generale despre produs, natura generală a exploatării și faptul că au fost invocate motive de securitate) până când CSIRT eliberează notificarea integrală.

05Înregistrarea pe platformă

Îndrumările ENISA privind înregistrarea, redatate 10 septembrie 2026, și îndrumările sale privind interfața, redatate 9 septembrie 2026, arată ecranele reale. Înregistrarea s-a deschis odată cu platforma la 11 septembrie 2026, așa că acesta este acum un parcurs pe care îl puteți străbate efectiv, nu doar unul despre care citiți. Cu toate acestea, ENISA vă cere să nu vă înregistrați preventiv, din motivul expus mai jos, ceea ce face ca cunoașterea prealabilă a parcursului să fie mai degrabă mai utilă decât mai puțin utilă: prima dată când îl urmați s-ar putea foarte bine să fie sub un ceas de 24 de ore.

Desemnați două persoane înainte de a avea nevoie de ele

Platforma oferă fiecărui fabricant două tipuri de cont de utilizator, iar cine le ocupă puteți decide chiar astăzi. Un reprezentant principal se înregistrează primul și creează înregistrarea fabricantului pe platformă. Persoana respectivă invită apoi un reprezentant secundar , care deține un rol de rezervă pentru același fabricant și poate depune notificări în numele acestuia. Ambii sunt persoane fizice desemnate nominal în cadrul companiei dumneavoastră. Întrucât transmiterea este manuală, un singur raportor desemnat care se află în concediu, doarme sau a plecat din companie reprezintă un risc operațional real, așa că tratați al doilea loc ca fiind necesar, nu opțional.

EU Login este mijlocul de autentificare, iar ambele persoane îl pot crea astăzi

Conturile de pe platformă se autentifică prin EU Login, serviciul comun de autentificare al Comisiei Europene, utilizat în ansamblul sistemelor sale online. Creați unul pentru reprezentantul principal și unul pentru cel secundar la ecas.ec.europa.eu, folosind adrese de e-mail de serviciu care vor exista și peste un an. Autentificarea cu mai mulți factori este obligatorie: ENISA impune MFA pe contul EU Login înainte de primul acces la platformă, așa că, dacă oamenii dumneavoastră au deja conturi EU Login simple, puneți-i să activeze MFA acum, nu în timpul unui incident. Conturile EU Login sunt personale, iar ENISA nu operează deasupra lor o autentificare corporativă separată. Comisia explică ce este EU Login și cum se încadrează în cadrul său mai amplu privind identitatea, pe paginile sale despre identitatea digitală de încredere .

Fluxul de înregistrare

La prima accesare a platformei vă selectați rolul, alegeți CSIRT-ul desemnat dintr-o listă derulantă, vă autentificați prin EU Login, citiți și acceptați acordul juridic, confirmați datele personale precompletate (prenume, nume, e-mail, denumire legală), apoi introduceți denumirea, adresa și informațiile suplimentare ale fabricantului. Omiterea unui câmp obligatoriu referitor la fabricant blochează fluxul. La finalizare, statusul contului dumneavoastră este "Active" și dețineți rolul "AR Primary User" și primiți un e-mail de confirmare, iar entitatea fabricantului este creată în platformă.

The secundar reprezentant se alătură printr-o invitație prin e-mail din partea celui principal, confirmă datele personale și cele ale fabricantului precompletate și este înregistrat în rolul "AR Backup User" pentru același fabricant. Invitația respectivă expiră după 7 zile, după care înregistrarea este marcată "Invitation Expired" și trebuie trimisă una nouă. Configurați rezerva în aceeași sesiune cu reprezentantul principal; o invitație expirată descoperită în mijlocul unui incident este o problemă care poate fi evitată.

CSIRT vă verifică reprezentantul manual, dar acest lucru nu vă împiedică să depuneți notificări

Cineva trebuie să confirme că o anumită persoană poate într-adevăr raporta în numele unui anumit fabricant, iar această verificare revine CSIRT-ului desemnat drept coordonator, pe care ENISA îl prescurtează acum CDaC. Este un pas manual, procedura variază de la un CSIRT la altul, iar fiecare CSIRT își stabilește propria abordare. Esențial este că aceasta are loc după prima dumneavoastră accesare a platformei și se desfășoară în paralel cu raportul dumneavoastră. În actualizarea sa din 3 august 2026 ENISA a lămurit acest aspect fără dubiu: validarea de către CDaC nu este o condiție prealabilă pentru îndeplinirea obligației de raportare din CRA, iar aceasta nu vă afectează capacitatea de a transmite notificări. Un cont nevalidat poate depune notificări în intervalul de 24 de ore.

Acesta este și motivul pentru care ENISA recomandă înregistrarea și inițierea validării abia atunci când aveți efectiv nevoie să depuneți o notificare, în loc de o preînregistrare a întregii piețe care ar copleși CSIRT-urile cu verificări speculative. Pregătirea pe care o faceți în avans constă în conturile EU Login și în decizia privind cine ocupă cele două locuri, nu în înregistrarea propriu-zisă pe platformă.

Un singur cont poate acoperi mai mulți fabricanți

Aceleași îndrumări descriu aspectele administrative din jurul celor două poziții. Un reprezentant principal invită o rezervă printr-o adresă de e-mail, ceea ce creează o înregistrare marcată "Pending Invitation" fără rol până când este acceptată. Un reprezentant secundar poate solicita promovarea la rolul principal, cerere care ajunge la CDaC pentru examinare. ENISA a formalizat acest lucru la 17 septembrie 2026, marcând întrebarea 9 din FAQ ca „[ACTUALIZATĂ]” pentru a preciza că un AR secundar „nu are aceleași permisiuni administrative ca AR-ul principal, dar poate revendica rolul de AR principal, sub rezerva examinării și aprobării de către CSIRT-ul desemnat”. Oricare dintre ei poate elimina o asociere, care este apoi marcată "Deleted". Iar un singur cont poate avea asocieri cu mai mulți fabricanți, fiecare adăugată prin Association Management și fiecare verificată separat.

Acest ultim aspect contează pentru grupurile cu mai multe entități de fabricație și pentru firmele care acționează în temeiul articolului 18 pentru fabricanți stabiliți în afara UE. Tot acolo mușcă cel mai tare și capcana denumirilor descrisă mai jos.

06Depunerea unui raport

Raportarea se face dintr-un tablou de bord. Creați o notificare, apoi completați aceeași înregistrare la fiecare etapă, în loc să depuneți trei documente separate. Fiecare etapă are propria filă și fiecare poate fi salvată mai întâi ca proiect. Tabloul de bord poate fi căutat după identificatorul notificării, după fabricant sau după titlu, sortat după titlu sau după ultima actualizare și filtrat după statul membru, după tipul depunerii sau după indicatorul Action Required .

• Avertisment timpuriuÎncepeți o notificare nouă din tabloul de bord, completați câmpurile obligatorii și selectați un fabricant existent sau adăugați unul. La transmitere, aceasta este accesibilă CSIRT-ului dumneavoastră desemnat și, automat, ENISA. Confirmările prin e-mail și prin alertă ajung la CSIRT, la ENISA și la fiecare reprezentant înregistrat pentru fabricantul respectiv, nu numai la persoana care a transmis notificarea.
• 72 de oreDisponibilă numai după ce există un avertisment timpuriu. Deschideți aceeași notificare și completați fila de 72 de ore. ENISA o primește automat, cu excepția cazului în care invocați condițiile de la articolul 16(2), caz în care înregistrarea este marcată "72h Submitted under PEC", iar accesul ENISA este limitat până când CSIRT o eliberează.
• Raport finalDisponibil doar după ce există ambele etape anterioare. ENISA îl primește automat, cu excepția cazului în care au fost invocate condițiile de la articolul 16(2).

Ce este obligatoriu și când

ENISA a publicat lista câmpurilor obligatorii la fiecare etapă. Tabelul corectează util o presupunere larg răspândită: avertismentul timpuriu de 24 de ore este o alertă, nu o investigație.

• La 24 de ore; tipul și nivelul notificării, denumirea fabricantului sau a administratorului, produsul și un titlu. În cazul incidentelor, dacă se suspectează acte ilegale sau rău-intenționate. Statele membre în care produsul este disponibil sunt solicitate numai dacă dispuneți deja de această informație.
• La 72 de ore; natura generală a vulnerabilității și a exploatării, măsurile corective sau de atenuare luate și măsurile pe care le pot lua utilizatorii. În cazul incidentelor, momentul detectării și momentul producerii, plus o evaluare inițială. Caracterul sensibil se semnalează aici.
• La raportul final; descrierea completă, gravitatea și impactul, data la care a devenit disponibilă o măsură corectivă și detalii privind actualizarea de securitate. În cazul incidentelor, cauza rădăcină probabilă și măsurile de atenuare în curs.

Printre câmpurile opționale pe care merită totuși să le completați se numără CVE ID și EUVD ID, ambele disponibile încă din prima etapă.

Fiecare câmp are o limită de caractere, iar unul dintre ele este foarte scurt

Glosarul SRP al ENISA, cu dimensiunile câmpurilor publicate pentru prima dată în versiunea 1.1 din 5 septembrie 2026 și aflat acum la versiunea 1.3 din 10 septembrie 2026, este documentul ENISA care publică dimensiunea fiecărei casete. Redactați-vă șabloanele interne în funcție de aceste limite, în loc să le descoperiți la două noaptea:

• 4000 de caractere pentru câmpurile descriptive: rezumatul, informațiile generale despre vulnerabilitate sau incident, măsurile corective pe care le pot lua utilizatorii, descrierile complete ale gravității și impactului, evaluarea inițială și, pentru incidente, măsurile de atenuare aplicate și în curs.
• 2000 de caractere pentru măsurile corective sau de atenuare pe care le-ați luat deja și pentru detaliile actualizării de securitate sau ale măsurii corective din raportul final.
• 800 de caractere pentru justificarea în text liber care însoțește o cerere PEC la notificarea de vulnerabilitate de 72 de ore.
• 255 de caractere pentru titlu, denumirea produsului, intervalul de versiuni ale produsului, denumirea componentei, vectorul de atac, justificarea sensibilității și cauza-rădăcină probabilă.
• 100 de caractere pentru actorul rău-intenționat care a exploatat vulnerabilitatea. Este aproximativ un rând, așa că planificați să numiți actorul sau să trimiteți la o referință de indicator, în loc să descrieți campania.

Glosarul confirmă și o mică înlesnire: câmpul Statele membre în care produsul este disponibil este precompletat cu propriul dumneavoastră CSIRT coordonator, urmând să adăugați singuri celelalte piețe.

Modificarea și punctul fără întoarcere

O notificare transmisă poate fi actualizată, iar platforma trimite automat o alertă și un e-mail către CSIRT-ul dumneavoastră, precum și către ENISA și către orice CSIRT care a primit-o deja prin difuzare. Se aplică două limite: o notificare închisă nu mai poate fi actualizată, iar înregistrarea devine needitabilă din momentul în care raportul final este transmis.

Urmăriți fila de alerte, inclusiv în weekend

Fiecare cont are o filă Alerts , codificată pe culori: alertele necitite sunt albastru deschis și devin gri după deschidere, iar alertele roșii apar numai atunci când s-a întâmplat ceva excepțional. Exemplul dat de ENISA este un CSIRT desemnat care a invalidat o depunere. Prin urmare, depunerea nu este sfârșitul schimbului, iar niciun termen prevăzut la articolul 14 nu se decalează pentru că o notificare v-a fost returnată. Cine urmărește acea filă trebuie să o urmărească și în afara programului, ceea ce este un argument în plus pentru o cutie poștală de echipă monitorizată în spatele ambelor poziții de reprezentant, în locul a două adrese personale.

Contorul de 72 de ore al platformei nu curge de la luarea la cunoștință

Întrebările frecvente dezvăluie cum se comportă de fapt cronometrele afișate pe ecran și faptul că acestea nu urmăresc termenul legal. ENISA a actualizat întrebările frecvente la 10 septembrie 2026, cu o zi înainte de deschidere, și a lăsat acest răspuns neschimbat, astfel încât comportamentul descris aici este comportamentul care a intrat efectiv în funcțiune. În versiunea actuală, contorul de 72 de ore afișează o dată-limită la 48 de ore după transmiterea raportului de 24 de ore, nu la 72 de ore după ce ați luat cunoștință. ENISA afirmă clar că o notificare poate apărea, prin urmare, ca fiind restantă înainte să fi trecut 72 de ore de la luarea la cunoștință, și că logica va fi modificată într-o versiune ulterioară pentru a număra din câmpul "data și ora la care ați luat cunoștință", atât pentru vulnerabilități, cât și pentru incidente.

Contoarele pentru raportul final diferă din nou. În cazul unui incident grav contorul indică o lună de la notificarea de 72 de ore. În cazul unei vulnerabilități exploatate în mod activ nu există niciun contor, deoarece termenul depinde de momentul în care devine disponibilă o măsură corectivă, lucru pe care platforma nu îl poate cunoaște.

La lansare, platforma nu înregistrează momentul în care ați luat cunoștință

La 5 septembrie 2026 ENISA și-a înlocuit Glosarul SRP câmp cu câmp cu versiunea 1.1, iar două note de subsol din acesta contează mai mult decât orice altceva de pe pagină. Pentru o vulnerabilitate exploatată în mod activ, câmpul Date/time when you become aware poartă mențiunea că va fi disponibil în versiunea următoare a platformei. Pentru un incident grav, nota precizează că, în versiunea actuală, câmpul echivalent se numește Date/time the incident was detected.

Pus alături de logica contoarelor de mai sus, acest lucru închide un cerc. Întrebările frecvente spuneau că acest contor de 72 de ore va fi corectat odată ce apare câmpul privind luarea la cunoștință; glosarul spunea că acest câmp apare într-o versiune ulterioară. Niciunul dintre ele nu s-a schimbat înainte de deschidere: ENISA a revizuit din nou glosarul la versiunea 1.3 la 10 septembrie 2026 și a lăsat ambele note de subsol intacte. Așadar, din prima zi platforma nu înregistrează niciun moment al luării la cunoștință pentru vulnerabilități, iar pentru incidente înregistrează momentul detectării, care nu este momentul luării la cunoștință.

07Ce puteți face astăzi

Respectarea unei ferestre de 24 de ore este o problemă operațională, nu una de hârtii. Acum, că platforma este deschisă, lista de mai jos nu mai este o pregătire pentru un eveniment viitor; obligația curge, iar orice de aici pe care nu l-ați făcut este o expunere, nu un plan.

• Creați-vă conturile EU Login, cu MFA activat. Pentru raportorul principal și pentru cel puțin o rezervă. Durează câteva minute la ecas.ec.europa.eu, iar platforma nu va lăsa pe nimeni să intre fără autentificare cu mai mulți factori, așa că activarea acesteia face parte din sarcină, nu este o rafinare a ei.
• Identificați-vă CSIRT-ul desemnat. ENISA a publicat lista coordonatorilor pentru toate cele 27 de state membre la 4 septembrie 2026, așa că aceasta este acum o sarcină pe care o puteți finaliza. Aplicați testul sediului principal de la articolul 14(7), identificați rândul dumneavoastră și consemnați raționamentul.
• Construiți intern formularul de 24 de ore. Un șablon scurt care să corespundă câmpurilor obligatorii ale avertismentului timpuriu stabilite de ENISA, astfel încât prima dumneavoastră depunere reală să fie o transcriere, nu o redactare. Păstrați-l undeva unde îl pot deschide ambii reprezentanți, pentru că proiectele din platformă sunt vizibile numai pentru cel care le-a creat.
• Numiți persoanele, inclusiv pentru orele din afara programului. Decideți cine apreciază că un raport este necesar, cine îl redactează și cine îl transmite. Întrucât nu există un API, ultimul pas este o persoană desemnată nominal, în fața unei tastaturi.
• Mențineți un SBOM exact. Nu puteți raporta cu privire la o componentă despre care nu știați că a fost livrată. Întrețineți o listă a componentelor software și păstrați-o actualizată pe măsură ce versiunile se schimbă.
• Monitorizați-o continuu. Comparați-vă componentele cu sursele de vulnerabilități cunoscute, astfel încât o breșă exploatată activ să iasă la iveală în câteva ore, nu în câteva săptămâni. Instrumentul nostru SBOM și analizator de vulnerabilități vă urmărește lista de componente în raport cu NVD și cu baza de date a UE privind vulnerabilitățile (EUVD).
• Confirmați ce intră efectiv în domeniul de aplicare. Etapa de 72 de ore solicită tipul produsului și categoria din anexa III sau IV, așa că stabiliți clasificarea înainte de a avea nevoie de ea. Instrumentul de clasificare răspunde la această întrebare, iar matricea de conformitate leagă raportarea de obligațiile mai ample de gestionare a vulnerabilităților din anexa I în cadrul cărora se înscrie.
• Decideți cine citește fila de alerte în afara programului. Un CSIRT desemnat poate invalida o depunere, iar alerta care anunță acest lucru ajunge în platformă, nu doar în cutia dumneavoastră poștală. Puneți o cutie poștală monitorizată în spatele ambelor poziții de reprezentant.
• Nu vă bazați pe numărătoarea inversă a platformei. Consemnați chiar dumneavoastră marcajul temporal al luării la cunoștință. Contorul de 72 de ore de pe ecran curge de la transmiterea raportului de 24 de ore, nu de la luarea la cunoștință, așa că poate marca o depunere ca restantă înainte ca termenul legal să fi expirat.
• Read the AR User Manual, and watch the tutorial video. ENISA published the manual at launch and added the AR User Tutorial Video within days, so between the two, plus the guidance pages, you have the fullest available description of the live platform.
• Verificați că ați ales coordonatorul corect înainte de a depune. ENISA avertizează acum că selectarea unui CSIRT desemnat ca coordonator greșit poate duce la invalidarea notificării, urmând să o depuneți din nou la cel corect, cu ceasul încă în funcțiune.

08Urmăriți informația la sursă

Această pagină reflectă situația de la 11 septembrie 2026, ziua în care platforma s-a deschis. Situația va continua să se schimbe, iar ENISA își editează paginile discret, în loc să anunțe fiecare modificare. În săptămâna dinaintea lansării, întrebările frecvente au fost rescrise la 4 septembrie 2026 și actualizat din nou la 10 septembrie 2026, lista coordonatorilor a apărut la 4 septembrie 2026 și a fost redatată la 10 septembrie 2026, glosarul a ajuns la versiunea 1.1 la 5 septembrie 2026 și la versiunea 1.3 la 10 septembrie 2026, îndrumările privind circumstanțele deosebit de excepționale au apărut la 9 septembrie 2026, iar AR User Manual și termenii și condițiile platformei au fost publicate la 10 septembrie 2026. De la lansare, întrebările frecvente au fost actualizate din nou la 12 septembrie 2026 (videoclipul tutorial pentru utilizatorii AR a devenit disponibil, iar fișa informativă SRP a fost publicată în încă nouă limbi) și la 17 septembrie 2026, când întrebarea 9 a fost marcată drept „[ACTUALIZATĂ]” pentru a documenta că un AR secundar poate revendica rolul de AR principal, sub rezerva examinării de către CDaC. Pentru întrebări de asistență, ENISA publică pe pagina centrală o adresă a serviciului de asistență, cra-srp-helpdesk [at] enisa.europa.eu. Acestea sunt sursele primare; tot ce este mai sus reprezintă lectura noastră asupra lor.

• ENISA · Platforma unică de raportare însăși (în funcțiune de la 11 septembrie 2026); selectați rolul Assigned Representative și autentificați-vă prin EU Login cu autentificare cu mai mulți factori. Aici se depun notificările.portal.cra-srp.enisa.europa.eu
• ENISA · Platforma unică de raportare; pagina centrală, cu fișa informativă, manualul de utilizare, adresa serviciului de asistență și linkuri către fiecare pagină de îndrumare.enisa.europa.eu/topics/product-security/single-reporting-platform-srp
• ENISA · Întrebări frecvente privind SRP (actualizate la 10 septembrie 2026); temeiul juridic, termenele, direcționarea, tabelul câmpurilor, logica contoarelor, ce trebuie făcut în timpul unei indisponibilități și adresa platformei. Rescrise la 4 septembrie și extinse cu o zi înainte de lansare. Cea mai actuală dintre paginile ENISA privind SRP și cea care trebuie preferată atunci când se contrazic.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions
• ENISA · CRA SRP AR User Manual (10 septembrie 2026); manualul din ziua lansării pentru Assigned Representatives și cea mai completă descriere unitară a platformei așa cum s-a deschis efectiv.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-ar-user-manual
• ENISA · Lista CSIRT-urilor desemnate drept coordonatoare (publicată la 4 septembrie 2026, actualizată la 10 septembrie 2026); puncte de contact pentru toate cele 27 de state membre. Identificați rândul dumneavoastră folosind testul de la articolul 14(7) din secțiunea 04.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/list-of-csirts-designated-as-coordinators
• ENISA · Glosar SRP pentru CRA (versiunea 1.3, 10 septembrie 2026); îndrumare câmp cu câmp privind semnificația fiecărui câmp de raportare, modul de completare, formatul așteptat, limita de caractere și etapa în care se aplică. Atenție la adresă: ENISA a mutat glosarul la un glossary2 URL, iar cel vechi este încă legat din unele pagini proprii, așa că verificați linia versiunii din partea de sus înainte de a vă baza pe o copie.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-glossary2
• ENISA · Îndrumare privind înregistrarea utilizatorilor pe SRP; fluxul de înregistrare pas cu pas pentru utilizatorii principali și cei de rezervă, cu capturi de ecran ale interfeței.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-user-registration
• ENISA · Îndrumare privind transmiterea notificărilor pe SRP; modul în care se depun și se actualizează avertismentul timpuriu, notificarea de 72 de ore și raportul final, precum și ce declanșează fiecare stare.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-notification-submission-and-update
• ENISA · Îndrumare privind funcțiile de interfață ale SRP (9 septembrie 2026); setări, asocieri cu fabricanții, tabloul de bord și fila de alerte. Redatată chiar în ziua lansării și concordă acum cu întrebările frecvente în privința faptului că o asociere neverificată poate depune până la 20 de notificări.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-interface-functions
• ENISA · Termeni și condiții CRA SRP (versiunea 1.0, 10 septembrie 2026); termenii pe care îi acceptați atunci când vă înregistrați pe platformă, publicați cu o zi înainte de deschiderea acesteia.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-single-reporting-platform-terms-and-conditions
• ENISA · Îndrumare SRP privind circumstanțele cu totul excepționale (9 septembrie 2026); când se aplică PEC, comutatorul și motivele de amânare din formularul de 72 de ore și ce face CSIRT-ul coordonator cu justificarea. A cincea pagină de îndrumare și singura care tratează direct PEC.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-particular-exceptional-circumstances-pec
• Comisia Europeană · Obligațiile de raportare din CRA; pagina de politici, inclusiv întrebările frecvente privind punerea în aplicare a CRA, a căror secțiune 5 acoperă raportarea. Comisia a actualizat această pagină la 11 septembrie 2026 pentru a confirma că platforma este acum operațională, iar documentul separat de întrebări frecvente al Comisiei a fost actualizat ultima dată la 4 septembrie 2026.digital-strategy.ec.europa.eu/en/policies/cra-reporting
• Comisia Europeană · Îndrumări privind aplicarea CRA (27 iulie 2026); punctul 9.1 prezintă obligațiile de raportare ale fabricanților și ale administratorilor de software cu sursă deschisă. Rezumatul nostru al îndrumărilor acoperă restul.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
• EU Login; creați contul pe care îl folosește platforma și activați pe el autentificarea cu mai mulți factori. Faceți acest lucru acum.ecas.ec.europa.eu/cas/login

În textul obligatoriu, articolele 14-17 stabilesc ecosistemul de raportare, iar articolul 16 instituie platforma; le puteți citi în lectorul nostru de regulament. Datele-reper sunt urmărite pe pagina situația actuală .

09Întrebări frecvente