Poročanje o incidentih in ranljivostih po CRA

01Kaj je treba poročati

člena 14 Akt o kibernetski odpornosti za proizvajalce izdelkov z digitalnimi elementi ustvarja dve obveznosti poročanja. Ožji sta, kot se zdi na prvi pogled: rutinske napake in običajni popravki vanju ne sodijo. čl. 14

• Aktivno izkoriščene ranljivosti; ranljivost v vašem izdelku, za katero obstajajo zanesljivi dokazi, da jo je zlonamerni akter izkoristil v sistemu brez dovoljenja lastnika. Ranljivost, ki jo odkrijete in popravite, preden je izkoriščena, se obravnava v okviru vašega običajnega postopek obravnavanja ranljivosti, ne prek tega poročevalnega kanala.
• Hudi incidenti; incident, ki negativno vpliva ali lahko negativno vpliva na zmožnost izdelka, da varuje razpoložljivost, avtentičnost, celovitost ali zaupnost podatkov ali funkcij. Merila za resnost so določena v členu 14(5).

Obveznosti niso omejene na komercialne proizvajalce. Skrbniki odprtokodne programske opreme imajo lastne obveznosti poročanja v obsegu, v katerem so vpleteni v izdelke z digitalnimi elementi. čl. 24(3)

02Trije roki

Vsako poročilo poteka v treh fazah, merjenih od trenutka, ko se seznanite z izkoriščeno ranljivostjo ali hudim incidentom. Roki so kratki in prav zato je pripravljenost pomembna. čl. 14(2)–(4)

• V 24 urahZgodnje opozorilo. Prva prijava, da je prišlo do aktivno izkoriščene ranljivosti ali hudega incidenta, pri incidentih vključno s tem, ali se domneva, da je bil povzročen z nezakonitimi ali zlonamernimi dejanji.
• V 72 urahObvestilo o ranljivosti / incidentu. Obsežnejši prikaz: splošna narava ranljivosti in izkoriščanja, začetna ocena ter sprejeti popravljalni ali blažilni ukrepi in tisti, ki jih lahko sprejmejo uporabniki.
• Končno poročiloKončno poročilo. Pri ranljivosti, najpozneje v 14 dni po tem, ko postane na voljo popravljalni ali blažilni ukrep. Pri hudem incidentu, v enem mesecu od 72-urne prijave. V njem so navedeni celoten opis, resnost, učinek in uporabljena odprava.

Bodite pozorni na asimetrijo v zadnji vrstici: rok pri ranljivosti sproži obstoj popravka, rok pri incidentu pa prejšnja prijava. Gre za različna mehanizma, ki ju velja v vaš operativni priročnik zapisati ločeno.

03Ko se začne

Obveznosti poročanja so najzgodnejši večji del CRA, ki začne veljati. Medtem ko se večina določb začne uporabljati od 11. decembra 2027, se člen 14 začne uporabljati od 11. september 2026; 21 mesecev po začetku veljavnosti akta. ENISA je Enotno platformo za poročanje odprla prav na ta datum. čl. 71

04Komu poročate

Poročila se pošljejo ENISA in k CSIRT, določen kot koordinator, in sicer prek ene same vstopne točke, ne z ločenimi vlogami pri vsakem nacionalnem organu. Ta vstopna točka je Enotna platforma za poročanje, ki jo ENISA vzpostavi, upravlja in vzdržuje na podlagi člena 16. čl. 14 · 16

Kateri CSIRT je vaš, je odvisno od tega, kje imate glavni sedež v Uniji, oziroma, če nimate sedeža v EU, od sedeža, ki ga ima vaš pooblaščeni zastopnik. Prejemni CSIRT prijavo posreduje naprej skupinam CSIRT v državah članicah, kjer je izdelek na voljo, in po potrebi organom za nadzor trga. čl. 14(7) · 18

Seznam koordinatorjev je bil objavljen 4. septembra 2026

Do 4. septembra 2026 ni bilo objavljenega odgovora na najbolj praktično vprašanje na tej strani: katera nacionalna skupina dejansko prejme vašo vlogo. ENISA je zdaj objavila seznam CSIRT, določenih za koordinatorje z enim ali več kontaktnimi naslovi URL za vsako od 27 držav članic, in ga 10. septembra 2026 na novo datirala, zato svojo vrstico znova preverite, preden se zanesete na prej narejeno kopijo. Irska napotuje na namensko stran NCSC za CRA; Španija navaja dve ločeni poti prek INCIBE, eno za incidente in eno za usklajevanje ranljivosti.

Seznam vam pove, kdo je koordinator posamezne države članice. Ne pove pa vam, kateri je vaš, test iz člena 14(7) pa je ožji, kot večina organizacij domneva. Vaš glavni sedež je država članica, v kateri se odločitve o kibernetski varnosti vaših izdelkov z digitalnimi elementi pretežno sprejemajo, kar je lahko razvojna lokacija in ne registrirani sedež ali največja komercialna dejavnost. Kadar tega ni mogoče ugotoviti, je nadomestno pravilo država članica, v kateri imate največ zaposlenih v EU. Če sedeža v EU sploh nimate, je vrstni red naslednji: država članica, v kateri vaš pooblaščeni zastopnik deluje za največ izdelkov, nato uvoznik, ki na trg daje največ izdelkov, nato distributer, ki jih največ omogoča dostopnost, in nato država članica z največ uporabniki. Ker to določa prejemnika za vsako prihodnjo vložitev, to uredite vnaprej, s pravno podporo, in zapišite utemeljitev.

Podpora obstaja na obeh straneh. ENISA upravlja službo za pomoč uporabnikom s posebno pozornostjo do MSP, tudi skupine CSIRT, določene za koordinatorje pa morajo zagotavljati pomoč uporabnikom glede obveznosti iz člena 14. ENISA odpravljene ranljivosti tudi vnaša v Evropsko zbirko podatkov o ranljivostihin vsaki dve leti objavlja tehnično poročilo o trendih, pri čemer se prvo pričakuje v 24 mesecih od začetka uporabe obveznosti poročanja. čl. 17(6)

Razširjanje prijavljene ranljivosti lahko zadrži CSIRT, ne pa vi

Prejemni CSIRT lahko nadaljnje razširjanje odloži ali zadrži iz utemeljenih razlogov kibernetske varnosti, in sicer za nujno potrebno obdobje; na primer, kadar je ranljivost predmet postopka usklajenega razkritja. Komisija je pogoje določila v aktu Delegirana uredba (EU) 2026/881, sprejetem 11. decembra 2025. Kadar CSIRT prijavo zadrži, mora o tem nemudoma obvestiti agencijo ENISA, in sicer z utemeljitvijo in navedbo, kdaj jo bo razširil.

Ločeno, v prav posebej izjemnih okoliščinah lahko v svoji 72-urni prijavi označite enega od ozko opredeljenih pogojev iz člena 16(2) : da je izkoriščanje omejeno na državo članico vašega CSIRT, da bi bilo nadaljnje razširjanje v nasprotju z bistvenimi interesi te države članice ali da razširjanje pomeni neposredno veliko tveganje za kibernetsko varnost. Če to storite, ENISA prejme le omejene informacije (da je bila vložena prijava, splošne informacije o izdelku, splošno naravo izkoriščanja in dejstvo, da so bili navedeni varnostni razlogi), dokler CSIRT ne sprosti celotne prijave.

05Registracija na platformi

Navodila agencije ENISA o registraciji, na novo datirana 10. septembra 2026, in njena navodila o vmesniku, na novo datirana 9. septembra 2026, prikazujejo dejanske zaslone. Registracija se je skupaj s platformo odprla 11. septembra 2026, zato je to zdaj potek, ki ga lahko dejansko prehodite, in ne le berete o njem. ENISA vas kljub temu prosi, da se ne registrirate vnaprej, iz razloga, navedenega spodaj, zaradi česar je vnaprejšnje poznavanje poteka prej bolj kot manj koristno: ko mu boste sledili prvič, utegne teči 24-urna ura.

Določite dve osebi, preden ju boste potrebovali

Platforma daje vsakemu proizvajalcu dve vrsti uporabniškega računa in že danes lahko odločite, kdo ju bo zasedel. Primarni zastopnik se registrira prvi in na platformi ustvari vnos proizvajalca. Ta oseba nato povabi osebo, ki je sekundarni zastopnik, ki ima pri istem proizvajalcu rezervno vlogo in lahko vlaga prijave v njegovem imenu. Oba sta poimensko določeni osebi v vašem podjetju. Ker je oddaja ročna, en sam imenovani poročevalec, ki je na dopustu, spi ali je odšel, pomeni resnično operativno tveganje, zato drugo mesto obravnavajte kot nujno in ne kot izbirno.

Prijavni podatek je EU Login in obe osebi si ga lahko ustvarita že danes

Računi na platformi se overjajo prek storitve EU Login, skupne prijavne storitve Evropske komisije, ki se uporablja v vseh njenih spletnih sistemih. Enega ustvarite za primarnega zastopnika in enega za sekundarnega na ecas.ec.europa.eu, pri čemer uporabite službene e-poštne naslove, ki bodo obstajali tudi čez leto dni. Večfaktorsko preverjanje pristnosti je obvezno: ENISA zahteva MFA na računu EU Login pred prvim dostopom do platforme, zato naj vaši ljudje, če že imajo navadne račune EU Login, MFA vklopijo zdaj in ne med incidentom. Računi EU Login so osebni, ENISA pa nad njimi ne upravlja ločenega poslovnega preverjanja pristnosti. Komisija na svojih straneh o zaupanja vredni digitalni identiteti pojasnjuje, kaj je EU Login in kako se umešča v njen širši okvir identitete.

Potek registracije

Ob prvem dostopu do platforme izberete svojo vlogo, izberete določeni CSIRT s spustnega seznama, se overite prek EU Login, preberete in sprejmete pravni dogovor, potrdite vnaprej izpolnjene osebne podatke (ime, priimek, e-pošta, pravno ime), nato pa vnesete ime, naslov in dodatne informacije proizvajalca. Izpustitev obveznega polja o proizvajalcu postopek ustavi. Ob zaključku je status vašega računa "Active" in imate vlogo "AR Primary User" ter prejmete potrditveno e-poštno sporočilo, na platformi pa se ustvari subjekt proizvajalca.

The sekundarni zastopnik se pridruži prek vabila po e-pošti od primarnega zastopnika, potrdi vnaprej izpolnjene osebne podatke in podatke o proizvajalcu ter se registrira v vlogi "AR Backup User" pri istem proizvajalcu. To vabilo poteče po 7 dneh, nato pa je zapis označen kot "Invitation Expired" in poslati je treba novo. Rezervnega uporabnika uredite hkrati s primarnim; poteklo vabilo, odkrito sredi incidenta, je težava, ki se ji je mogoče izogniti.

CSIRT vašega zastopnika preveri ročno, vendar vam to ne preprečuje vložitve

Nekdo mora potrditi, da dana oseba res sme poročati v imenu danega proizvajalca, to preverjanje pa je naloga CSIRT, določenega za koordinatorja, kar ENISA zdaj krajša kot CDaC. Gre za ročni korak, postopek se med posameznimi CSIRT razlikuje in vsak CSIRT ima svoj pristop. Bistveno je, da poteka po vašem prvem dostopu do platforme in teče vzporedno z vašim poročilom. V svoji posodobitvi z dne 3. avgusta 2026 je ENISA to nedvoumno potrdila: validacija, ki jo opravi CDaC, ni predpogoj za izpolnitev obveznosti poročanja po CRA, ne vpliva pa na vašo zmožnost oddaje prijav. Nevalidiran račun lahko prijavo vloži tudi znotraj 24-urnega okna.

Tudi zato ENISA svetuje, da se registrirate in začnete validacijo šele takrat, ko prijavo dejansko potrebujete, namesto da bi se vnaprej registriral celoten trg in bi skupine CSIRT preplavila špekulativna preverjanja. Priprava, ki jo opravite vnaprej, so računi EU Login in odločitev o tem, kdo zasede obe mesti, ne pa sama registracija na platformi.

En račun lahko obsega več proizvajalcev

Ista navodila določajo urejanje obeh mest. Primarni zastopnik povabi rezervnega prek e-poštnega naslova, s čimer nastane zapis z oznako "Pending Invitation" brez vloge, dokler vabilo ni sprejeto. Sekundarni zastopnik lahko zaprosi za napredovanje v primarnega, o čemer presoja CDaC. Kateri koli od njiju lahko odstrani povezavo, ki se nato označi z "Deleted". En sam račun pa lahko nosi povezave z več proizvajalci, od katerih se vsaka doda prek funkcije Association Management in vsaka se preveri posebej.

Zadnja točka je pomembna za skupine z več proizvodnimi subjekti in za podjetja, ki na podlagi člena 18 delujejo za proizvajalce s sedežem zunaj EU. Prav tam najbolj boli tudi past s poimenovanjem, opisana v nadaljevanju.

06Vložitev poročila

Poročanje poteka z nadzorne plošče. Ustvarite prijavo, nato pa v vsaki fazi dopolnjujete isti zapis, namesto da bi vlagali tri ločene dokumente. Vsaka faza ima svoj zavihek in vsako je mogoče najprej shraniti kot osnutek. Nadzorno ploščo je mogoče iskati po ID prijave, proizvajalcu ali naslovu, razvrščati po naslovu ali zadnji posodobitvi ter filtrirati po državi članici, vrsti oddaje ali po zastavici Action Required za zahtevano ukrepanje.

• Zgodnje opozoriloZ nadzorne plošče začnite novo prijavo, izpolnite obvezna polja in izberite obstoječega proizvajalca ali dodajte novega. Ob oddaji je dostopna vašemu določenemu CSIRT in samodejno tudi agenciji ENISA. Potrditve po e-pošti in v obliki opozoril prejmejo CSIRT, ENISA in vsak zastopnik, registriran pri tem proizvajalcu, ne le oseba, ki je prijavo oddala.
• 72 urNa voljo šele, ko obstaja zgodnje opozorilo. Odprite isto prijavo in izpolnite zavihek za 72 ur. ENISA jo prejme samodejno, razen če se sklicujete na pogoje iz člena 16(2); v tem primeru je zapis označen z "72h Submitted under PEC", pogled agencije ENISA pa je omejen, dokler ga CSIRT ne sprosti.
• Končno poročiloNa voljo šele, ko obstajata obe prejšnji fazi. ENISA ga prejme samodejno, razen če so bili uveljavljeni pogoji iz člena 16(2).

Kaj je obvezno in kdaj

ENISA je objavila, katera polja so obvezna v posamezni fazi. Tabela je koristen popravek razširjene domneve: 24-urno zgodnje opozorilo je alarm, ne preiskava.

• Po 24 urah; vrsta in raven prijave, ime proizvajalca ali skrbnika, izdelek in naslov. Pri incidentih tudi, ali se domnevajo nezakonita ali zlonamerna dejanja. Države članice, v katerih je izdelek na voljo, se zahtevajo le, če ta podatek že imate.
• Po 72 urah; splošna narava ranljivosti in izkoriščanja, sprejeti popravljalni ali blažilni ukrepi ter ukrepi, ki jih lahko sprejmejo uporabniki. Pri incidentih čas zaznave in čas nastanka ter začetna ocena. Občutljivost se označi prav tu.
• V končnem poročilu; celoten opis, resnost in učinek, datum, ko je postal na voljo popravljalni ukrep, in podrobnosti o varnostni posodobitvi. Pri incidentih verjetni temeljni vzrok in tekoči blažilni ukrepi.

Med neobvezna polja, ki jih velja vseeno zabeležiti, spadata CVE ID in the EUVD ID, oba sta na voljo že od prve faze.

Vsako polje ima omejitev znakov, eno od njih pa je zelo kratko

Glosar SRP agencije ENISA, prvič z velikostmi polj v različici 1.1 z dne 5. septembra 2026 in zdaj v različici 1.3 z dne 10. septembra 2026, je dokument ENISA, ki objavlja velikost vsakega polja. Svoje interne predloge pišite v skladu s temi omejitvami, namesto da jih odkrivate ob dveh zjutraj:

• 4000 znakov za opisna polja: povzetek, splošne informacije o ranljivosti ali incidentu, popravne ukrepe, ki jih lahko sprejmejo uporabniki, celotna opisa resnosti in učinka, začetno oceno ter pri incidentih uporabljene in tekoče blažilne ukrepe.
• 2000 znakov za popravne ali blažilne ukrepe, ki ste jih že sprejeli, ter za podrobnosti o varnostni posodobitvi ali popravnem ukrepu v končnem poročilu.
• 800 znakov za utemeljitev v prostem besedilu, ki spremlja zahtevo PEC pri 72-urni prijavi ranljivosti.
• 255 znakov za naslov, ime izdelka, razpon različic izdelka, ime komponente, vektor napada, utemeljitev občutljivosti in verjetni temeljni vzrok.
• 100 znakov za zlonamernega akterja, ki je izkoristil ranljivost. To je približno ena vrstica, zato načrtujte, da boste akterja poimenovali ali se sklicevali na referenco indikatorja, namesto da opisujete kampanjo.

Glosar potrjuje tudi majhno olajšavo: polje Države članice, v katerih je izdelek na voljo je vnaprej izpolnjeno z vašim koordinacijskim CSIRT, druge trge pa dodate sami.

Urejanje in točka brez vrnitve

Oddano prijavo je mogoče posodobiti, platforma pa samodejno pošlje opozorilo in e-poštno sporočilo vašemu CSIRT ter agenciji ENISA in vsem skupinam CSIRT, ki so jo že prejele z razširjanjem. Veljata dve omejitvi: zaprte prijave ni mogoče posodobiti, zapis pa postane neurejljiv, ko je oddano končno poročilo.

Spremljajte zavihek z opozorili, tudi ob koncu tedna

Vsak račun ima zavihek Alerts z barvno kodo: neprebrana opozorila so svetlo modra in po odprtju posivijo, rdeča opozorila pa se pojavijo le, kadar se je zgodilo nekaj izjemnega. Primer, ki ga navaja ENISA, je določeni CSIRT, ki je razveljavil oddano prijavo. Vložitev torej ni konec izmenjave in noben rok iz člena 14 se ne premakne zato, ker se vam je prijava vrnila. Kdor koli spremlja ta zavihek, ga mora spremljati tudi zunaj delovnega časa, kar je dodaten argument za nadzorovan skupinski poštni predal za obema mestoma namesto dveh osebnih naslovov.

72-urni števec na platformi ne šteje od trenutka seznanitve

Pogosta vprašanja razkrivajo, kako se odštevalniki na zaslonu dejansko obnašajo in da ne sledijo zakonskemu roku. ENISA je pogosta vprašanja posodobila dne 10. september 2026, dan pred odprtjem, in ta odgovor pustila nespremenjen, zato je vedenje, opisano tukaj, tisto vedenje, ki je dejansko začelo delovati. V trenutni različici 72-urni števec prikazuje rok zapadlosti 48 ur po oddaji 24-urnega poročila, ne pa 72 ur po tem, ko ste se seznanili. ENISA jasno navaja, da se prijava zato lahko prikaže kot prepozna še preden je od seznanitve preteklo 72 ur, in da bo logika v poznejši različici spremenjena tako, da bo štela od polja "datum in čas, ko ste se seznanili", tako pri ranljivostih kot pri incidentih.

Števci za končno poročilo se spet razlikujejo. Pri hudem incidentu števec kaže en mesec po 72-urni prijavi. Pri aktivno izkoriščeni ranljivosti ni prav nobenega števca, ker je rok odvisen od tega, kdaj postane na voljo korektivni ukrep, česar platforma ne more vedeti.

Ob zagonu platforma ne zabeleži, kdaj ste se seznanili

Dne 5. septembra 2026 je ENISA svoj po posameznih poljih pripravljeni Glosar SRP posodobila na različico 1.1, dve opombi v njem pa štejeta bolj kot karkoli drugega na tej strani. Pri aktivno izkoriščani ranljivosti ima polje Date/time when you become aware opombo, da bo na voljo v naslednji različici platforme. Pri hudem incidentu opomba pravi, da se v trenutni različici enakovredno polje imenuje Date/time the incident was detected.

Ob logiki števcev, opisani zgoraj, se krog sklene. Pogosta vprašanja so navajala, da se bo 72-urni števec popravil, ko pride polje o seznanitvi; glosar je navajal, da to polje pride v poznejši različici. Pred odprtjem se ni premaknilo ne eno ne drugo: ENISA je glosar znova revidirala na različico 1.3 dne 10. september 2026 in obe opombi pustila nedotaknjeni. Od prvega dne platforma torej pri ranljivostih sploh ne zajame časovne oznake seznanitve, pri incidentih pa zajame trenutek zaznave, ki ni trenutek seznanitve.

07Kaj lahko storite danes

Upoštevanje 24-urnega okna je operativni problem, ne papirnati. Zdaj, ko je platforma odprta, spodnji seznam ni več priprava na prihodnji dogodek; obveznost teče in vse tukaj, česar niste naredili, je izpostavljenost in ne načrt.

• Ustvarite račune EU Login z vklopljenim MFA. Za primarnega poročevalca in vsaj enega rezervnega. Vzame nekaj minut na ecas.ec.europa.eu, platforma pa nikogar ne bo spustila noter brez večfaktorskega preverjanja pristnosti, zato je njegov vklop del naloge in ne njena izpopolnitev.
• Ugotovite, kateri CSIRT je določen za vas. ENISA je objavila seznam koordinatorjev za vseh 27 držav članic 4. septembra 2026, zato je to zdaj naloga, ki jo lahko dokončate. Uporabite test glavnega sedeža iz člena 14(7), izberite svojo vrstico in zapišite utemeljitev.
• Interno pripravite 24-urni obrazec. Kratka predloga, ki ustreza obveznim poljem zgodnjega opozorila po ENISA, da bo vaša prva prava vložitev prepis in ne pisanje besedila. Hranite jo tam, kjer jo lahko odpreta oba zastopnika, saj so osnutki na platformi vidni samo tistemu, ki jih je ustvaril.
• Poimensko določite ljudi, tudi zunaj delovnega časa. Odločite, kdo presodi, da je poročilo treba oddati, kdo ga napiše in kdo ga odda. Ker ni API, je zadnji korak poimensko določen človek za tipkovnico.
• Vzdržujte natančen SBOM. Ne morete poročati o komponenti, za katero niste vedeli, da ste jo dobavili. Vodite seznam sestavin programske opreme in ga posodabljajte ob vsaki spremembi izdaj.
• Spremljajte ga neprekinjeno. Svoje komponente primerjajte z viri znanih ranljivosti, da se aktivno izkoriščana napaka pokaže v urah in ne v tednih. Naše SBOM in analizator ranljivosti spremlja vaš seznam sestavin glede na NVD in zbirko podatkov EU o ranljivostih (EUVD).
• Potrdite, kaj dejansko spada na področje uporabe. Faza po 72 urah zahteva vrsto izdelka in kategorijo iz Priloge III ali IV, zato razvrstitev uredite, preden jo boste potrebovali. Orodje za razvrščanje odgovarja na to vprašanje, matrika skladnosti poročanje veže na širše obveznosti obravnavanja ranljivosti iz Priloge I, znotraj katerih se nahaja.
• Odločite, kdo zunaj delovnega časa bere zavihek z opozorili. Določeni CSIRT lahko razveljavi oddano prijavo, opozorilo o tem pa pristane na platformi in ne le v vašem poštnem predalu. Za obema zastopniškima mestoma postavite nadzorovan poštni predal.
• Ne zanašajte se na odštevalnik platforme. Sami zabeležite časovni žig seznanitve. 72-urni števec na zaslonu teče od oddaje 24-urnega poročila in ne od seznanitve, zato lahko vložitev označi kot prepozno, še preden je zakonski rok potekel.
• Read the AR User Manual, and watch the tutorial video. ENISA published the manual at launch and added the AR User Tutorial Video within days, so between the two, plus the guidance pages, you have the fullest available description of the live platform.
• Pred vložitvijo preverite, ali ste izbrali pravega koordinatorja. ENISA zdaj opozarja, da lahko izbira napačnega CSIRT, določenega kot koordinator, povzroči razveljavitev obvestila, tako da ga morate ponovno vložiti pri pravem, medtem ko ura še vedno teče.

08Spremljajte to pri viru

Ta stran odraža stanje na dan 11. septembra 2026, na dan odprtja platforme. Stanje se bo še naprej spreminjalo, ENISA pa svoje strani ureja tiho, namesto da bi objavljala vsako spremembo. V tednu pred zagonom so bila pogosta vprašanja 4. septembra 2026 prenovljena in 10. septembra 2026 znova posodobljena, seznam koordinatorjev se je pojavil 4. septembra 2026 in bil 10. septembra 2026 na novo datiran, glosar je 5. septembra 2026 dosegel različico 1.1 in 10. septembra 2026 različico 1.3, navodila o posebej izjemnih okoliščinah so prišla 9. septembra 2026, AR User Manual in pogoji uporabe platforme pa so bili objavljeni 10. septembra 2026. Za vprašanja glede podpore ENISA na osrednji strani objavlja naslov službe za pomoč, cra-srp-helpdesk [at] enisa.europa.eu. To so primarni viri; vse zgoraj navedeno je naše branje teh virov.

• ENISA · Sama Enotna platforma za poročanje (deluje od 11. septembra 2026); izberite vlogo Assigned Representative in se prijavite prek EU Login z večfaktorskim preverjanjem pristnosti. Tu se vlagajo obvestila.portal.cra-srp.enisa.europa.eu
• ENISA · Enotna platforma za poročanje; osrednja stran z informativnim pregledom, uporabniškim priročnikom, naslovom službe za pomoč in povezavami do vsake strani z navodili.enisa.europa.eu/topics/product-security/single-reporting-platform-srp
• ENISA · Pogosta vprašanja o SRP (posodobljeno 10. septembra 2026); pravna podlaga, roki, usmerjanje, tabela polj, logika števcev, kaj storiti med izpadom in naslov platforme. Prenovljeno 4. septembra in razširjeno dan pred zagonom. Najbolj ažurna med stranmi agencije ENISA o SRP in tista, ki ji je treba dati prednost, kadar si nasprotujejo.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions
• ENISA · CRA SRP AR User Manual (10. september 2026); priročnik z dneva zagona za Assigned Representatives in najobsežnejši enotni opis platforme, kakršna se je dejansko odprla.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-ar-user-manual
• ENISA · Seznam CSIRT, določenih za koordinatorje (objavljen 4. septembra 2026, posodobljen 10. septembra 2026); kontaktne točke za vseh 27 držav članic. Svojo vrstico določite s testom iz člena 14(7) v razdelku 04.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/list-of-csirts-designated-as-coordinators
• ENISA · Glosar SRP za CRA (različica 1.3, 10. september 2026); navodila po posameznih poljih o tem, kaj pomeni vsako polje za poročanje, kako ga izpolniti, kakšna oblika se pričakuje, kakšna je omejitev znakov in v kateri fazi se uporablja. Bodite pozorni na naslov: ENISA je glosar premaknila na glossary2 URL, starejšega pa še vedno povezuje z nekaterih svojih strani, zato pred zanašanjem na kopijo preverite vrstico z različico na vrhu.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-glossary2
• ENISA · Navodila za registracijo uporabnikov SRP; potek registracije po korakih za primarne in rezervne uporabnike, s posnetki zaslona vmesnika.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-user-registration
• ENISA · Navodila za oddajo prijav v SRP; kako se vložijo in posodobijo zgodnje opozorilo, 72-urna prijava in končno poročilo ter kaj sproži posamezno stanje.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-notification-submission-and-update
• ENISA · Navodila o funkcijah vmesnika SRP (9. september 2026); nastavitve, povezave s proizvajalci, nadzorna plošča in zavihek opozoril. Na novo datirana na sam dan zagona in se zdaj ujema s pogostimi vprašanji, da lahko nepotrjena povezava odda do 20 prijav.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-interface-functions
• ENISA · Pogoji uporabe CRA SRP (različica 1.0, 10. september 2026); pogoji, ki jih sprejmete, ko se registrirate na platformi, objavljeni dan pred njenim odprtjem.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-single-reporting-platform-terms-and-conditions
• ENISA · Navodila SRP o prav posebej izjemnih okoliščinah (9. september 2026); kdaj se PEC uporablja, stikalo in razlogi za odlog na 72-urnem obrazcu ter kaj koordinacijski CSIRT stori z utemeljitvijo. Peta stran z navodili in edina, ki PEC obravnava neposredno.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-particular-exceptional-circumstances-pec
• Evropska komisija · Obveznosti poročanja po CRA; stran o politiki, vključno s pogostimi vprašanji o izvajanju CRA, katerih oddelek 5 zajema poročanje. Nazadnje posodobljena 31. julija 2026 in na dan zagona še vedno napisana v prihodnjiku, zato za samo platformo uporabljajte strani ENISA.digital-strategy.ec.europa.eu/en/policies/cra-reporting
• Evropska komisija · Navodila za uporabo CRA (27. julij 2026); točka 9.1 določa obveznosti poročanja proizvajalcev in skrbnikov odprte kode. Naš povzetek navodil zajema preostalo.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
• EU Login; ustvarite račun, ki ga uporablja platforma, in na njem vklopite večfaktorsko preverjanje pristnosti. Storite to zdaj.ecas.ec.europa.eu/cas/login

V zavezujočem besedilu členi 14 do 17 določajo ekosistem poročanja, člen 16 pa vzpostavlja platformo; preberite jih v našem bralniku uredbe. Datumi mejnikov se spremljajo na strani Aktualno stanje .

09Pogosta vprašanja