CRA-rapportering av incidenter och sårbarheter

01Vad som måste rapporteras

Artikel 14 i Cyber Resilience Act skapar två rapporteringsskyldigheter för tillverkare av produkter med digitala element. De är snävare än de först verkar: rutinmässiga buggar och vanliga korrigeringar omfattas inte. Art. 14

• Aktivt utnyttjade sårbarheter; en sårbarhet i din produkt för vilken det finns tillförlitliga bevis för att en illvillig aktör har utnyttjat den i ett system utan ägarens tillstånd. En sårbarhet som du upptäcker och åtgärdar innan den utnyttjas hanteras genom din normala process för hantering av sårbarheter, inte denna rapporteringskanal.
• Allvarliga incidenter; en incident som negativt påverkar, eller kan komma att negativt påverka, produktens förmåga att skydda tillgängligheten, autenticiteten, riktigheten eller konfidentialiteten hos data eller funktioner. Kriterierna för allvarlighetsgrad finns i artikel 14(5).

Skyldigheterna är inte begränsade till kommersiella tillverkare. Förvaltare av programvara med öppen källkod har egna rapporteringsskyldigheter i den mån de är involverade i produkter med digitala element. Art. 24(3)

02De tre tidsfristerna

Varje rapport genomförs i tre steg, mätt från det ögonblick du får kännedom av den utnyttjade sårbarheten eller den allvarliga incidenten. Tidsfönstren är snäva, och därför är beredskapen avgörande. Art. 14(2)–(4)

• Inom 24 timmarTidig varning. En första anmälan om att en aktivt utnyttjad sårbarhet eller en allvarlig incident har inträffat, inklusive, för incidenter, huruvida den misstänks vara orsakad av olagliga eller illvilliga handlingar.
• Inom 72 timmarAnmälan om sårbarhet / incident. En utförligare redogörelse: sårbarhetens och angreppets allmänna karaktär, en inledande bedömning samt de korrigerande eller begränsande åtgärder som vidtagits och de som användarna kan vidta.
• SlutrapportSlutrapport. För en sårbarhet, senast 14 dagar efter att en korrigerande eller begränsande åtgärd blivit tillgänglig. För en allvarlig incident, inom en månad från 72-timmarsanmälan. Den anger den fullständiga beskrivningen, allvarlighetsgraden, konsekvenserna och den avhjälpande åtgärd som tillämpats.

Notera asymmetrin i den sista raden: klockan för sårbarheter startar av att en åtgärd finns, klockan för incidenter av den tidigare anmälan. Det är olika mekanismer och värda att skrivas in var för sig i din rutinbeskrivning.

03När det börjar

Rapporteringsskyldigheterna är den tidigaste stora delen av CRA som träder i kraft. Medan de flesta bestämmelser gäller från den 11 december 2027 gäller artikel 14 från 11 september 2026; 21 månader efter att akten trädde i kraft. ENISA öppnade den gemensamma rapporteringsplattformen just samma datum. Art. 71

04Vem du rapporterar till

Rapporter skickas till ENISA och till CSIRT utsedd som samordnare, via en enda ingång i stället för separata inlämningar till varje nationell myndighet. Denna ingång är den gemensamma rapporteringsplattformen, som ENISA inrättar, förvaltar och underhåller enligt artikel 16. Art. 14 · 16

Vilken CSIRT som är din följer av ditt huvudsakliga verksamhetsställe i unionen eller, om du inte är etablerad i EU, det som gäller för din auktoriserade representant. Den mottagande CSIRT sprider anmälan vidare till CSIRT i de medlemsstater där produkten tillhandahålls, och till marknadskontrollmyndigheter vid behov. Art. 14(7) · 18

Förteckningen över samordnare publicerades den 4 september 2026

Fram till den 4 september 2026 fanns det inget publicerat svar på den mest praktiska frågan på den här sidan: vilket nationellt team som faktiskt tar emot din inlämning. ENISA har nu publicerat en förteckning över CSIRT som utsetts till samordnare som ger en eller flera kontakt-URL:er för var och en av de 27 medlemsstaterna, och omdaterade den till den 10 september 2026, så kontrollera din rad igen innan du förlitar dig på en kopia som tagits tidigare. Irland hänvisar till en särskild NCSC-sida för CRA; Spanien anger två separata INCIBE-vägar, en för incidenter och en för samordning av sårbarheter.

Förteckningen talar om vem som är varje medlemsstats samordnare. Den talar inte om vilken som är din, och testet i artikel 14(7) är snävare än de flesta organisationer antar. Ditt huvudsakliga verksamhetsställe är den medlemsstat där besluten om cybersäkerheten för dina produkter med digitala element huvudsakligen fattas, vilket kan vara en utvecklingsanläggning snarare än ett registrerat säte eller den största kommersiella verksamheten. Om detta inte kan fastställas är reservregeln den medlemsstat där ni har flest anställda i EU. Utan något etableringsställe i EU alls är ordningen: den medlemsstat där er auktoriserade representant agerar för flest produkter, därefter den importör som släpper ut flest produkter på marknaden, därefter den distributör som tillhandahåller flest, därefter den medlemsstat med flest användare. Eftersom detta fastställer mottagaren för varje framtida inlämning bör ni avgöra saken i förväg, med juridiskt stöd, och skriva ner resonemanget.

Stöd finns på båda sidor. ENISA driver en helpdesk, med särskild uppmärksamhet på små och medelstora företag, och de CSIRT som utsetts till samordnare är också skyldiga att erbjuda helpdesk-stöd om skyldigheterna i artikel 14. ENISA för också in åtgärdade sårbarheter i den europeiska sårbarhetsdatabasen, och publicerar vartannat år en teknisk trendrapport, där den första ska komma inom 24 månader från det att rapporteringsskyldigheterna börjar gälla. Art. 17(6)

Spridningen av en rapporterad sårbarhet kan pausas av CSIRT, men inte av dig

Den mottagande CSIRT får skjuta upp eller hålla inne den vidare spridningen på motiverade cybersäkerhetsgrunder, under en period som är strikt nödvändig; till exempel när en sårbarhet omfattas av ett förfarande för samordnat röjande. Kommissionen fastställde villkoren i delegerad förordning (EU) 2026/881, som antogs den 11 december 2025. När en CSIRT håller inne en anmälan måste den omedelbart underrätta ENISA, med en motivering och en uppgift om när spridning kommer att ske.

Separat kan du under särskilt exceptionella omständigheter markera ett av de snäva villkoren i artikel 16(2) i din 72-timmarsanmälan: att utnyttjandet är begränsat till din CSIRT:s medlemsstat, att ytterligare spridning skulle strida mot den medlemsstatens väsentliga intressen, eller att spridning innebär en överhängande hög cybersäkerhetsrisk. Om du gör det får ENISA endast begränsad information (att en anmälan har gjorts, allmän information om produkten, angreppets allmänna karaktär och att säkerhetsskäl har åberopats) tills CSIRT frisläpper den fullständiga anmälan.

05Registrering på plattformen

ENISA:s vägledning om registrering, omdaterad den 10 september 2026, och dess gränssnittsvägledning, omdaterad den 9 september 2026, visar de faktiska skärmarna. Registreringen öppnade tillsammans med plattformen den 11 september 2026, så detta är nu ett flöde du kan gå igenom snarare än läsa om. ENISA ber dig ändå att inte registrera dig i förväg, av det skäl som anges nedan, vilket gör det snarare mer än mindre värdefullt att känna till flödet i förväg: första gången du följer det kan det mycket väl vara med en 24-timmarsklocka igång.

Utse två personer innan du behöver dem

Plattformen ger varje tillverkare två slags användarkonton, och du kan redan i dag bestämma vem som ska fylla dem. Den primära representanten registrerar sig först och skapar tillverkarens post på plattformen. Den personen bjuder sedan in den sekundära representanten, som har en reservroll för samma tillverkare och kan lämna in för dess räkning. Båda är namngivna personer på ditt företag. Eftersom inlämningen sker manuellt är en enda utsedd rapportör som är på semester, sover eller har slutat en verklig operativ risk, så betrakta den andra platsen som nödvändig snarare än valfri.

EU Login är inloggningsuppgiften, och båda personerna kan skapa den i dag

Plattformskonton autentiseras via EU Login, Europeiska kommissionens gemensamma inloggningstjänst som används i dess onlinesystem. Skapa ett för den primära representanten och ett för den sekundära på ecas.ec.europa.eu, med arbetsmejladresser som fortfarande finns om ett år. Flerfaktorsautentisering är obligatorisk: ENISA kräver MFA på EU Login-kontot före första åtkomst till plattformen, så om ditt folk redan har vanliga EU Login-konton, låt dem slå på MFA nu i stället för under en incident. EU Login-konton är personliga, och ENISA driver ingen separat företagsautentisering ovanpå dem. Kommissionen förklarar vad EU Login är, och hur det passar in i dess bredare identitetsramverk, på sina sidor om betrodd digital identitet .

Registreringsflödet

Vid första åtkomsten till plattformen väljer du din roll, väljer din utsedda CSIRT i en rullgardinsmeny, autentiserar dig via EU Login, läser och godkänner det rättsliga avtalet, bekräftar dina förifyllda personuppgifter (förnamn, efternamn, e-post, juridiskt namn) och anger sedan tillverkarens namn, adress och ytterligare information. Om ett obligatoriskt tillverkarfält utelämnas stoppas flödet. När det är klart är din kontostatus "Active" och du har "AR Primary User" -rollen, du får ett bekräftelsemejl och tillverkarenheten skapas i plattformen.

Den sekundära representanten ansluter genom en e-postinbjudan från den primära, bekräftar de förifyllda person- och tillverkaruppgifterna och registreras i "AR Backup User" -rollen för samma tillverkare. Inbjudan upphör att gälla efter 7 dagar, varefter posten markeras "Invitation Expired" och en ny måste skickas. Sätt upp reserven vid samma tillfälle som den primära; en utgången inbjudan som upptäcks mitt under en incident är ett problem som går att undvika.

CSIRT kontrollerar din representant manuellt, men det hindrar dig inte från att lämna in

Någon måste bekräfta att en viss person verkligen får rapportera för en viss tillverkares räkning, och den kontrollen åligger den CSIRT som utsetts till samordnare, som ENISA nu förkortar CDaC. Det är ett manuellt steg, förfarandet varierar mellan olika CSIRT och varje CSIRT bestämmer sitt eget tillvägagångssätt. Avgörande är att den sker efter din första åtkomst till plattformen och löper parallellt med din rapport. I sin uppdatering av den 3 augusti 2026 satte ENISA detta utom tvivel: validering av CDaC är inte en förutsättning för att uppfylla CRA:s rapporteringsskyldighet, och påverkar inte din möjlighet att lämna in anmälningar. Ett ovaliderat konto kan ändå lämna in inom 24-timmarsfönstret.

Det är också därför ENISA råder till att registrera sig och inleda valideringen först när du faktiskt behöver lämna in, i stället för att förregistrera hela marknaden och begrava CSIRTs i spekulativa kontroller. Den förberedelse du gör i förväg är EU Login-kontona och beslutet om vem som fyller de två platserna, inte själva registreringen på plattformen.

Ett konto kan omfatta flera tillverkare

Samma vägledning anger det praktiska kring de två platserna. En primär representant bjuder in en reserv via e-postadress, vilket skapar en post markerad "Pending Invitation" utan roll tills den accepteras. En sekundär representant kan begära att bli uppgraderad till primär, vilket går till CDaC för granskning. ENISA formaliserade detta den 17 september 2026 genom att markera FAQ-fråga 9 som ”[UPPDATERAD]” och ange att en sekundär AR ”inte har samma administrativa behörigheter som den primära AR, men kan göra anspråk på den primära AR-rollen, med förbehåll för granskning och godkännande av den utsedda CSIRT”. Endera kan ta bort en koppling, som då markeras "Deleted". Och ett enda konto kan ha kopplingar till flera tillverkare, var och en tillagd via Association Management och var och en verifierad separat.

Den sista punkten spelar roll för koncerner med flera tillverkande enheter och för företag som agerar enligt artikel 18 för tillverkare etablerade utanför EU. Det är också där namnfällan nedan biter hårdast.

06Att lämna in en rapport

Rapporteringen sker från en instrumentpanel. Du skapar en anmälan och kompletterar sedan samma post i varje steg i stället för att lämna in tre separata saker. Varje steg har en egen flik och vart och ett kan först sparas som utkast. Instrumentpanelen kan sökas på anmälnings-ID, tillverkare eller titel, sorteras på titel eller senaste uppdatering och filtreras på medlemsstat, inlämningstyp eller en Action Required -flagga.

• Tidig varningStarta en ny anmälan från instrumentpanelen, fyll i de obligatoriska fälten och välj en befintlig tillverkare eller lägg till en. Vid inlämning blir den tillgänglig för din utsedda CSIRT och, automatiskt, för ENISA. Bekräftelser via e-post och avisering går till CSIRT, till ENISA och till varje representant som är registrerad för den tillverkaren, inte bara den person som lämnade in.
• 72-timmarsTillgänglig först när en tidig varning finns. Öppna samma anmälan och fyll i fliken för 72 timmar. ENISA får den automatiskt om du inte åberopar villkoren i artikel 16(2), i vilket fall posten flaggas som "72h Submitted under PEC" och ENISA:s insyn begränsas tills CSIRT frisläpper den.
• SlutrapportTillgänglig först när båda de tidigare stegen finns. ENISA får den automatiskt om inte villkoren i artikel 16(2) har åberopats.

Vad som är obligatoriskt, och när

ENISA har publicerat vilka fält som är obligatoriska i varje steg. Tabellen är en nyttig korrigering av ett utbrett antagande: den tidiga varningen inom 24 timmar är en varning, inte en utredning.

• Vid 24 timmar; anmälningstyp och nivå, tillverkarens eller förvaltarens namn, produkten och en rubrik. För incidenter, huruvida olagliga eller illvilliga handlingar misstänks. Uppgift om vilka medlemsstater produkten tillhandahålls i krävs endast om du redan har den.
• Vid 72 timmar; sårbarhetens och angreppets allmänna karaktär, vidtagna korrigerande eller begränsande åtgärder och åtgärder som användarna kan vidta. För incidenter, när den upptäcktes och när den inträffade, samt en inledande bedömning. Känslighet flaggas här.
• Vid slutrapporten; den fullständiga beskrivningen, allvarlighetsgraden och konsekvenserna, det datum då en korrigerande åtgärd blev tillgänglig och detaljer om säkerhetsuppdateringen. För incidenter, den sannolika grundorsaken och pågående begränsande åtgärder.

Valfria fält som ändå är värda att fylla i är CVE ID och den EUVD ID, som båda är tillgängliga från det första steget.

Varje fält har en teckengräns, och ett av dem är mycket kort

ENISA:s SRP-ordlista, första gången med fältstorlekar i version 1.1 av den 5 september 2026 och nu i version 1.3 av den 10 september 2026, är det ENISA-dokument som publicerar storleken på varje ruta. Skriv era interna mallar efter dessa gränser i stället för att upptäcka dem klockan två på natten:

• 4000 tecken för de beskrivande fälten: sammanfattningen, allmän information om sårbarheten eller incidenten, de korrigerande åtgärder användarna kan vidta, de fullständiga beskrivningarna av allvarlighetsgrad och konsekvenser, den inledande bedömningen och, för incidenter, de tillämpade och pågående begränsande åtgärderna.
• 2000 tecken för de korrigerande eller begränsande åtgärder ni redan har vidtagit, och för detaljerna om säkerhetsuppdateringen eller den korrigerande åtgärden i slutrapporten.
• 800 tecken för den fritextmotivering som åtföljer en PEC-begäran vid 72-timmarsanmälan av en sårbarhet.
• 255 tecken för titeln, produktnamnet, produktens versionsintervall, komponentnamnet, angreppsvektorn, motiveringen av känsligheten och den sannolika grundorsaken.
• 100 tecken för den skadliga aktör som utnyttjade sårbarheten. Det är ungefär en rad, så planera för att namnge aktören eller hänvisa till en indikatorreferens i stället för att beskriva kampanjen.

Ordlistan bekräftar också en liten bekvämlighet: fältet Medlemsstater där produkten är tillgänglig kommer förifyllt med er egen samordnande CSIRT, och övriga marknader lägger ni till själva.

Redigering, och punkten utan återvändo

En inlämnad anmälan kan uppdateras, och plattformen skickar automatiskt en avisering och ett e-postmeddelande till din CSIRT samt ENISA och de CSIRT som redan mottagit den genom spridning. Två begränsningar gäller: en stängd anmälan kan inte uppdateras, och posten blir oredigerbar när slutrapporten har lämnats in.

Håll koll på varningsfliken, även på helgen

Varje konto har en Varningar -flik, färgkodad: olästa varningar är ljusblå och blir grå när de öppnats, och röda varningar visas endast när något exceptionellt har hänt. Exemplet ENISA ger är en utsedd CSIRT som har ogiltigförklarat en inlämning. Inlämningen är därför inte slutet på utbytet, och ingen tidsfrist i artikel 14 flyttas för att en anmälan kom tillbaka till dig. Den som bevakar den fliken måste bevaka den utanför kontorstid, vilket är ytterligare ett argument för en bevakad gruppbrevlåda bakom båda platserna i stället för två personliga adresser.

Plattformens 72-timmarsräknare räknar inte från kännedom

FAQ:n avslöjar hur nedräkningarna på skärmen faktiskt beter sig, och de följer inte den rättsliga tidsfristen. ENISA uppdaterade FAQ:n den 10 september 2026, dagen före öppningen, och lät detta svar stå kvar, så det beteende som beskrivs här är det beteende som togs i drift. I den nuvarande versionen är det 72-timmarsräknaren som visar ett förfallodatum 48 timmar efter att 24-timmarsrapporten har lämnats in, inte 72 timmar efter att du fick kännedom. ENISA anger uttryckligen att en anmälan därför kan visas som försenad innan 72 timmar har löpt från kännedom, och att logiken kommer att ändras i en senare version så att den räknar från fältet "date and time when you became aware", både för sårbarheter och för incidenter.

Räknarna för slutrapporten skiljer sig åt igen. För en allvarlig incident visar räknaren en månad efter 72-timmarsanmälan. För en aktivt utnyttjad sårbarhet finns det ingen räknare alls, eftersom tidsfristen beror på när en korrigerande åtgärd blir tillgänglig, vilket plattformen inte kan veta.

Vid lanseringen registrerar plattformen inte när ni fick kännedom

Den 5 september 2026 ersatte ENISA sin fältvisa SRP-ordlista med version 1.1, och två fotnoter i den betyder mer än något annat på sidan. För en aktivt utnyttjad sårbarhet bär fältet Date/time when you become aware anmärkningen att det kommer att finnas i nästa version av plattformen. För en allvarlig incident anger anmärkningen att motsvarande fält i den nuvarande versionen heter Date/time the incident was detected.

Ställt bredvid räknarlogiken ovan sluter det en cirkel. FAQ:n sade att 72-timmarsräknaren skulle rättas när kännedomsfältet kom; ordlistan sade att fältet kommer i en senare version. Ingetdera rörde sig före öppningen: ENISA reviderade ordlistan igen till version 1.3 den 10 september 2026 och lämnade båda fotnoterna orörda. Från dag ett registrerar plattformen alltså inget kännedomsdatum alls för sårbarheter, och för incidenter registrerar den tidpunkten för upptäckt, vilket inte är tidpunkten för kännedom.

07Vad du kan göra i dag

Att klara ett 24-timmarsfönster är ett operativt problem, inte ett pappersarbetsproblem. Nu när plattformen är öppen är listan nedan inte längre förberedelse inför en framtida händelse; skyldigheten löper, och allt här som du inte har gjort är en exponering snarare än en plan.

• Skapa dina EU Login-konton, med MFA påslaget. För den primära rapportören och minst en reserv. Det tar några minuter på ecas.ec.europa.eu, och plattformen släpper inte in någon utan flerfaktorsautentisering, så att slå på den är en del av uppgiften snarare än en förfining av den.
• Identifiera din utsedda CSIRT. ENISA publicerade förteckningen över samordnare för alla 27 medlemsstater den 4 september 2026, så detta är nu en uppgift du kan slutföra. Tillämpa testet om huvudsakligt verksamhetsställe i artikel 14(7), välj din rad och skriv ner resonemanget.
• Bygg 24-timmarsformuläret internt. En kort mall som motsvarar ENISA:s obligatoriska fält för tidig varning, så att din första verkliga inlämning blir avskrift snarare än komposition. Förvara den på ett ställe som båda representanterna kan öppna, eftersom utkast i plattformen bara syns för den som skapade dem.
• Namnge personerna, även utanför kontorstid. Bestäm vem som bedömer att en rapport ska lämnas, vem som skriver den och vem som lämnar in den. Eftersom det inte finns något API är det sista steget en namngiven människa vid ett tangentbord.
• Håll en korrekt SBOM. Du kan inte rapportera om en komponent som du inte visste att du levererade. Upprätthåll en programvaruförteckning och håll den aktuell när versionerna ändras.
• Övervaka den kontinuerligt. Matcha dina komponenter mot källor för kända sårbarheter så att en aktivt utnyttjad brist upptäcks på timmar, inte veckor. Vår SBOM och sårbarhetsanalysverktyg spårar din materialförteckning mot NVD och EU:s sårbarhetsdatabas (EUVD).
• Bekräfta vad som faktiskt omfattas. 72-timmarssteget frågar efter produkttyp och kategori enligt bilaga III eller IV, så avgör klassificeringen innan du behöver den. Klassificeringsverktyget besvarar det, och efterlevnadsmatris kopplar rapportering till de bredare skyldigheterna för hantering av sårbarheter i Bilaga I som den ingår i.
• Bestäm vem som läser varningsfliken utanför kontorstid. En utsedd CSIRT kan ogiltigförklara en inlämning, och varningen om det landar i plattformen snarare än enbart i din inkorg. Placera en bevakad brevlåda bakom båda representantplatserna.
• Förlita dig inte på plattformens nedräkning. Registrera själv tidsstämpeln för när du fick kännedom. 72-timmarsräknaren på skärmen löper från inlämningen av 24-timmarsrapporten, inte från kännedom, så den kan markera en inlämning som försenad innan den rättsliga tidsfristen har löpt ut.
• Read the AR User Manual, and watch the tutorial video. ENISA published the manual at launch and added the AR User Tutorial Video within days, so between the two, plus the guidance pages, you have the fullest available description of the live platform.
• Kontrollera att du valt rätt samordnare innan du lämnar in. ENISA varnar nu för att val av fel CSIRT utsedd som samordnare kan leda till att anmälan ogiltigförklaras, vilket lämnar dig att lämna in på nytt till rätt mottagare med klockan fortfarande igång.

08Följ det vid källan

Denna sida återspeglar läget den 11 september 2026, dagen då plattformen öppnade. Det kommer att fortsätta röra på sig, och ENISA redigerar sina sidor tyst i stället för att tillkännage varje ändring. Veckan före lanseringen skrevs FAQ:n om den 4 september 2026 och uppdaterades igen den 10 september 2026, listan över samordnare dök upp den 4 september 2026 och omdaterades den 10 september 2026, ordlistan nådde version 1.1 den 5 september 2026 och version 1.3 den 10 september 2026, vägledningen om särskilt exceptionella omständigheter kom den 9 september 2026, och AR User Manual och plattformens användarvillkor publicerades den 10 september 2026. Sedan lanseringen har FAQ:n uppdaterats igen den 12 september 2026 (AR-användarens instruktionsvideo publicerades och SRP:s faktablad kom ut på ytterligare nio språk) och den 17 september 2026, då fråga 9 markerades som ”[UPPDATERAD]” för att dokumentera att en sekundär AR kan göra anspråk på den primära AR-rollen, med förbehåll för CDaC:s granskning. För supportfrågor publicerar ENISA en helpdesk-adress på navsidan, cra-srp-helpdesk [at] enisa.europa.eu. Detta är primärkällorna; allt ovanstående är vår läsning av dem.

• ENISA · Själva den gemensamma rapporteringsplattformen (i drift från den 11 september 2026); välj rollen Assigned Representative och logga in via EU Login med flerfaktorsautentisering. Det är här anmälningar lämnas in.portal.cra-srp.enisa.europa.eu
• ENISA · Gemensam rapporteringsplattform; navsidan, med faktabladet, användarhandboken, helpdesk-adressen och länkar till varje vägledningssida.enisa.europa.eu/topics/product-security/single-reporting-platform-srp
• ENISA · Vanliga frågor om SRP (uppdaterade 10 september 2026); rättslig grund, tidsfrister, dirigering, fälttabellen, räknarlogiken, vad man ska göra vid ett driftavbrott, och plattformens adress. Omskrivna den 4 september och utökade dagen före lanseringen. Den mest aktuella av ENISA:s SRP-sidor, och den som bör ges företräde där de motsäger varandra.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions
• ENISA · CRA SRP AR User Manual (10 september 2026); lanseringsdagens handbok för Assigned Representatives, och den fylligaste enskilda beskrivningen av plattformen så som den faktiskt öppnade.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-ar-user-manual
• ENISA · Förteckning över CSIRT som utsetts till samordnare (publicerad den 4 september 2026, uppdaterad den 10 september 2026); kontaktpunkter för alla 27 medlemsstater. Identifiera din rad med hjälp av testet i artikel 14(7) i avsnitt 04.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/list-of-csirts-designated-as-coordinators
• ENISA · CRA SRP-ordlista (version 1.3, 10 september 2026); fältvis vägledning om vad varje rapporteringsfält betyder, hur det fylls i, vilket format som förväntas, dess teckengräns och i vilket skede det gäller. Notera adressen: ENISA har flyttat ordlistan till en glossary2 URL och den äldre länkas fortfarande från vissa av ENISA:s egna sidor, så kontrollera versionsraden högst upp innan ni förlitar er på en kopia.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-glossary2
• ENISA · SRP vägledning för användarregistrering; det stegvisa registreringsflödet för primära användare och reservanvändare, med skärmbilder av gränssnittet.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-user-registration
• ENISA · SRP vägledning för inlämning av anmälningar; hur den tidiga varningen, 72-timmarsanmälan och slutrapporten lämnas in och uppdateras, och vad varje status utlöser.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-notification-submission-and-update
• ENISA · Vägledning om SRP:s gränssnittsfunktioner (9 september 2026); inställningar, kopplingar till tillverkare, översiktsvyn och fliken med varningar. Omdaterad på själva lanseringsdagen och överensstämmer nu med FAQ:n om att en overifierad koppling får lämna in upp till 20 anmälningar.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-interface-functions
• ENISA · CRA SRP användarvillkor (version 1.0, 10 september 2026); de villkor du godkänner när du registrerar dig på plattformen, publicerade dagen före öppningen.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-single-reporting-platform-terms-and-conditions
• ENISA · SRP-vägledning om särskilt exceptionella omständigheter (9 september 2026); när PEC gäller, växlingsknappen och fördröjningsskälen i 72-timmarsformuläret och vad den samordnande CSIRT gör med motiveringen. Den femte vägledningssidan, och den enda som behandlar PEC direkt.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-particular-exceptional-circumstances-pec
• Europeiska kommissionen · CRA:s rapporteringsskyldigheter; policysidan, inklusive FAQ om genomförandet av CRA vars avsnitt 5 behandlar rapportering. Kommissionen uppdaterade denna sida den 11 september 2026 för att bekräfta att plattformen nu är i drift, och kommissionens separata FAQ-dokument uppdaterades senast den 4 september 2026.digital-strategy.ec.europa.eu/en/policies/cra-reporting
• Europeiska kommissionen · Vägledning om tillämpningen av CRA (27 juli 2026); punkt 9.1 anger rapporteringsskyldigheterna för tillverkare och förvaltare av öppen källkod. Vår sammanfattning av vägledningen täcker resten.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
• ENISA · CRA SRP status; shows whether the platform is currently available or temporarily unavailable. If it is down, ENISA's FAQ 25 says to wait and submit once it is back, contacting your designated CSIRT directly if immediate communication is needed. The CRA does not pause the 24-hour, 72-hour or final-report deadlines during an outage, so record when you tried to file.enisa.europa.eu/.../cra-srp-status
• EU Login; skapa kontot som plattformen använder, och slå på flerfaktorsautentisering på det. Gör det nu.ecas.ec.europa.eu/cas/login

För den bindande texten anger artiklarna 14–17 rapporteringsekosystemet och artikel 16 inrättar plattformen; läs dem i vår förordningsläsare. Milstolpsdatum följs på sidan läget just nu .

09Vanliga frågor