Агенцията на ЕС за киберсигурност пусна в действие Единната платформа за докладване на Закона за киберустойчивост (CRA) на 11 септември 2026 г. — същия ден, в който задълженията за докладване по закона станаха задължителни за производителите. ENISA създаде инструмента и управлява ежедневните му операции — задача, която член 16, параграф 1 от CRA възлага на агенцията.
Всеки, който пуска продукт с дигитални елементи на пазара на ЕС, вече докладва за активно експлоатирани уязвимости и сериозни инциденти през този единен портал. Часовникът започва да тиктака от момента, в който производителят научи за събитието. Ранно предупреждение се подава в рамките на 24 часа, по-пълно уведомление с първоначална оценка — в рамките на 72 часа, а окончателен доклад — в рамките на 14 дни от предоставянето на коригираща или смекчаваща мярка. При сериозен инцидент окончателният доклад се изисква един месец след 72-часовото уведомление.
Едно подаване, след което CSIRT екипите го препредават
Производителят подава информация по електронен път и избира CSIRT, определен за координатор — националния екип за реагиране при инциденти, който първи получава данните. Този екип препраща уведомлението до CSIRT в други държави членки, където продуктът се предлага. ENISA получава копие в същия момент, освен ако производителят не посочи някое от изключителните обстоятелства по член 16, параграф 2, при което ENISA вижда частична информация, докато получаващият CSIRT не предостави останалата част.
Изборът на координатор е задължение на производителя. Общото правило е това да бъде държавата членка на основното ви установяване в ЕС, където предимно се вземат решенията за киберсигурността на вашите продукти. Ако изберете погрешен, уведомлението може да бъде обявено за невалидно и да трябва да бъде подадено отново до правилния координатор.
Регистрацията се извършва с акаунт в EU Login с многофакторна автентификация. Всеки производител получава един първичен назначен представител (Primary Assigned Representative) и до 20 вторични представители, като назначеният CSIRT потвърждава асоциирането. Представител, чието асоцииране все още е в процес на изчакване, може да подаде до 20 уведомления, преди верификацията да стане задължителна.
„Оптимизираното докладване и споделяне на информация за активно експлоатирани уязвимости и сериозни инциденти спомага за изграждането на по-устойчив Цифров единен пазар“, заяви изпълнителният директор на ENISA Юхан Лепасаар.
Какво липсва в първата версия
В тази версия липсва API, така че уведомленията преминават през уеб интерфейса. ENISA посочва, че организациите могат да автоматизират вътрешните си работни процеси и да получат API функционалност в бъдеща фаза. Доставчик с няколко засегнати продуктови линии все още въвежда по едно уведомление за събитие във форма и се координира между своите клонове и дъщерни дружества, така че да бъде подадено точно едно уведомление.
Платформата е на английски език при стартирането, като преводите на придружаващите материали предстоят. Доброволните доклади за уязвимости, киберзаплахи, инциденти и ситуации, близки до инцидент, по член 15 са планирани за по-късен етап. Управляващите софтуер с отворен код подлежат на същото задължение от 11 декември 2027 г.