Od 11. září 2026 jsou výrobci povinni hlásit aktivně zneužívané zranitelnosti a závažné incidenty s dopadem na bezpečnost produktů s digitálními prvky. V souladu s čl. 71 odst. 2 ratingové agentury podléhají správci softwaru s otevřeným zdrojovým kódem oznamovací povinnosti (čl. 24 odst. 3) od 11. prosince 2027.
Jaká jsou hlavní pravidla?
Ratingová agentura vyžaduje, aby výrobci oznamovali aktivně zneužívané zranitelnosti a závažné incidenty, které mají dopad na bezpečnost jejich produktu s digitálními prvky. Musí předložit včasné varování do 24 hodin od okamžiku, kdy se o tom dozví, a úplné oznámení do 72 hodin. Závěrečná zpráva musí být předložena nejpozději do 14 dnů poté, co je k dispozici nápravné opatření pro aktivně zneužívané zranitelnosti, a do jednoho měsíce od 72hodinového oznámení závažných incidentů. Oznamovací povinnosti jsou rovněž stanoveny pro správce softwaru s otevřeným zdrojovým kódem v souladu s čl. 24 odst. 3 nařízení o ratingových agenturách.
Výrobci podávají zprávy prostřednictvím jednotné platformy pro oznamování ratingových agentur (SRP) pouze jednou. Oznámení je určeno skupině pro reakci na počítačové bezpečnostní incidenty (CSIRT), v níž má tato skupina hlavní provozovnu, a pokud nenastanou zvláštní výjimečné okolnosti, jsou tyto informace současně zpřístupněny agentuře ENISA. Tým CSIRT, který oznámení původně obdržel, bude oznámení neprodleně sdílet se všemi ostatními týmy CSIRT, na jejichž území byl produkt s digitálními prvky zpřístupněn.
Za výjimečných okolností a na základě opodstatněných důvodů souvisejících s kybernetickou bezpečností může tým CSIRT rozhodnout o odložení předání dalším týmům CSIRT: dne 11. prosince 2025 přijala Komise akt v přenesené pravomoci, který dále upřesňuje podmínky pro uplatňování těchto důvodů souvisejících s kybernetickou bezpečností.
Kde by měli výrobci předkládat svá oznámení?
Podle článku 16 nařízení o ratingových agenturách a v úzké spolupráci se sítí CSIRT zřídila agentura ENISA jednotnou platformu pro podávání zpráv o ratingových agenturách, která funguje od 11. září 2026. Výrobci a správci softwaru s otevřeným zdrojovým kódem jsou povinni podávat oznámení prostřednictvím této platformy.
Odkaz na jednotnou platformu agentury ENISA pro podávání zpráv je k dispozici na internetových stránkách agentury ENISA věnovaných jednotné platformě pro podávání zpráv (SRP).
Kde lze nalézt další informace o oznamovacích povinnostech a odvětvovém programu reforem?
Agentura ENISA zveřejnila řadu zdrojů o tom, jak SRP CRA používat, včetně často kladených otázek, uživatelských pokynů, glosáře SRP CRA a školicích materiálů. Všechny tyto zdroje jsou přístupné na internetových stránkách jednotné platformy agentury ENISA pro podávání zpráv (SRP).
Další vyjasnění týkající se oznamovacích povinností jsou rovněž obsažena v oddíle 9.1 pokynů Komise k ratingovým agenturám, jakož i v oddíle 5 často kladených otázek Komise týkajících se provádění ratingových agentur.
Příslušné orgány pro spolupráci
Referenční dokumenty a odkazy
Internetové stránky agentury ENISA o jednotné platformě pro podávání zpráv
Často kladené otázky týkající se provádění ratingových agentur
Pokyny Komise k ratingové agentuře
Akt v přenesené pravomoci o týmech CSIRT, které zadržují oznámení, jež mají být šířena prostřednictvím jednotné platformy pro podávání zpráv
Související obsah
Souvislosti