Od 11. rujna 2026. proizvođači moraju izvješćivati o iskorištenim ranjivostima i ozbiljnim incidentima koji utječu na sigurnost proizvoda s digitalnim elementima. U skladu s člankom 71. stavkom 2. CRA-e upravitelji softvera otvorenog koda podliježu obvezama izvješćivanja (članak 24. stavak 3.) od 11. prosinca 2027.
Koja su glavna pravila?
Agencija za kreditni rejting od proizvođača zahtijeva da obavijeste o iskorištenim ranjivostima i ozbiljnim incidentima koji utječu na sigurnost njihova proizvoda s digitalnim elementima. Moraju podnijeti rano upozorenje u roku od 24 sata od saznanja, a potpunu obavijest u roku od 72 sata. Završno izvješće mora se podnijeti najkasnije 14 dana nakon što je korektivna mjera dostupna za aktivno iskorištene ranjivosti i u roku od mjesec dana od 72-satne obavijesti o ozbiljnim incidentima. Obveze izvješćivanja predviđene su i za upravitelje softvera otvorenog koda u skladu s člankom 24. stavkom 3. Agencije za kreditni rejting.
Proizvođači izvješćuju samo jednom putem jedinstvene platforme za izvješćivanje o agencijama za kreditni rejting. Obavijest je upućena timu za odgovor na računalne sigurnosne incidente (CSIRT) u kojem imaju glavni poslovni nastan i, osim ako se primjenjuju posebno iznimne okolnosti, informacije se istodobno stavljaju na raspolaganje ENISA-i. CSIRT koji je prvotno primio obavijest bez odgode će podijeliti obavijest sa svim drugim CSIRT-ovima na čijem je državnom području proizvod s digitalnim elementima stavljen na raspolaganje.
U iznimnim okolnostima i na temelju opravdanih razloga povezanih s kibersigurnošću CSIRT može odlučiti odgoditi širenje drugim CSIRT-ovima: Komisija je 11. prosinca 2025. donijela delegirani akt kojim se dodatno utvrđuju uvjeti za primjenu takvih razloga povezanih s kibersigurnošću.
Gdje bi proizvođači trebali dostavljati svoje obavijesti?
U skladu s člankom 16. CRA-a i u bliskoj suradnji s mrežom CSIRT-ova ENISA je uspostavila jedinstvenu platformu za izvješćivanje o CRA-ovima, koja je operativna od 11. rujna 2026. Proizvođači i upravitelji softvera otvorenog koda dužni su dostaviti svoje obavijesti putem te platforme.
Poveznica na ENISA-inu jedinstvenu platformu za izvješćivanje nalazi se na ENISA-inoj internetskoj stranici o jedinstvenoj platformi za izvješćivanje.
Gdje se mogu pronaći dodatne informacije o obvezama izvješćivanja i SRP-u?
ENISA je objavila niz resursa o tome kako upotrebljavati SRP za agencije za kreditni rejting, uključujući najčešća pitanja, smjernice za korisnike, pojmovnik za SRP za agencije za kreditni rejting i materijale za osposobljavanje. Svim takvim resursima može se pristupiti na mrežnoj stranici ENISA-e o jedinstvenoj platformi za izvješćivanje.
Dodatna pojašnjenja obveza izvješćivanja sadržana su i u odjeljku 9.1. smjernica Komisije o agencijama za kreditni rejting te u odjeljku 5. najčešćih pitanja Komisije o provedbi agencija za kreditni rejting.
Relevantna tijela za suradnju
Referentni dokumenti i poveznice
Internetska stranica ENISA-e o jedinstvenoj platformi za izvješćivanje
Najčešća pitanja o provedbi agencija za kreditni rejting
Smjernice Komisije o agencijama za kreditni rejting
Delegirani akt o zadržavanju obavijesti CSIRT-ova koje se šire putem jedinstvene platforme za izvješćivanje
Povezani sadržaj
Šira slika
Last update
11 rujna 2026