Od 11 września 2026 r. producenci są zobowiązani do zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów mających wpływ na bezpieczeństwo produktów z elementami cyfrowymi. Zgodnie z art. 71 ust. 2 agencji ratingowej zarządcy otwartego oprogramowania podlegają obowiązkom sprawozdawczym (art. 24 ust. 3) od dnia 11 grudnia 2027 r.
Jakie są główne zasady?
Agencja ratingowa zobowiązuje producentów do zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów mających wpływ na bezpieczeństwo ich produktu z elementami cyfrowymi. Muszą złożyć wczesne ostrzeżenie w ciągu 24 godzin od powzięcia wiadomości, a pełne powiadomienie w ciągu 72 godzin. Sprawozdanie końcowe należy przedłożyć nie później niż 14 dni po udostępnieniu środka naprawczego w odniesieniu do aktywnie wykorzystywanych podatności oraz w ciągu miesiąca od 72-godzinnego powiadomienia o poważnych incydentach. Przewidziano również obowiązki sprawozdawcze dla zarządców otwartego oprogramowania zgodnie z art. 24 ust. 3 agencji ratingowej.
Producenci składają sprawozdania tylko raz za pośrednictwem jednolitej platformy sprawozdawczości agencji ratingowych. Zgłoszenie jest kierowane do zespołu reagowania na incydenty bezpieczeństwa komputerowego (CSIRT), w którym znajduje się jego główna siedziba, oraz, o ile nie zachodzą szczególnie wyjątkowe okoliczności, informacje są udostępniane jednocześnie ENISA. CSIRT, który początkowo otrzymał zgłoszenie, niezwłocznie udostępni je wszystkim pozostałym CSIRT, na terytorium których udostępniono produkt z elementami cyfrowymi.
W wyjątkowych okolicznościach i w oparciu o uzasadnione względy związane z cyberbezpieczeństwem CSIRT może podjąć decyzję o opóźnieniu rozpowszechniania wśród innych CSIRT: 11 grudnia 2025 r. Komisja przyjęła akt delegowany doprecyzowujący warunki stosowania takich podstaw związanych z cyberbezpieczeństwem.
Gdzie producenci powinni składać zgłoszenia?
Zgodnie z art. 16 rozporządzenia w sprawie agencji ratingowych i w ścisłej współpracy z siecią CSIRT ENISA utworzyła jednolitą platformę sprawozdawczości agencji ratingowych, która funkcjonuje od dnia 11 września 2026 r. Producenci i stewardzi oprogramowania open source są zobowiązani do przekazywania powiadomień za pośrednictwem tej platformy.
Link do jednolitej platformy sprawozdawczości ENISA można znaleźć na stronie internetowej jednolitej platformy sprawozdawczości ENISA.
Gdzie można znaleźć dalsze informacje na temat obowiązków sprawozdawczych i SRP?
ENISA opublikowała szereg zasobów dotyczących sposobu korzystania ze SRP agencji ratingowych, w tym często zadawane pytania, wytyczne dla użytkowników, glosariusz SRP agencji ratingowych i materiały szkoleniowe. Wszystkie takie zasoby są dostępne na stronie internetowej Jednolitej Platformy Sprawozdawczej ENISA.
Dalsze wyjaśnienia dotyczące obowiązków sprawozdawczych zawarto również w sekcji 9.1 wytycznych Komisji dotyczących agencji ratingowych, a także w sekcji 5 często zadawanych pytań Komisji dotyczących wdrażania agencji ratingowych.
Odpowiednie organy współpracy
Dokumenty referencyjne i linki
Strona internetowa ENISA na temat jednolitej platformy sprawozdawczości
Często zadawane pytania dotyczące wdrażania agencji ratingowych
Wytyczne Komisji dotyczące agencji ratingowych
Akt delegowany w sprawie CSIRT wstrzymujących powiadomienia, które mają być rozpowszechniane za pośrednictwem jednolitej platformy sprawozdawczej
Podobne tematy
W szerszej perspektywie
Last update
11 wrzesień 2026