Rättsakten om cyberresiliens – rapporteringsskyldigheter

Vilka är huvudreglerna?

Kreditvärderingsinstitutet kräver att tillverkare aktivt anmäler utnyttjade sårbarheter och allvarliga incidenter som påverkar säkerheten för deras produkter med digitala element. De måste lämna in en tidig varning inom 24 timmar efter att ha blivit medvetna, och en fullständig anmälan inom 72 timmar. En slutrapport måste lämnas in senast 14 dagar efter det att en korrigerande åtgärd finns tillgänglig för aktivt utnyttjade sårbarheter och inom en månad från 72-timmarsanmälan för allvarliga incidenter. Rapporteringsskyldigheter föreskrivs också för förvaltare av programvara med öppen källkod i enlighet med artikel 24.3 i kreditvärderingsinstitutet.

Tillverkarna rapporterar endast en gång via kreditvärderingsinstitutets gemensamma rapporteringsplattform. Anmälan riktas till den enhet för hantering av it-säkerhetsincidenter (CSIRT-enheten) där de har sitt huvudsakliga verksamhetsställe och informationen görs samtidigt tillgänglig för Enisa, såvida inte särskilda exceptionella omständigheter föreligger. Den CSIRT-enhet som ursprungligen tog emot underrättelsen kommer utan dröjsmål att dela underrättelsen med alla andra CSIRT-enheter på vars territorium produkten med digitala element har gjorts tillgänglig.  

Under exceptionella omständigheter och på grundval av motiverade cybersäkerhetsrelaterade skäl får CSIRT-enheten besluta att skjuta upp spridningen till andra CSIRT-enheter Den 11 december 2025 antog kommissionen en delegerad akt som ytterligare specificerar villkoren för tillämpning av sådana cybersäkerhetsrelaterade skäl.

Var ska tillverkarna lämna in sina anmälningar?

I enlighet med artikel 16 i förordningen om kreditvärderingsinstitut och i nära samarbete med CSIRT-nätverket har Enisa inrättat den gemensamma rapporteringsplattformen för kreditvärderingsinstitut, som är i drift från och med den 11 september 2026. Tillverkare och förvaltare av programvara med öppen källkod är skyldiga att lämna in sina anmälningar via den plattformen.

Länken till Enisas gemensamma rapporteringsplattform finns på Enisas webbplats för den gemensamma rapporteringsplattformen.

Var finns ytterligare information om rapporteringsskyldigheter och reformprogrammet?

Enisa har publicerat en rad resurser om hur man använder CRA SRP, inklusive vanliga frågor, användarvägledning, en CRA SRP-ordlista och utbildningsmaterial. Alla sådana resurser finns tillgängliga på Enisas webbplats för den gemensamma rapporteringsplattformen. 

Ytterligare förtydliganden om rapporteringsskyldigheter finns också i avsnitt 9.1 i kommissionens vägledning om kreditvärderingsinstitut samt i avsnitt 5 i kommissionens vanliga frågor om kreditvärderingsinstitutens genomförande.

Relevanta samarbetsorgan

• ENISA
• CSIRT-nätverket

Referensdokument och länkar

Enisas webbplats om den gemensamma rapporteringsplattformen

Vanliga frågor om genomförandet av kreditvärderingsinstitut

Kommissionens vägledning om kreditvärderingsinstitut

Delegerad akt om CSIRT-enheter som undanhåller anmälningar som ska spridas via den gemensamma rapporteringsplattformen