./cra/reporting_clock --start
Zegar zgłoszeń CRA
Oblicz terminy zgłoszeń wynikające z Cyber Resilience Act i sprawdź, o które pola Single Reporting Platform ENISA pyta na każdym etapie.
Dowiadujesz się w chwili, gdy szybka wstępna ocena daje ci rozsądny stopień pewności, że podatność jest wykorzystywana albo że doszło do poważnego incydentu. Czas podajesz w swojej strefie czasowej, a platforma zapisuje go w UTC.
O co pyta formularz
Najpierw pola wymagane. Pola przeniesione kopiują się z poprzedniego etapu i można je zaktualizować. Nazwy pól podaję tak, jak brzmią na platformie (po angielsku).
- Określa, czy zgłoszenie dotyczy aktywnie wykorzystywanej podatności (AEV), czy poważnego incydentu (SI) mającego wpływ na bezpieczeństwo produktu z elementami cyfrowymi.
- Krótka, czytelna nazwa zgłoszenia.
- Zwięzłe podsumowanie faktów, produktu, którego dotyczy zgłoszenie, i zgłaszanego problemu.
- Nazwa osoby fizycznej lub prawnej, która rozwija lub wytwarza produkt z elementami cyfrowymi albo zleca jego zaprojektowanie, rozwój lub wytworzenie i wprowadza go do obrotu pod własną nazwą lub znakiem towarowym, odpłatnie, w celu monetyzacji lub nieodpłatnie.
- Państwa członkowskie, na których terytorium, według wiedzy producenta, udostępniono produkt, którego dotyczy zgłoszenie; na tej podstawie ustala się właściwe CSIRT.
- Nazwa identyfikująca produkt z elementami cyfrowymi, którego dotyczy zgłoszenie.
- Wersja, wydanie, build, model lub inne oznaczenie rewizji, które pozwala zidentyfikować egzemplarz produktu, którego dotyczy zgłoszenie.
- Data i godzina, w której producent lub inny właściwy podmiot po raz pierwszy wykrył podatność.
- Kategoria regulacyjna produktu według klasyfikacji CRA: standardowy, ważny lub krytyczny.
- W przypadku ważnego produktu z elementami cyfrowymi: klasa I lub klasa II, od której zależy tryb oceny zgodności.
- Kategoria produktu według CRA, zwykle wybierana z odpowiedniej listy w załączniku III lub IV do CRA.
- Określa, czy okres wsparcia produktu z elementami cyfrowymi dobiegł końca.
- Nazwa komponentu programowego lub sprzętowego, w którym występuje albo zaobserwowano podatność bądź incydent.
- Określa, czy spodziewane jest udostępnienie skutecznego środka ograniczającego ryzyko, np. aktualizacji zabezpieczeń lub wskazówek dla użytkowników.
- Działanie, które użytkownicy produktu mogą podjąć, aby zapobiec skutkom aktywnie wykorzystywanej podatności lub poważnego incydentu, ograniczyć je lub opanować.
- Ocena producenta, na ile wrażliwe są zgłaszane informacje; pomaga zdecydować, jak bezpiecznie je przetwarzać i rozpowszechniać.
- Działania już wdrożone przez producenta lub inny odpowiedzialny podmiot, aby usunąć problem albo ograniczyć związane z nim ryzyko lub skutki.
- Instrukcje lub działania, dzięki którym użytkownicy mogą ograniczyć narażenie lub skutki, w tym obejścia, zmiany konfiguracji, poprawki lub środki izolacji.
- Identyfikator CVE (CVE ID) nadany publicznie ujawnionej podatności w ramach programu Common Vulnerabilities and Exposures (CVE).
- Identyfikator wpisu o podatności w europejskiej bazie danych podatności (EUVD).
- Ogólny opis podatności i, jeśli jest znany, sposobu jej wykorzystania; pełna końcowa analiza techniczna nie jest jeszcze wymagana.
- Data i godzina, od której dostępny jest środek ograniczający ryzyko.
- Informacje o dostępnych środkach naprawczych i aktualizacjach zabezpieczeń.
- Pełny opis aktywnie wykorzystywanej podatności, obejmujący co najmniej jej wagę.
- Pełny opis aktywnie wykorzystywanej podatności, obejmujący co najmniej jej skutki.
- Znana lub szacowana data i godzina wystąpienia aktywnie wykorzystywanej podatności.
- Dostępne informacje o podmiocie, który wykorzystał lub wykorzystuje podatność; jeśli takich informacji brak, atrybucja nie jest wymagana.
- Wszelkie informacje, które mogą pomóc CSIRT wyznaczonemu jako koordynator (CDaC) w podjęciu decyzji.
Pola według: ENISA CRA SRP Glossary v1.3 (25 September 2026). Jeśli coś się nie zgadza, sprawdź na samej platformie.
Zrób to, zanim będzie potrzebne
Zarejestruj się zawczasu
Załóż osobiste konto EU Login z uwierzytelnianiem wieloskładnikowym dla każdej osoby, która będzie składać zgłoszenia, i zarejestruj firmę na Single Reporting Platform. Firma ma jednego głównego przedstawiciela i maksymalnie dwudziestu dodatkowych, a zanim zaprosisz współpracowników, powiązanie musi zostać zweryfikowane.
Wskaż, kto decyduje
Ustal, kto w firmie rozstrzyga, czy coś jest aktywnie wykorzystywane, i kto go zastępuje podczas nieobecności. Zegar 24-godzinny nie zatrzymuje się na weekend.
Znaj swoje rynki
Prowadź aktualną listę państw członkowskich, w których sprzedajesz każdy z produktów, bo wczesne ostrzeżenie wymaga tej informacji.
Ulga dla małych firm
Mikroprzedsiębiorstw i małych przedsiębiorstw nie można ukarać za niedotrzymanie 24-godzinnego terminu wczesnego ostrzeżenia. Termin 72-godzinny i termin raportu końcowego obowiązują je w pełni.
To wskazówki inżynierskie, a nie porada prawna. Terminy liczę według art. 14 CRA, tak jak objaśniają go wytyczne Komisji z lipca 2026 i dokumentacja ENISA.