Krajowy organ
ds. certyfikacji cyberbezpieczeństwa

Powrót

Uruchomiono europejską platformę zgłaszania podatności i incydentów w ramach Aktu o cyberodporności

21.09.2026

Od 11 września 2026 r. producenci produktów z elementami cyfrowymi są zobowiązani do realizacji obowiązków wynikających z art. 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/2847, czyli Aktu o cyberodporności (CRA). Tego samego dnia Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) uruchomiła Single Reporting Platform (SRP), czyli wspólną europejską platformę służącą do zgłaszania aktywnie wykorzystywanych podatności oraz poważnych incydentów dotyczących produktów z elementami cyfrowymi dostępnych na rynku unijnym.

enisa srp logo

Jakie obowiązki wprowadza art. 14 CRA?

Art. 14 CRA nakłada na producentów produktów z elementami cyfrowymi obowiązek zgłaszania:

  • aktywnie wykorzystywanych podatności, zawartych w produkcie z elementami cyfrowymi, o których się dowiedział,
  • poważnych incydentów mających wpływ na bezpieczeństwo produktu z elementami cyfrowymi, o których się dowiedział.

Obowiązek dotyczy m.in. oprogramowania, aplikacji mobilnych, urządzeń Internetu Rzeczy oraz innych produktów zawierających elementy cyfrowe.

Wymienione powyżej podatności lub incydenty zgłaszać można na stronie internetowej platformy SRP prowadzonej przez ENISA pod adresem: https://portal.cra-srp.enisa.europa.eu/ 

Wspomniany przepis określa również terminy realizacji obowiązków zgłoszeniowych. Producent powinien przekazać wczesne ostrzeżenie nie później niż w ciągu 24 godzin od momentu uzyskania wiedzy o aktywnie wykorzystywanej podatności lub poważnym incydencie. Następnie powinien złożyć właściwe zgłoszenie w terminie 72 godzin, od momentu w którym dowiedział się o aktywnie wykorzystywanej podatności lub incydencie, z podaniem ogólnych informacji na temat produktu, ogólnego charakteru wykorzystania danej podatności lub incydentu, a także wszelkich środków naprawczych lub łagodzących, również tych które mogą podjąć użytkownicy.

Ostatnim etapem jest przekazanie sprawozdania końcowego. W przypadku podatności takie sprawozdanie należy przekazać nie później niż w ciągu 14 dni po udostępnieniu środka naprawczego lub łagodzącego, natomiast w przypadku poważnych incydentów, sprawozdanie końcowe należy złożyć w terminie miesiąca od zgłoszenia incydentu.

Incydent mający wpływ na bezpieczeństwo produktu z elementami cyfrowymi uznaje się za poważny, jeżeli:

  • negatywnie wpływa lub może mieć negatywny wpływ na zdolność do ochrony dostępności, autentyczności, integralności lub poufności wrażliwych lub ważnych danych lub funkcji,
  • lub prowadził lub może prowadzić do wprowadzenia lub uruchomienia kodu złośliwego w takim produkcie lub w sieci i systemach informatycznych użytkownika produktu.

W razie potrzeby koordynujący CSIRT może zwrócić się do producenta o przekazywanie dodatkowych raportów okresowych dotyczących rozwoju sytuacji. Producenci są również zobowiązani do informowania użytkowników o wykrytych podatnościach lub incydentach oraz o dostępnych działaniach ograniczających ryzyko.

Celem platformy jest maksymalne uproszczenie procesu raportowania poprzez umożliwienie przekazywania wymaganych informacji za pośrednictwem jednego elektronicznego punktu kontaktowego, z którego zgłoszenia są następnie udostępniane właściwym podmiotom, w tym krajowym zespołom reagowania na incydenty bezpieczeństwa komputerowego oraz ENISA.

CSIRT NASK koordynatorem zgłoszeń w Polsce

Zgłoszenia przekazywane za pośrednictwem platformy SRP trafiają do wyznaczonego koordynującego CSIRT państwa członkowskiego, a następnie są udostępniane pozostałym właściwym podmiotom zgodnie z mechanizmem określonym w CRA. Dzięki temu możliwe jest sprawne przekazywanie informacji o cyberzagrożeniach oraz koordynacja działań związanych z ograniczaniem ich ryzyka.

W Polsce podmiotem odpowiedzialnym za realizację zadań krajowego punktu kontaktowego w zakresie zgłoszeń wynikających z art. 14 CRA będzie CSIRT NASK.

W kierunku pełnego wdrożenia CRA

Wraz z uruchomieniem platformy SRP europejski system zgłaszania podatności i incydentów przewidziany w Akcie o cyberodporności zyskuje praktyczny wymiar. Dzięki prostemu mechanizmowi raportowania producenci mogą wypełniać swoje obowiązki w sposób bardziej efektywny, a właściwe organy sprawniej wymieniać informacje i szybciej reagować na pojawiające się zagrożenia. Choć pełne stosowanie przepisów CRA rozpocznie się w dniu 11 grudnia 2027 r., uruchomienie platformy SRP już teraz stanowi ważny krok w przygotowaniu europejskiego systemu cyberbezpieczeństwa do nowych wyzwań.

Więcej informacji na temat platformy SRP dostępnych jest na stronie internetowej ENISA:

 

{"register":{"columns":[]}}