Уведомления по CRA с сентября 2026 года: основания, сроки и Single Reporting Platform

Что это

Состояние на 25 октября 2026 года. Статья 14 Регламента (EU) 2024/2847, Cyber Resilience Act (CRA), применяется к производителям с 11 сентября 2026 года. Перед использованием процедуры уведомления заново проверьте регламент, рекомендации Еврокомиссии по уведомлениям и инструкции ENISA по работе с платформой. Этот обзор объясняет опубликованные правила и не является юридической консультацией.

Уведомление требуется в двух случаях: при активной эксплуатации уязвимости в продукте с цифровыми элементами и при серьёзном инциденте, затрагивающем безопасность такого продукта. Статья 3(42) требует надёжных свидетельств злонамеренной эксплуатации без разрешения владельца системы. Статья 14(5) охватывает фактический или потенциальный ущерб защите чувствительных либо важных данных или функций, а также внедрение или выполнение вредоносного кода в продукте или системах пользователя. Это разные критерии. Регламент, статьи 3 и 14.

Почему это важно

ENISA объявило о запуске Single Reporting Platform (SRP) 11 сентября 2026 года. Платформа направляет уведомления назначенной координирующей группе реагирования на инциденты компьютерной безопасности (CSIRT) и ENISA. Принимающая CSIRT передаёт сведения соответствующим национальным группам с учётом предусмотренных регламентом исключений, допускающих отсрочку распространения. Сообщение ENISA о запуске.

Начальные сроки отсчитываются с момента, когда стало известно о событии, а не с одобрения руководством или завершения расследования. Статья 69(3) также распространяет уведомления по статье 14 на подпадающие под регламент продукты, выведенные на рынок до 11 декабря 2027 года. Более позднее начало применения большинства требований CRA не откладывает эту обязанность. Регламент, статьи 14, 69 и 71.

Как применять

• Зафиксируйте момент получения сведений и классифицируйте событие. Сохраните свидетельства активной эксплуатации или соответствия критериям серьёзности инцидента. Одного обнаружения уязвимости недостаточно, чтобы установить злонамеренную эксплуатацию.
• Отправьте раннее предупреждение без промедления, не позднее чем через 24 часа. Где применимо, укажите государства — члены ЕС, в которых продукт, как известно, доступен. Для инцидента также укажите, подозревается ли незаконная или злонамеренная деятельность.
• Предоставьте следующее уведомление без промедления, не позднее чем через 72 часа с момента получения сведений о событии. Если они ещё не были представлены, включите доступные сведения о продукте или инциденте, соответствующую оценку, уже принятые меры по снижению риска и меры, которые могут принять пользователи. Где применимо, укажите чувствительность информации.
• Используйте правильную точку отсчёта для итогового отчёта. Для уязвимости срок составляет 14 дней с момента появления исправляющей меры или меры по снижению риска. Включите серьёзность, последствия, доступную информацию о злоумышленнике и подробности устранения. Для серьёзного инцидента срок составляет один месяц после подачи уведомления об инциденте на 72-часовом этапе; включите серьёзность, последствия, вероятную угрозу или причину, а также применённые или выполняемые меры по снижению риска. Эти отдельные правила изложены в статье 14(2) и (4), а также обобщены Еврокомиссией.
• Выберите координирующую CSIRT согласно статье 14(7). Обычно выбор определяется основным местом деятельности производителя в ЕС. Производители, у которых такого места нет, используют критерии в порядке, установленном этим пунктом. Сохраняйте подтверждения подачи и последующие запросы.
• Информируйте затронутых пользователей. Статья 14(8) отдельно требует предоставлять сведения об уязвимости или инциденте и, при необходимости, о защитных или исправляющих мерах; уведомление органа власти этого не заменяет.

Подводные камни

Не отсчитывайте 72 часа от подачи раннего предупреждения или 14 дней от обнаружения уязвимости. В FAQ ENISA, обновлённом 15 октября 2026 года, есть предупреждение: действующие счётчики платформы могут отличаться от установленных законом сроков. Ведите независимый учёт сроков; напоминания не заменяют ответственности производителя. FAQ ENISA по SRP, вопрос 26.