Producent, który dowie się o aktywnie wykorzystywanej podatności w swoim produkcie albo o poważnym incydencie mającym wpływ na bezpieczeństwo produktu, wysyła wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, a następnie sprawozdanie końcowe. Obowiązek wynika z art. 14 CRA, stosuje się od 11 września 2026 r. i obejmuje także produkty wprowadzone do obrotu wcześniej.
- Zgłasza się dwa rodzaje zdarzeń: aktywnie wykorzystywane podatności w produkcie i poważne incydenty mające wpływ na bezpieczeństwo produktu.
- Terminy 24 i 72 godzin liczą się od chwili, gdy producent dowiedział się o zdarzeniu.
- Sprawozdanie końcowe: dla podatności najpóźniej 14 dni po udostępnieniu środka naprawczego lub łagodzącego, dla incydentu w ciągu miesiąca od zgłoszenia.
- Zgłoszenie składa się raz, przez pojedynczą platformę sprawozdawczą ENISA. Polski producent kieruje je do CSIRT NASK.
- Producent informuje też użytkowników, których zdarzenie dotyczy.
Co trzeba zgłosić na podstawie art. 14 CRA?
Zgłasza się dwa rodzaje zdarzeń: aktywnie wykorzystywaną podatność w produkcie z elementami cyfrowymi oraz poważny incydent mający wpływ na bezpieczeństwo produktu. Oba muszą dotyczyć produktu, a nie ogólnie firmy. Samo istnienie podatności albo incydent bez wpływu na produkt nie uruchamia obowiązku z art. 14.
Aktywnie wykorzystywana podatność
To podatność, w przypadku której istnieją wiarygodne dowody, że podmiot działający w złych zamiarach wykorzystał ją w systemie bez zgody właściciela systemu (art. 3 pkt 42). Nie wystarczy, że podatność istnieje albo że opublikowano jej opis. Liczy się dowód wykorzystania.
Poważny incydent mający wpływ na bezpieczeństwo produktu
Incydent uznaje się za poważny (art. 14 ust. 5), jeżeli:
- negatywnie wpływa lub może wpłynąć na zdolność produktu do ochrony dostępności, autentyczności, integralności lub poufności wrażliwych lub ważnych danych lub funkcji, albo
- prowadził lub może prowadzić do wprowadzenia lub uruchomienia złośliwego kodu w produkcie albo w sieci i systemach informatycznych użytkownika produktu.
Typowy przykład to włamanie do infrastruktury producenta, które pozwala podmienić aktualizację firmware albo przejąć klucz do jej podpisywania.
Czego nie trzeba zgłaszać na podstawie CRA?
Nie zgłasza się podatności, dla których nie ma wiarygodnych dowodów wykorzystania, ani incydentów, które nie wpływają na bezpieczeństwo produktu. Takie podatności producent obsługuje we własnym procesie i wydaje poprawkę. Tabela pokazuje pięć typowych sytuacji.
| Zdarzenie | Zgłoszenie z art. 14? | Dlaczego |
|---|---|---|
| Badacz zgłasza podatność w firmware, brak dowodów wykorzystania | Nie | Podatność nie jest aktywnie wykorzystywana. Obsługujesz ją w procesie CVD |
| W bibliotece użytej w produkcie opublikowano CVE, brak dowodów wykorzystania w Twoim produkcie | Nie | Trzeba ocenić wpływ i wydać poprawkę, ale to nie jest zdarzenie z art. 14 |
| Klienci zgłaszają przejęte urządzenia, analiza potwierdza wykorzystanie podatności | Tak | Aktywnie wykorzystywana podatność |
| Atakujący uzyskał dostęp do serwera aktualizacji | Tak | Może prowadzić do wprowadzenia złośliwego kodu do produktu |
| Ransomware w systemie księgowym producenta, bez wpływu na produkt i proces wydawania | Nie | Incydent nie wpływa na bezpieczeństwo produktu |
Zdarzenia spoza art. 14 można zgłosić dobrowolnie (art. 15). Takie zgłoszenie nie nakłada na zgłaszającego dodatkowych obowiązków. Incydent w firmie może też podlegać innym przepisom, na przykład o ochronie danych osobowych albo krajowym przepisom wdrażającym NIS2. To odrębne obowiązki.
Jakie są terminy i etapy zgłoszenia?
Zgłoszenie ma trzy etapy. Wczesne ostrzeżenie wysyła się w ciągu 24 godzin, a zgłoszenie w ciągu 72 godzin od chwili, gdy producent dowiedział się o zdarzeniu. Sprawozdanie końcowe składa się najpóźniej 14 dni po udostępnieniu środka naprawczego lub łagodzącego (podatność) albo w ciągu miesiąca od zgłoszenia (incydent).
| Etap | Termin | Podatność (art. 14 ust. 2) | Poważny incydent (art. 14 ust. 4) |
|---|---|---|---|
| Wczesne ostrzeżenie | Bez zbędnej zwłoki, najpóźniej w 24 godziny | Informacja o podatności i, w stosownych przypadkach, wskazanie państw członkowskich, w których produkt udostępniono | Co najmniej informacja, czy podejrzewa się działanie bezprawne lub w złym zamiarze, oraz wskazanie państw członkowskich |
| Zgłoszenie | Najpóźniej w 72 godziny | Ogólne informacje o produkcie, charakterze wykorzystania i podatności, podjęte środki naprawcze lub łagodzące oraz środki, które mogą podjąć użytkownicy | Ogólne informacje o rodzaju incydentu, podjęte środki naprawcze lub łagodzące oraz środki, które mogą podjąć użytkownicy |
| Sprawozdanie końcowe | Podatność: najpóźniej 14 dni po udostępnieniu środka naprawczego lub łagodzącego. Incydent: w ciągu miesiąca od zgłoszenia | Opis podatności, jej dotkliwości i skutków, informacje o podmiocie wykorzystującym podatność (jeśli dostępne), szczegóły aktualizacji zabezpieczeń lub innych środków naprawczych | Szczegółowy opis incydentu, jego dotkliwości i skutków, rodzaj zagrożenia lub prawdopodobna pierwotna przyczyna, zastosowane i bieżące środki ograniczające ryzyko |
CSIRT, który jako pierwszy otrzymał zgłoszenie, może poprosić o sprawozdanie okresowe z aktualizacją statusu (art. 14 ust. 6).
Komu i jak zgłasza się podatność lub incydent?
Zgłoszenie składa się jeden raz, przez pojedynczą platformę sprawozdawczą ustanowioną i prowadzoną przez ENISA. Producent korzysta z punktu zgłoszeń CSIRT wyznaczonego na koordynatora w państwie, w którym ma główną siedzibę w Unii, czyli tam, gdzie głównie zapadają decyzje o cyberbezpieczeństwie jego produktów. Zgłoszenie jest jednocześnie dostępne dla ENISA. Polski producent kieruje zgłoszenie do CSIRT NASK (CERT Polska).
Czy trzeba poinformować użytkowników?
Zgłoszenie do CSIRT to nie wszystko. Producent informuje użytkowników, na których zdarzenie ma wpływ, a w stosownych przypadkach wszystkich użytkowników, o podatności lub incydencie oraz, w razie potrzeby, o środkach ograniczających ryzyko i środkach naprawczych, które mogą wdrożyć (art. 14 ust. 8). Przepis nie podaje terminu w godzinach. Jeśli jednak producent nie zrobi tego w odpowiednim czasie, informację może przekazać CSIRT.
Jak wygląda pierwsze 72 godziny w praktyce?
W pierwszych 72 godzinach producent potwierdza zdarzenie, ustala podatne modele i wersje, wysyła wczesne ostrzeżenie, a następnie zgłoszenie z opisem podjętych środków i zaleceniami dla użytkowników. Równolegle informuje klientów. Poniższy przykład pokazuje kolejność działań.
Producent kamer IP dostaje w poniedziałek o 9:00 wiadomość od integratora: kilkanaście kamer u jednego klienta wysyła ruch do nieznanego serwera. Dyżurny inżynier potwierdza o 15:00, że atakujący wykorzystuje błąd w panelu administracyjnym. Od tej chwili producent wie o aktywnie wykorzystywanej podatności.
Do wtorku 15:00 wysyła wczesne ostrzeżenie i wskazuje państwa, w których sprzedaje kamery. Do czwartku 15:00 składa zgłoszenie: które modele i wersje firmware są podatne, na czym polega wykorzystanie, co zrobił (np. wyłączenie zdalnego dostępu w chmurze) i co mogą zrobić użytkownicy (odcięcie panelu od internetu). Równolegle informuje klientów. Sprawozdanie końcowe składa najpóźniej 14 dni po udostępnieniu środka naprawczego lub łagodzącego. Jeśli za taki środek uznać już wyłączenie zdalnego dostępu, termin biegnie od tej chwili, a nie od wydania nowego firmware.
Przykład pokazuje, gdzie firmy tracą czas: na ustaleniu, kto ma potwierdzić zdarzenie, które wersje są podatne i kto podejmuje decyzję o zgłoszeniu. Te trzy rzeczy da się przygotować wcześniej.
Co powinien zrobić producent?
Producent powinien przygotować się przed pierwszym zdarzeniem: wyznaczyć osobę decyzyjną, udostępnić adres do zgłaszania podatności, spisać kryteria oceny, mieć aktualny wykaz produktów i komponentów oraz dostęp do platformy zgłoszeń. W trakcie incydentu na te ustalenia nie ma już czasu.
- Wyznacz osobę odpowiedzialną i zastępcę. Ktoś musi mieć prawo zdecydować o zgłoszeniu także w weekend.
- Udostępnij adres do zgłaszania podatności. Informacje od badaczy i klientów powinny trafiać w jedno miejsce, a nie do działu sprzedaży.
- Spisz kryteria. Krótka instrukcja: kiedy podatność uznajemy za aktywnie wykorzystywaną, kiedy incydent jest poważny, kto to potwierdza.
- Miej aktualny wykaz produktów, wersji i komponentów. Bez niego nie odpowiesz w 72 godziny, które modele są podatne. Pomaga w tym SBOM.
- Uzyskaj dostęp do platformy przed pierwszym zdarzeniem. Rejestracja w trakcie incydentu zabiera godziny, których nie masz.
- Przygotuj szablony. Wczesne ostrzeżenie, zgłoszenie, sprawozdanie końcowe i komunikat dla klientów.
- Przećwicz procedurę. Jedno ćwiczenie na przykładowym scenariuszu pokaże, gdzie proces się zatrzymuje.
Zgłaszanie jest częścią szerszego obowiązku obsługi podatności, który opisujemy w artykule CRA dla producentów IoT i elektroniki. Kalendarz pozostałych obowiązków znajdziesz w artykule CRA 2026–2027: najważniejsze terminy.