Na kratko
Od 11. 9. 2026 morajo proizvajalci aktivno izkoriščene ranljivosti in hude incidente prijaviti prek enotne platforme za poročanje (ENISA): zgodnje opozorilo v 24 urah, obvestilo v 72 urah in končno poročilo. Obveznost velja tudi za izdelke, ki so bili na trg dani pred 11. 12. 2027.
Kaj je treba prijaviti?
- Aktivno izkoriščene ranljivosti v izdelku z digitalnimi elementi – ranljivosti, za katere obstajajo zanesljivi dokazi, da jih je nekdo izkoristil.
- Hude incidente, ki vplivajo na varnost izdelka.
Obveznost ima proizvajalec, ne glede na to, ali je ranljivost odkril sam ali mu jo je sporočil kdo drug.
V katerih rokih?
| Korak | Aktivno izkoriščena ranljivost | Hud incident |
|---|---|---|
| Zgodnje opozorilo | v 24 urah od seznanitve | v 24 urah od seznanitve |
| Obvestilo | v 72 urah od seznanitve | v 72 urah od seznanitve |
| Končno poročilo | najpozneje 14 dni po razpoložljivosti popravka ali ukrepa za omilitev | v enem mesecu po obvestilu |
Kam se prijavi?
Prek enotne platforme za poročanje, ki jo upravlja ENISA. Prijava gre CSIRT-u, ki je v državi glavnega sedeža proizvajalca v EU določen kot koordinator za usklajeno razkrivanje ranljivosti, in je hkrati dostopna agenciji ENISA (14(7). člen). Za proizvajalce s sedežem v Sloveniji je to SI-CERT (ZInfV-1, 17. in 59. člen). Glavni sedež je v državi, kjer se pretežno sprejemajo odločitve o kibernetski varnosti izdelkov; če tega ni mogoče določiti, v državi z največ zaposlenimi v EU.
Ali velja tudi za izdelke, ki so že na trgu?
Da. Po 69(3). členu se obveznost prijave uporablja za vse izdelke z digitalnimi elementi v obsegu uredbe, ki so bili na trg dani pred 11. 12. 2027. Proizvajalec mora zato poznati tudi starejše izdelke in komponente v njih.
Ali je treba obvestiti uporabnike?
Da. Po seznanitvi z aktivno izkoriščeno ranljivostjo ali hudim incidentom mora proizvajalec obvestiti prizadete uporabnike – po potrebi vse uporabnike – in jim sporočiti ukrepe za omilitev in odpravo, kjer je primerno v strukturirani, strojno berljivi obliki. Če proizvajalec uporabnikov ne obvesti pravočasno, jih lahko obvesti CSIRT, ki je prejel prijavo (14(8). člen).
Kaj potrebujete interno?
Kontaktna točka
Javno objavljen naslov za prijavo ranljivosti, na primer v datoteki
security.txt.Triaža
Postopek za oceno, ali je ranljivost aktivno izkoriščena ali je incident hud – z vlogami in nadomeščanji, da roki 24 in 72 ur držijo tudi med prazniki.
Politika usklajenega razkrivanja ranljivosti (CVD)
Kako sprejmete prijavo, komunicirate s prijaviteljem in objavite popravek.
Seznam komponent (SBOM)
Brez njega ne veste, kateri izdelki so prizadeti, ko je objavljena ranljivost v komponenti.
Predloge prijav in vaja
Pripravljene vsebine za zgodnje opozorilo, obvestilo in končno poročilo ter preizkus postopka.
Za industrijske izdelke je smiselna povezava z IEC 62443-4-1, za organizacijo pa z ISO/IEC 27001 (A.8.8, A.8.25–A.8.29).
Kakšne so kazni?
Za kršitve obveznosti iz 14. člena (prijava) in 13. člena ter bistvenih zahtev do 15 milijonov EUR ali 2,5 % skupnega svetovnega letnega prometa, pri čemer se uporabi višji znesek (64. člen).
Pogosta vprašanja
Od kdaj velja obveznost prijave po CRA?
Od 11. 9. 2026. Velja tudi za izdelke z digitalnimi elementi, ki so bili na trg dani pred 11. 12. 2027 (69(3). člen).
Ali je treba prijaviti vsako ranljivost?
Ne. Obveznost prijave velja za aktivno izkoriščene ranljivosti in hude incidente, ki vplivajo na varnost izdelka. Druge ranljivosti proizvajalec obravnava v okviru procesa obravnavanja ranljivosti in politike usklajenega razkrivanja.
Kam se prijavi?
Prek enotne platforme za poročanje, ki jo upravlja ENISA, CSIRT-u, ki je v državi glavnega sedeža proizvajalca v EU določen kot koordinator za usklajeno razkrivanje ranljivosti. Za proizvajalce s sedežem v Sloveniji je to SI-CERT.
Viri
- Uredba (EU) 2024/2847 (CRA), 13., 14., 64. in 69. člen – EUR-Lex
- gov.si – Usklajeno razkrivanje ranljivosti in evropska podatkovna zbirka ranljivosti (1. 7. 2025)
- Zakon o informacijski varnosti (ZInfV-1), 17. in 59. člen – Uradni list RS
Zadnja posodobitev: · Pripravila ekipa Regulus Ai
Potrebujete proces prijave ranljivosti, ki drži roke 24 in 72 ur?
Dogovorite uvodni posvet