Pareiga jau taikoma
Nuo 2026 m. rugsėjo 11 d. gamintojai turi pranešti apie aktyviai išnaudojamus pažeidžiamumus ir didelius incidentus, darančius poveikį produkto saugumui. Pagal CRA 69 straipsnį pranešimo pareigos apima ir anksčiau rinkai pateiktus produktus.
Ankstyvasis perspėjimas teikiamas per 24 valandas, išsamesnis pranešimas per 72 valandas nuo sužinojimo. Komandos tvarkoje turi būti aišku, kas vertina įvykį ir pavaduoja atsakingą asmenį.
Galutiniai terminai skiriasi
Aktyviai išnaudojamo pažeidžiamumo galutinė ataskaita pateikiama ne vėliau kaip per 14 dienų nuo taisomosios ar rizikos mažinimo priemonės prieinamumo.
Didelio incidento galutinė ataskaita pateikiama per vieną mėnesį nuo išsamesnio pranešimo apie incidentą. Viena visiems įvykiams skirta terminų lentelė šio skirtumo neatskleidžia.
Ką patikrinti praktiškai
Atlikite pranešimo proceso pratybas su sintetiniu įvykiu. Patikrinkite atsakingų asmenų pasiekiamumą, sprendimo pagrindimą ir pranešimo duomenų surinkimą. Užfiksuokite pratybų rezultatą ir taisytinas vietas.
Pranešimai teikiami per ENISA bendrą pranešimų platformą. Lietuvoje pagrindinę buveinę turinčių gamintojų pranešimus koordinuoja NKSC. Atvirosios programinės įrangos valdytojų pareigų pagal 24 straipsnį pradžia yra 2027 m. gruodžio 11 d.
Tai informacinis paaiškinimas. Konkrečios pareigos priklauso nuo produkto, organizacijos ir taikytinos teisės akto redakcijos.