Terminy raportowania CRA: 24 godziny, 72 godziny, 14 dni

Od czego liczy się zegar w art. 14 CRA, kto odbiera zgłoszenie i co musi zawierać każdy z trzech etapów raportowania.

Michał Jaśniewski 21 października 2026 8 min czytania

Od 11 września 2026 r. producent produktu z elementami cyfrowymi ma 24 godziny na wysłanie wczesnego ostrzeżenia, 72 godziny na pełne zgłoszenie i 14 dni (podatność) albo miesiąc (poważny incydent) na sprawozdanie końcowe. Zegar startuje nie w momencie publikacji poprawki ani zamknięcia incydentu, lecz w chwili, w której producent uzyskał informację o aktywnie wykorzystywanej podatności lub poważnym incydencie — i to ta jedna data decyduje o tym, czy pozostałe terminy zostaną dotrzymane. Adresatem jest CSIRT wyznaczony jako koordynator w państwie głównej siedziby producenta oraz, równolegle, ENISA; zgłoszenie składa się raz, przez pojedynczą platformę sprawozdawczą (SRP).

Dwa osobne zegary, nie jeden

CRA rozdziela dwa zdarzenia i prowadzi je po dwóch różnych ścieżkach.

Pierwsza to podatność aktywnie wykorzystywana — zgodnie z art. 3 pkt 42 to podatność, dla której istnieją wiarygodne dowody, że podmiot działający w złym zamiarze wykorzystał ją w systemie bez zgody właściciela. Obowiązek zgłoszenia reguluje art. 14 ust. 1 i 2.

Druga to poważny incydent wpływający na bezpieczeństwo produktu — art. 14 ust. 3 i 4. Kryteria dotkliwości są w art. 14 ust. 5: incydent jest poważny, jeśli negatywnie wpływa (lub może wpłynąć) na zdolność produktu do ochrony dostępności, autentyczności, integralności lub poufności wrażliwych albo istotnych danych i funkcji, albo doprowadził (lub może doprowadzić) do wprowadzenia bądź wykonania złośliwego kodu w produkcie lub w sieciach użytkownika.

Różnica praktyczna jest jedna, ale kosztowna: ostatni etap liczy się inaczej. Przy podatności sprawozdanie końcowe wiąże się z dostępnością poprawki, przy incydencie — z datą wysłania zgłoszenia 72-godzinnego.

Od czego dokładnie liczy się 24 godziny

Punktem odniesienia jest uzyskanie informacji o zdarzeniu, nie decyzja zarządu ani potwierdzenie przez dostawcę. Jeśli zgłoszenie zewnętrznego badacza wpłynęło na skrzynkę security w piątek po południu, zegar ruszył w piątek po południu.

To przesuwa ciężar z prawa na proces. Trzeba mieć udokumentowany moment „uzyskania informacji” dla każdego kanału wejścia: skrzynki CVD, systemu ticketowego, alertu z monitoringu, informacji od dostawcy komponentu.

Bez tego rejestru nie da się później wykazać, że termin został dotrzymany — a dowód spoczywa na producencie, bo to on na uzasadniony wniosek organu nadzoru rynku przedstawia informacje potwierdzające zgodność (art. 13 ust. 22).

Etap 1: wczesne ostrzeżenie (24 h)

Wczesne ostrzeżenie składa się bez zbędnej zwłoki, najpóźniej 24 godziny od uzyskania informacji. Jest celowo skromne — to sygnał, nie analiza.

Przy podatności wskazuje, w których państwach członkowskich produkt został — według wiedzy producenta — udostępniony.

Przy incydencie zawiera co najmniej informację, czy podejrzewa się, że incydent jest skutkiem działań bezprawnych lub w złym zamiarze, oraz, o ile ma to zastosowanie, wskazanie państw, w których produkt jest dostępny.

Etap 2: zgłoszenie (72 h)

W ciągu 72 godzin od uzyskania informacji producent składa pełniejsze zgłoszenie — chyba że dane te przekazał już wcześniej.

Przy podatności zakres obejmuje: informacje ogólne o produkcie, ogólny charakter podatności i jej wykorzystania, zastosowane środki naprawcze lub ograniczające ryzyko oraz środki, które mogą podjąć użytkownicy. Zgłoszenie zawiera też wskazanie, jak wrażliwe są przekazywane informacje w ocenie producenta.

Przy incydencie: informacje ogólne o charakterze incydentu, wstępna ocena, podjęte środki, środki dostępne użytkownikom i ta sama adnotacja o wrażliwości.

Adnotacja o wrażliwości nie jest formalnością. Art. 16 ust. 2 wiąże ją z możliwością czasowego wstrzymania rozpowszechniania zgłoszenia do CSIRT innych państw — czyli z realnym ryzykiem, że informacja o niezałatanej luce rozejdzie się szerzej, niż producent jest w stanie obsłużyć.

Etap 3: sprawozdanie końcowe (14 dni albo 1 miesiąc)

Podatność: sprawozdanie najpóźniej 14 dni po udostępnieniu środka naprawczego lub ograniczającego ryzyko. Zawiera opis podatności z oceną dotkliwości i skutków, dostępne informacje o podmiocie, który podatność wykorzystał, oraz szczegóły aktualizacji bezpieczeństwa lub innych środków naprawczych.

Poważny incydent: sprawozdanie w ciągu miesiąca od zgłoszenia 72-godzinnego. Zawiera szczegółowy opis incydentu z dotkliwością i skutkami, prawdopodobny rodzaj zagrożenia lub przyczynę źródłową oraz środki ograniczające — zastosowane i nadal prowadzone.

Dodatkowo CSIRT koordynator, który pierwszy otrzymał zgłoszenie, może na podstawie art. 14 ust. 6 zażądać raportu okresowego ze statusem sprawy. Terminy pośrednie nie są więc zamknięte na trzech datach.

Kto jest adresatem i jak wybrać właściwy CSIRT

Zgłoszenie wysyła się raz, przez pojedynczą platformę sprawozdawczą prowadzoną przez ENISA na podstawie art. 16. Platforma kieruje je dalej.

Pierwszym odbiorcą jest CSIRT wyznaczony jako koordynator w państwie członkowskim, w którym producent ma główną siedzibę (art. 14 ust. 7). ENISA otrzymuje zgłoszenie równolegle. CSIRT, który otrzymał je pierwszy, rozpowszechnia je bez zwłoki do CSIRT koordynatorów państw, w których produkt jest dostępny, a krajowe CSIRT przekazują niezbędny zakres informacji swoim organom nadzoru rynku.

Główna siedziba to państwo, w którym podejmowane są przeważnie decyzje dotyczące cyberbezpieczeństwa produktów. Jeśli nie da się tego ustalić — państwo jednostki o największej liczbie pracowników w Unii.

Producent bez głównej siedziby w UE schodzi po kaskadzie z art. 14 ust. 7: państwo upoważnionego przedstawiciela dla największej liczby produktów, następnie importera, następnie dystrybutora, a w ostatniej kolejności — państwo, w którym znajduje się najwięcej użytkowników. W tym ostatnim przypadku kolejne zgłoszenia można kierować do tego samego CSIRT, do którego zgłoszono pierwsze zdarzenie.

Dla producenta z Polską jako główną siedzibą punktem kontaktowym wskazanym na liście ENISA (aktualizacja z 10 września 2026 r.) jest CERT Polska / CSIRT NASK — przez ścieżkę CVD pod adresem cert.pl.

Obowiązek poinformowania użytkowników

Art. 14 ust. 8 nakłada równoległy obowiązek wobec rynku, nie tylko wobec organów. Po uzyskaniu informacji o aktywnie wykorzystywanej podatności lub poważnym incydencie producent informuje użytkowników, których to dotyczy — a gdy jest to właściwe, wszystkich użytkowników — o zdarzeniu, ryzyku oraz dostępnych środkach naprawczych i ograniczających.

Rozporządzenie wskazuje, że tam, gdzie to właściwe, informacja powinna mieć postać ustrukturyzowaną i nadającą się do automatycznego przetwarzania. To wprost otwiera drogę na CSAF/VEX jako format komunikatu bezpieczeństwa, zamiast PDF-a na stronie.

Jeśli producent nie poinformuje użytkowników w odpowiednim czasie, CSIRT, które otrzymały zgłoszenie, mogą zrobić to same — o ile jest to proporcjonalne i konieczne, by zapobiec szkodzie lub ją ograniczyć. Utrata kontroli nad komunikacją o własnej luce jest tu realnym scenariuszem biznesowym.

Co to znaczy operacyjnie

Trzy rzeczy decydują o tym, czy 24 godziny są wykonalne.

Dodatkowo: komponenty obce. Art. 13 ust. 6 wymaga, by producent, który znajdzie podatność w zintegrowanym komponencie (także open source), zgłosił ją podmiotowi odpowiedzialnemu za ten komponent. Zegar z art. 14 nie czeka na odpowiedź dostawcy.

Bez aktualnego zestawienia komponentów (SBOM) nie da się w 24 godziny odpowiedzieć na pytanie „czy nasz produkt zawiera podatny komponent i w których wersjach”. Dlatego SBOM przestaje być dobrą praktyką, a staje się warunkiem dotrzymania terminu — tak samo jak wykrywanie podatności przy każdej zmianie w kodzie, a nie raz na kwartał, i ślad wydań, który wynika z zapisów pipeline’u, a nie z pamięci zespołu.

Jeśli ten proces jeszcze nie działa, kolejność, która ma sens:

  1. Ustal, czy jesteś producentem w rozumieniu CRA — i dla których produktów. To determinuje zakres.
  2. Zbuduj widoczność składników — automatyczny SBOM dla każdego wydania.
  3. Wepnij wykrywanie podatności w proces budowania — żeby czas reakcji nie zależał od tego, kto akurat zauważy alert.
  4. Zdefiniuj i przećwicz ścieżkę zgłoszenia — kto decyduje, gdzie zgłasza, w jakim czasie — zanim pierwsze zgłoszenie będzie potrzebne naprawdę.

Daty, które porządkują planowanie

Osobno: rozporządzenie delegowane Komisji (UE) 2026/881, przyjęte 11 grudnia 2025 r., określa warunki wstrzymania rozpowszechniania zgłoszeń przewidzianego w art. 16 ust. 2.

Źródła

Materiał informacyjny, nie opinia prawna. Opisuje warstwę techniczną i procesową obowiązków wynikających z rozporządzenia (UE) 2024/2847; pełna zgodność wymaga także działań organizacyjnych i prawnych po stronie podmiotu i nie zastępuje opinii prawnej ani formalnej oceny zgodności. Stan na październik 2026 r.

CRARaportowaniePodatności