Single Reporting Platform

Single Reporting Platform (SRP), jednotná platforma pro podávání zpráv, je webový portál, přes který výrobci zasílají oznámení, která vyžaduje Cyber Resilience Act (CRA): o aktivně zneužívaných zranitelnostech a závažných incidentech týkajících se jejich produktů. Provozuje ji ENISA, Agentura Evropské unie pro kybernetickou bezpečnost, na základě článku 16 nařízení (EU) 2024/2847. Spuštěna byla 11. září 2026, v den, kdy se začaly uplatňovat oznamovací povinnosti podle CRA.

Co se oznamuje a dokdy

Výrobci oznamují dva druhy událostí: aktivně zneužívanou zranitelnost v produktu s digitálními prvky a závažný incident, který ovlivňuje bezpečnost takového produktu. Oba pojmy nařízení definuje. Každá událost prochází třemi kroky:

Krok	Lhůta	Týká se
Včasné varování	Do 24 hodin od zjištění	Obou
Oznámení	Do 72 hodin od zjištění	Obou
Závěrečná zpráva	Do 14 dnů od zpřístupnění opravy nebo zmírnění	Aktivně zneužívaných zranitelností
Závěrečná zpráva	Do jednoho měsíce od oznámení	Závažných incidentů

Lhůty stanoví článek 14 CRA, nikoli portál, a SRP FAQ agentury ENISA je opakuje. Povinnost se vztahuje i na produkty, které už jsou na trhu, nejen na ty, které jsou na trh uvedeny poté, co se CRA začne plně uplatňovat. Článek 14 také vyžaduje, aby výrobci informovali dotčené uživatele, a to dělají sami: platforma oslovuje úřady, ne zákazníky.

Kdo oznámení dostává

Výrobce podává každé oznámení jednou. Současně je obdrží CSIRT určený jako koordinátor v členském státě hlavní provozovny výrobce a ENISA, s výjimkou zvlášť výjimečných okolností. Koordinátor je předá týmům CSIRT ostatních členských států, kde je produkt dostupný. ENISA uvádí určené koordinátory na své stránce SRP.

Jakmile je oznámená zranitelnost opravena, může ji ENISA po dohodě s výrobcem zveřejnit v Evropské databázi zranitelností (EUVD). Jak EUVD souvisí s identifikátory CVE, vysvětluje heslo CVE.

Jak funguje přístup

Výrobci na platformě jednají prostřednictvím pověřených zástupců (Assigned Representatives, AR). Každý AR se přihlašuje osobním účtem EU Login s vícefaktorovým ověřením. Výrobce má jednoho primárního AR, který může pozvat až 20 sekundárních AR, a ti mohou podávat a aktualizovat oznámení výrobce. Výrobce s několika společnostmi ve skupině si interně koordinuje, kdo podává oznámení za který subjekt.

Co platforma zatím neumí

K listopadu 2026 podle SRP FAQ:

• Žádné API. V prvním vydání není k dispozici žádné aplikační programové rozhraní, takže se oznámení zadávají přes webové rozhraní. ENISA uvádí, že API může zvážit v budoucí fázi a že organizace si mohou automatizovat vlastní interní oznamovací workflow.
• Zatím žádné dobrovolné oznamování. Dobrovolná oznámení podle článku 15, například o zranitelnosti, která není aktivně zneužívána, jsou plánována pro budoucí fázi. Dnes platforma přijímá pouze povinná oznámení.

ENISA označuje verzi při spuštění za počáteční provozní schopnost a plánuje ji rozšířit. Její oznámení o spuštění také uvádí, že oznamovací povinnosti správců open source softwaru se uplatňují od 11. prosince 2027.

Příprava na oznamování

24 hodin začíná běžet ve chvíli, kdy se o zneužití dozvíte, takže většina práce proběhne dřív, než se kdokoli přihlásí:

• Zaregistrujte své pověřené zástupce dřív, než je budete potřebovat, se zástupcem v jiném časovém pásmu.
• Předem se dohodněte, kdo rozhoduje o tom, že je zranitelnost aktivně zneužívaná, a jak rychle.
• Veďte pro každou verzi záznam o komponentách v každém produktu, abyste dokázali během několika hodin uvést dotčené produkty a verze. Viz SBOM z doby buildu a týká se nás CVE?.
• Připravte informaci pro dotčené uživatele, protože platforma ji neodesílá.
• Uchovejte si podaný text a časová razítka pro vlastní záznamy.

CRACI připravuje obsah oznámení podle CRA (včasné varování, oznámení a závěrečnou zprávu); podává je osoba na straně výrobce přes Single Reporting Platform.

Širší kontext nařízení najdete v článcích co je CRA, průvodce CRA a v hesle slovníku CRA. Jak to tým pro bezpečnost produktů řeší v každodenní praxi, popisuje heslo PSIRT.