Keskitetty raportointialusta

Keskitetty raportointialusta (Single Reporting Platform, SRP) on verkkoportaali, jonka kautta valmistajat lähettävät EU:n kyberkestävyyssäädöksen (Cyber Resilience Act, CRA) edellyttämät ilmoitukset: aktiivisesti hyödynnetyt haavoittuvuudet ja vakavat poikkeamat, jotka vaikuttavat niiden tuotteisiin. Sitä ylläpitää Euroopan unionin kyberturvallisuusvirasto ENISA asetuksen (EU) 2024/2847 16 artiklan nojalla. Alusta otettiin käyttöön 11.9.2026, samana päivänä, jona CRA:n raportointivelvoitteita alettiin soveltaa.

Mitä ilmoitetaan ja milloin

Valmistajat ilmoittavat kahdenlaisista tapahtumista: digitaalisia elementtejä sisältävän tuotteen aktiivisesti hyödynnetystä haavoittuvuudesta ja vakavasta poikkeamasta, joka vaikuttaa tällaisen tuotteen turvallisuuteen. Molemmat käsitteet määritellään asetuksessa. Kumpikin etenee kolmessa vaiheessa:

Vaihe	Määräaika	Koskee
Ennakkovaroitus	24 tunnin kuluessa siitä, kun asia on tullut tietoon	Molempia
Ilmoitus	72 tunnin kuluessa siitä, kun asia on tullut tietoon	Molempia
Loppuraportti	14 päivän kuluessa siitä, kun korjaus tai lievennys on saatavilla	Aktiivisesti hyödynnettyjä haavoittuvuuksia
Loppuraportti	Kuukauden kuluessa ilmoituksesta	Vakavia poikkeamia

Määräajat on asetettu CRA:n 14 artiklassa, ei portaalissa, ja ENISAn SRP:n usein kysytyt kysymykset toistavat ne. Velvoite koskee myös jo markkinoilla olevia tuotteita, ei vain niitä, jotka saatetaan markkinoille sen jälkeen, kun CRA:ta sovelletaan kokonaisuudessaan. 14 artikla edellyttää myös, että valmistajat ilmoittavat asianomaisille käyttäjille, ja sen ne tekevät itse: alusta tavoittaa viranomaiset, ei asiakkaita.

Kuka ilmoituksen vastaanottaa

Valmistaja lähettää kunkin ilmoituksen kerran. Se menee samanaikaisesti koordinaattoriksi nimetylle CSIRT-yksikölle siinä jäsenvaltiossa, jossa valmistajan päätoimipaikka on, ja ENISAlle, paitsi erityisen poikkeuksellisissa olosuhteissa. Koordinaattori välittää sen niiden muiden jäsenvaltioiden CSIRT-yksiköille, joissa tuote on saatavilla. ENISA listaa nimetyt koordinaattorit SRP-sivullaan.

Kun ilmoitettu haavoittuvuus on korjattu, ENISA voi julkistaa sen eurooppalaisessa haavoittuvuustietokannassa (EUVD) yhteisymmärryksessä valmistajan kanssa. EUVD:n suhde CVE-tunnisteisiin selitetään kohdassa CVE.

Miten pääsy toimii

Valmistajat toimivat alustalla nimettyjen edustajien (Assigned Representatives, AR) kautta. Jokainen AR kirjautuu henkilökohtaisella EU Login -tilillä monivaiheisen tunnistautumisen avulla. Valmistajalla on yksi Primary AR, joka voi kutsua enintään 20 Secondary AR:ää, ja he voivat lähettää ja päivittää valmistajan ilmoituksia. Valmistaja, jolla on useita konserniyhtiöitä, sopii sisäisesti, kuka raportoi minkäkin yhtiön puolesta.

Mitä alusta ei vielä tee

Marraskuussa 2026 SRP:n usein kysyttyjen kysymysten mukaan:

• Ei API:a. Ensimmäisessä versiossa ei ole ohjelmointirajapintaa, joten ilmoitukset syötetään verkkokäyttöliittymän kautta. ENISAn mukaan API:a voidaan harkita myöhemmässä vaiheessa, ja organisaatiot voivat automatisoida omia sisäisiä raportointityönkulkujaan.
• Ei vielä vapaaehtoisia ilmoituksia. Vapaaehtoiset ilmoitukset 15 artiklan mukaisesti, esimerkiksi haavoittuvuudesta, jota ei hyödynnetä aktiivisesti, on suunniteltu myöhempään vaiheeseen. Tällä hetkellä alusta ottaa vastaan vain pakolliset ilmoitukset.

ENISA kutsuu käyttöönottoversiota alustavaksi toimintavalmiudeksi (initial operating capability) ja aikoo laajentaa sitä. Sen julkistustiedotteen mukaan avoimen lähdekoodin ohjelmistovastaavien raportointivelvoitteita sovelletaan 11.12.2027 alkaen.

Valmistautuminen raportointiin

24 tuntia alkaa kulua siitä, kun saat tiedon hyödyntämisestä, joten suurin osa työstä tehdään ennen kuin kukaan kirjautuu sisään:

• Rekisteröi nimetyt edustajasi ennen kuin tarvitset heitä, ja nimeä varahenkilö toiselle aikavyöhykkeelle.
• Sovi etukäteen, kuka päättää, katsotaanko haavoittuvuus aktiivisesti hyödynnetyksi, ja kuinka nopeasti.
• Pidä versiokohtaista kirjaa kunkin tuotteen komponenteista, jotta voit nimetä haavoittuvat tuotteet ja versiot tuntien kuluessa. Katso buildin aikana tallennetut SBOM:t ja koskeeko CVE meitä?.
• Valmistele tiedote asianomaisille käyttäjille, koska alusta ei lähetä sitä.
• Säilytä lähetetty teksti ja aikaleimat omaa kirjanpitoasi varten.

CRACI valmistelee CRA-ilmoitusten sisällön (ennakkovaroitus, ilmoitus ja loppuraportti); valmistajan työntekijä lähettää ne keskitetyn raportointialustan kautta.

Laajemmin asetuksesta kerrotaan sivuilla mikä CRA on, CRA-opas ja sanaston kohdassa CRA. Miten tuoteturvallisuustiimi hoitaa tätä päivittäin, käsitellään kohdassa PSIRT.