Single Reporting Platform

Single Reporting Platform (SRP), den felles rapporteringsplattformen, er nettportalen produsenter bruker til å sende varslene Cyber Resilience Act (CRA) krever: aktivt utnyttede sårbarheter og alvorlige hendelser som påvirker produktene deres. ENISA, EUs byrå for cybersikkerhet, driver den i henhold til artikkel 16 i forordning (EU) 2024/2847. Den ble lansert 11. september 2026, dagen CRAs rapporteringsplikter begynte å gjelde.

Hva som varsles, og når

Produsenter varsler to typer hendelser: en aktivt utnyttet sårbarhet i et produkt med digitale elementer og en alvorlig hendelse som påvirker sikkerheten i et slikt produkt. Begge begrepene er definert i forordningen. Hver går gjennom tre trinn:

Trinn	Frist	Gjelder for
Tidlig varsel	Innen 24 timer etter at man fikk kjennskap til det	Begge
Varsel	Innen 72 timer etter at man fikk kjennskap til det	Begge
Sluttrapport	Innen 14 dager etter at en retting eller et tiltak er tilgjengelig	Aktivt utnyttede sårbarheter
Sluttrapport	Innen én måned etter varselet	Alvorlige hendelser

Fristene er fastsatt i artikkel 14 i CRA, ikke av portalen, og ENISAs SRP-FAQ gjentar dem. Plikten omfatter også produkter som allerede er på markedet, ikke bare dem som bringes i omsetning etter at CRA gjelder fullt ut. Artikkel 14 krever også at produsenter informerer de berørte brukerne, og det gjør de selv: plattformen når myndigheter, ikke kunder.

Hvem mottar et varsel

En produsent sender inn hvert varsel én gang. Det går samtidig til CSIRT-et som er utpekt som koordinator i medlemsstaten der produsenten har sitt hovedforetak, og til ENISA, unntatt under særlig ekstraordinære omstendigheter. Koordinatoren sender det videre til CSIRT-ene i de andre medlemsstatene der produktet er tilgjengelig. ENISA lister opp de utpekte koordinatorene på SRP-siden.

Når en varslet sårbarhet er rettet, kan ENISA i samråd med produsenten offentliggjøre den i den europeiske sårbarhetsdatabasen (EUVD). Hvordan EUVD henger sammen med CVE-ID-er, forklares under CVE.

Slik fungerer tilgangen

Produsenter handler på plattformen gjennom Assigned Representatives (AR-er). Hver AR logger inn med en personlig EU Login-konto med flerfaktorautentisering. En produsent har én Primary AR, som kan invitere opptil 20 Secondary AR-er, og de kan sende inn og oppdatere produsentens varsler. En produsent med flere konsernselskaper avklarer internt hvem som varsler for hvilken enhet.

Hva plattformen ikke gjør ennå

Per november 2026, ifølge SRP-FAQ-en:

• Ingen API. Den første versjonen har ikke noe programmeringsgrensesnitt, så varsler legges inn via nettgrensesnittet. ENISA skriver at et API kan vurderes i en senere fase, og at organisasjoner kan automatisere sine egne interne rapporteringsløp.
• Ennå ingen frivillig rapportering. Frivillige varsler etter artikkel 15, for eksempel om en sårbarhet som ikke utnyttes aktivt, er planlagt for en senere fase. I dag tar plattformen bare imot de obligatoriske varslene.

ENISA kaller lanseringsversjonen sin innledende driftskapasitet og planlegger å bygge den ut. Ifølge lanseringsmeldingen gjelder rapporteringspliktene for forvaltere av åpen kildekode-programvare (open-source software stewards) fra 11. desember 2027.

Vær klar til å varsle

De 24 timene begynner når du får kjennskap til utnyttelsen, så det meste av arbeidet skjer før noen logger inn:

• Registrer Assigned Representatives før dere trenger dem, med en stedfortreder i en annen tidssone.
• Avtal på forhånd hvem som avgjør at en sårbarhet regnes som aktivt utnyttet, og hvor raskt.
• Før per versjon en oversikt over komponentene i hvert produkt, slik at dere kan navngi berørte produkter og versjoner i løpet av timer. Se SBOM-er fra byggetidspunktet og er vi rammet av en CVE?.
• Forbered meldingen til berørte brukere, siden plattformen ikke sender den.
• Ta vare på den innsendte teksten og tidsstemplene i egne arkiver.

CRACI forbereder innholdet i CRA-varslene (tidlig varsel, varsel og sluttrapport); en person hos produsenten sender dem inn gjennom Single Reporting Platform.

For forordningen som helhet, se hva er CRA, CRA-guiden og ordlisteoppslaget CRA. Hvordan et produktsikkerhetsteam håndterer dette i hverdagen, står under PSIRT.