Single Reporting Platform

Single Reporting Platform (SRP), pojedyncza platforma zgłaszania, to portal internetowy, przez który producenci wysyłają zgłoszenia wymagane przez Cyber Resilience Act (CRA): aktywnie wykorzystywane podatności i poważne incydenty dotyczące ich produktów. Prowadzi go ENISA, Agencja Unii Europejskiej ds. Cyberbezpieczeństwa, na podstawie art. 16 rozporządzenia (UE) 2024/2847. Platformę uruchomiono 11 września 2026 r., w dniu, w którym zaczęły obowiązywać obowiązki zgłaszania wynikające z CRA.

Co się zgłasza i w jakim terminie

Producenci zgłaszają dwa rodzaje zdarzeń: aktywnie wykorzystywaną podatność w produkcie z elementami cyfrowymi oraz poważny incydent mający wpływ na bezpieczeństwo takiego produktu. Oba pojęcia definiuje rozporządzenie. Każde zgłoszenie przechodzi trzy etapy:

Etap	Termin	Dotyczy
Wczesne ostrzeżenie	W ciągu 24 godzin od powzięcia informacji	Obu
Zgłoszenie	W ciągu 72 godzin od powzięcia informacji	Obu
Raport końcowy	W ciągu 14 dni od udostępnienia poprawki lub środka zaradczego	Aktywnie wykorzystywanych podatności
Raport końcowy	W ciągu miesiąca od zgłoszenia	Poważnych incydentów

Terminy określa art. 14 CRA, a nie portal, a FAQ SRP ENISA je powtarza. Obowiązek obejmuje także produkty, które są już na rynku, a nie tylko te wprowadzone po pełnym rozpoczęciu stosowania CRA. Art. 14 wymaga również, by producenci informowali użytkowników, których to dotyczy, i robią to sami: platforma trafia do organów, a nie do klientów.

Kto otrzymuje zgłoszenie

Producent przesyła każde zgłoszenie jeden raz. Trafia ono jednocześnie do CSIRT wyznaczonego jako koordynator w państwie członkowskim głównego miejsca prowadzenia działalności producenta oraz do ENISA, z wyjątkiem szczególnie wyjątkowych okoliczności. Koordynator przekazuje je zespołom CSIRT pozostałych państw członkowskich, w których produkt jest dostępny. ENISA publikuje listę wyznaczonych koordynatorów na swojej stronie SRP.

Po usunięciu zgłoszonej podatności ENISA może, w porozumieniu z producentem, ujawnić ją w europejskiej bazie podatności (EUVD). Związek EUVD z identyfikatorami CVE wyjaśnia hasło CVE.

Jak działa dostęp

Producenci działają na platformie za pośrednictwem Assigned Representatives (AR). Każdy AR loguje się osobistym kontem EU Login z uwierzytelnianiem wieloskładnikowym. Producent ma jednego Primary AR, który może zaprosić do 20 Secondary AR, a ci mogą przesyłać i aktualizować zgłoszenia producenta. Producent z kilkoma spółkami w grupie ustala wewnętrznie, kto zgłasza w imieniu którego podmiotu.

Czego platforma jeszcze nie robi

Według FAQ SRP, stan na listopad 2026 r.:

• Brak API. Pierwsza wersja nie udostępnia interfejsu programistycznego, więc zgłoszenia wprowadza się przez interfejs WWW. ENISA podaje, że API może zostać rozważone w późniejszej fazie, a organizacje mogą automatyzować własne wewnętrzne procesy zgłaszania.
• Jeszcze bez dobrowolnych zgłoszeń. Dobrowolne zgłoszenia na podstawie art. 15, np. podatności, która nie jest aktywnie wykorzystywana, zaplanowano na późniejszą fazę. Obecnie platforma przyjmuje tylko zgłoszenia obowiązkowe.

ENISA nazywa wersję startową swoją początkową zdolnością operacyjną i planuje ją rozbudowywać. Według ogłoszenia o uruchomieniu obowiązki zgłaszania podmiotów zarządzających oprogramowaniem open source (open-source software stewards) obowiązują od 11 grudnia 2027 r.

Przygotowanie do zgłoszenia

24 godziny zaczynają biec w chwili, gdy dowiedzą się Państwo o wykorzystywaniu podatności, więc większość pracy odbywa się, zanim ktokolwiek się zaloguje:

• Zarejestrować Assigned Representatives, zanim będą potrzebni, z zastępcą w innej strefie czasowej.
• Ustalić z góry, kto decyduje, że podatność uznaje się za aktywnie wykorzystywaną, i jak szybko.
• Prowadzić dla każdej wersji spis komponentów każdego produktu, aby w ciągu kilku godzin wskazać produkty i wersje, których to dotyczy. Zob. SBOM z czasu buildu i czy dotyczy nas ta CVE?.
• Przygotować komunikat do użytkowników, których to dotyczy, ponieważ platforma go nie wysyła.
• Przechowywać przesłany tekst i znaczniki czasu we własnej dokumentacji.

CRACI przygotowuje treść zgłoszeń wymaganych przez CRA (wczesne ostrzeżenie, zgłoszenie i raport końcowy); osoba po stronie producenta przesyła je przez Single Reporting Platform.

Szerzej o rozporządzeniu: czym jest CRA, przewodnik po CRA i hasło słownika CRA. Jak zespół bezpieczeństwa produktu radzi sobie z tym na co dzień, opisuje PSIRT.