Gemensam rapporteringsplattform

Den gemensamma rapporteringsplattformen (Single Reporting Platform, SRP) är den webbportal genom vilken tillverkare skickar de anmälningar som Cyber Resilience Act (CRA) kräver: aktivt utnyttjade sårbarheter och allvarliga incidenter som påverkar deras produkter. ENISA, Europeiska unionens cybersäkerhetsbyrå, driver den enligt artikel 16 i förordning (EU) 2024/2847. Den lanserades den 11 september 2026, samma dag som CRA:s rapporteringsskyldigheter började gälla.

Vad som anmäls, och när

Tillverkare anmäler två typer av händelser: en aktivt utnyttjad sårbarhet i en produkt med digitala element och en allvarlig incident som påverkar säkerheten i en sådan produkt. Båda begreppen definieras i förordningen. Var och en går i tre steg:

Steg	Tidsfrist	Gäller
Tidig varning	Inom 24 timmar efter att tillverkaren fått kännedom	Båda
Anmälan	Inom 72 timmar efter att tillverkaren fått kännedom	Båda
Slutrapport	Inom 14 dagar efter att en rättning eller åtgärd finns tillgänglig	Aktivt utnyttjade sårbarheter
Slutrapport	Inom en månad efter anmälan	Allvarliga incidenter

Tidsfristerna anges i artikel 14 i CRA, inte av portalen, och ENISA:s SRP-FAQ upprepar dem. Skyldigheten omfattar även produkter som redan finns på marknaden, inte bara de som släpps ut efter att CRA börjat gälla fullt ut. Artikel 14 kräver också att tillverkare informerar de berörda användarna, och det gör de själva: plattformen når myndigheter, inte kunder.

Vem som tar emot en anmälan

En tillverkare skickar in varje anmälan en gång. Den går samtidigt till den CSIRT som utsetts till samordnare i medlemsstaten där tillverkaren har sitt huvudsakliga etableringsställe och till ENISA, utom under särskilt exceptionella omständigheter. Samordnaren vidarebefordrar den till CSIRT:erna i de andra medlemsstater där produkten finns tillgänglig. ENISA listar de utsedda samordnarna på sin SRP-sida.

När en anmäld sårbarhet har åtgärdats kan ENISA, i samförstånd med tillverkaren, offentliggöra den i den europeiska sårbarhetsdatabasen (EUVD). Hur EUVD hänger ihop med CVE-id:n förklaras under CVE.

Hur åtkomsten fungerar

Tillverkare agerar på plattformen genom Assigned Representatives (AR). Varje AR loggar in med ett personligt EU Login-konto med flerfaktorsautentisering. En tillverkare har en Primary AR, som kan bjuda in upp till 20 Secondary AR, och de kan skicka in och uppdatera tillverkarens anmälningar. En tillverkare med flera koncernbolag samordnar internt vem som rapporterar för vilken enhet.

Vad plattformen inte gör ännu

Per november 2026, enligt SRP-FAQ:n:

• Inget API. Den första versionen har inget programmeringsgränssnitt, så anmälningar matas in via webbgränssnittet. ENISA skriver att ett API kan övervägas i en senare fas och att organisationer kan automatisera sina egna interna rapporteringsflöden.
• Ännu ingen frivillig rapportering. Frivilliga anmälningar enligt artikel 15, till exempel om en sårbarhet som inte utnyttjas aktivt, planeras till en senare fas. I dag tar plattformen bara emot de obligatoriska anmälningarna.

ENISA kallar lanseringsversionen sin initiala operativa kapacitet och planerar att bygga ut den. Enligt lanseringsmeddelandet gäller rapporteringsskyldigheterna för förvaltare av programvara med öppen källkod (open-source software stewards) från den 11 december 2027.

Var redo att anmäla

De 24 timmarna börjar när du får kännedom om utnyttjandet, så det mesta av arbetet sker innan någon loggar in:

• Registrera era Assigned Representatives innan ni behöver dem, med en ersättare i en annan tidszon.
• Kom överens i förväg om vem som avgör att en sårbarhet räknas som aktivt utnyttjad, och hur snabbt.
• Håll per version en förteckning över komponenterna i varje produkt, så att ni kan namnge berörda produkter och versioner inom några timmar. Se SBOM:er från bygget och berörs vi av en CVE?.
• Förbered meddelandet till berörda användare, eftersom plattformen inte skickar det.
• Spara den inskickade texten och tidsstämplarna i era egna arkiv.

CRACI förbereder innehållet i CRA-anmälningarna (tidig varning, anmälan och slutrapport); en person hos tillverkaren skickar in dem via den gemensamma rapporteringsplattformen.

För förordningen i stort, se vad är CRA, CRA-guiden och ordlisteposten CRA. Hur ett produktsäkerhetsteam hanterar detta i vardagen beskrivs under PSIRT.