單一通報平台（SRP）

單一通報平台（Single Reporting Platform，SRP）是製造商用來提交 Cyber Resilience Act（CRA）所要求之通報的網頁入口網站，通報對象為影響其產品的遭積極利用漏洞與嚴重資安事件。歐盟網路安全局 ENISA 依據 Regulation (EU) 2024/2847 第 16 條營運此平台。它於 CRA 通報義務開始適用的 2026 年 9 月 11 日正式上線。

要通報什麼，以及期限為何

製造商須通報兩類事件：具數位元素產品中遭積極利用的漏洞，以及影響此類產品安全的嚴重資安事件。這兩個用語都在法規中有所定義。每類事件都要經過三個步驟：

步驟	期限	適用對象
早期預警	得知後 24 小時內	兩者
事件通報	得知後 72 小時內	兩者
最終報告	修正或緩解措施推出後 14 天內	遭積極利用的漏洞
最終報告	事件通報後一個月內	嚴重資安事件

這些期限由 CRA 第 14 條訂定，而非由入口網站訂定，ENISA 的 SRP FAQ 也重申了這些期限。此義務涵蓋已在市場上的產品，而不只是 CRA 全面適用後才上市的產品。第 14 條也要求製造商告知受影響的使用者，這需要由製造商自行處理：平台的通報對象是主管機關，而不是客戶。

由誰接收通報

製造商每則通報只需提交一次。除特別例外的情況外，通報會同時送達製造商主要營業據點所在會員國中被指定為協調者的 CSIRT，以及 ENISA。協調者會再將通報轉交給產品有在販售之其他會員國的 CSIRT。ENISA 在其 SRP 頁面列出了指定的協調者。

已通報的漏洞修正後，ENISA 可在與製造商達成協議的情況下，將其揭露於歐洲漏洞資料庫（EUVD）。EUVD 與 CVE ID 的關係，請參閱 CVE 條目。

存取方式如何運作

製造商透過 Assigned Representatives（AR）使用平台。每位 AR 都以啟用多因素驗證的個人 EU Login 帳號登入。每個製造商有一位 Primary AR，可邀請最多 20 位 Secondary AR，他們都能提交及更新製造商的通報。擁有多家集團公司的製造商，需在內部協調由誰為哪個實體進行通報。

平台目前尚無法做到的事

截至 2026 年 11 月，根據 SRP FAQ：

• 沒有 API。 首次發布的版本不提供應用程式介面，因此通報須透過網頁介面輸入。ENISA 表示，未來階段可能會考慮提供 API，而各組織可以將自己內部的通報流程自動化。
• 尚不接受自願通報。 依第 15 條提出的自願通報（例如未遭積極利用之漏洞的通報）預計在未來階段推出。目前平台只受理強制性通報。

ENISA 將上線版本稱為初始運作能力，並計畫擴充功能。其上線公告也指出，開源軟體管理者（open-source software stewards）的通報義務自 2027 年 12 月 11 日起適用。

做好通報準備

24 小時從您得知漏洞遭利用時開始計算，因此大部分工作都必須在任何人登入之前完成：

• 在需要之前就先登錄您的 Assigned Representatives，並在另一個時區安排一位代理人。
• 事先約定由誰判斷漏洞是否算是遭積極利用，以及判斷的速度。
• 為每項產品保存各版本的元件紀錄，讓您能在數小時內指出受影響的產品與版本。請參閱建置時 SBOM 與我們是否受某個 CVE 影響？。
• 準備給受影響使用者的通知，因為平台不會代為發送。
• 保存已提交的文字與時間戳記，作為您自己的紀錄。

CRACI 會預先備妥 CRA 通報（早期預警、事件通報與最終報告）的內容；由製造商的人員透過 Single Reporting Platform 提交。

關於整體法規，請參閱什麼是 CRA、CRA 指南與術語表條目 CRA。產品資安團隊如何在日常中處理這些工作，請參閱 PSIRT。