ENISA Single Reporting Platform (SRP): guida all'onboarding CRA

Il Regolamento (UE) 2024/2847 instrada le vulnerabilità segnalabili e gli incidenti gravi di ogni fabbricante attraverso un unico canale: la Single Reporting Platform (SRP) di ENISA, disponibile su portal.cra-srp.enisa.europa.eu dall'11 settembre 2026. Questa pagina illustra cosa preparare, come funziona davvero la registrazione e come predisporre un'escalation interna che rispetti il contatore di 24 ore. Per le cadenze di segnalazione si veda la segnalazione delle vulnerabilità.

Cosa dice il CRA sulla Single Reporting Platform

ENISA istituisce e gestisce la Single Reporting Platform. Gli Stati membri ed ENISA possono predisporre i propri punti di accesso per la notifica elettronica all'interno di questa architettura. Ne derivano tre fatti operativi:

• ENISA gestisce la Single Reporting Platform. Gli Stati membri ed ENISA possono comunque predisporre propri punti di accesso per la notifica elettronica.
• Una presentazione raggiunge entrambi i livelli. Il fabbricante presenta tramite l'endpoint del CSIRT coordinatore e la notifica è contemporaneamente accessibile a ENISA.
• L'instradamento transfrontaliero avviene dentro la piattaforma. Il CSIRT ricevente diffonde la notifica agli altri CSIRT il cui territorio è stato indicato dal fabbricante come interessato.

La Single Reporting Platform è il canale dell'allerta precoce a 24 ore, della notifica a 72 ore e della relazione finale. La segnalazione volontaria non è disponibile all'avvio. ENISA indica che quella funzionalità arriva in una fase successiva, quindi dal primo giorno la piattaforma accetta soltanto le notifiche obbligatorie. Chi conta di usarla per segnalazioni volontarie di vulnerabilità o di quasi incidenti deve attendere.

Chi deve registrarsi

I fabbricanti hanno l'obbligo di segnalazione obbligatoria tramite la Single Reporting Platform. L'obbligo riguarda i fabbricanti di prodotti con elementi digitali, non il resto della catena di fornitura.

Anche i gestori di software open source segnalano, ma solo dall'11 dicembre 2027. Il CRA assegna ai gestori una data di avvio successiva a quella dei fabbricanti, quindi un gestore ha quindici mesi in più per costruire il processo. Da quella data deve segnalare le vulnerabilità attivamente sfruttate quando è coinvolto nello sviluppo del prodotto interessato, e gli incidenti gravi che riguardano i sistemi che mette a disposizione per quello sviluppo. Un dettaglio sfugge spesso: la data più lontana è legata al ruolo di gestore, non all'organizzazione. Se la stessa organizzazione immette anche un prodotto sul mercato in qualità di fabbricante, quel prodotto rientra nell'ambito già l'11 settembre 2026.

Importatori e distributori informano il fabbricante. Non si registrano sulla Single Reporting Platform, non presentano segnalazioni in proprio e non ereditano il contatore di 24 ore. Il loro obbligo è informare il fabbricante senza indebito ritardo quando vengono a conoscenza di una vulnerabilità. Si vedano le pagine importatore e distributore.

I fabbricanti non UE hanno bisogno di chiarezza sull'instradamento. Un mandato scritto di mandatario può coprire la segnalazione obbligatoria perché le esclusioni del mandato non includono la segnalazione stessa. Senza uno stabilimento principale nell'Unione, l'instradamento segue la catena di riserva: mandatario, importatore, distributore, quindi concentrazione di utenti.

Prerequisiti pre-registrazione

Sette elementi che l'organizzazione dovrebbe avere pronti prima della registrazione. ENISA segnala che i propri orientamenti possono cambiare, quindi le schermate vanno trattate come documentate e non come definitive, ma la mancanza di uno solo di questi elementi rallenta la prima presentazione.

Requisito	Cosa serve
Persona giuridica nello Stato membro dello stabilimento principale	Un registro inequivocabile della persona giuridica che ti consenta di selezionare il CSIRT coordinatore corretto in fase di registrazione (lo Stato "in cui sono prevalentemente adottate le decisioni relative alla cibersicurezza dei suoi prodotti con elementi digitali").
Punto di contatto unico per gli utilizzatori	Un canale rivolto agli utenti che "non limiti tale mezzo a strumenti automatizzati". Le caselle di posta con risposta automatica esclusiva non sono ammesse. Pubblicato nelle informazioni all'utilizzatore che accompagnano il prodotto.
Contatto di sicurezza per le autorità	Un contatto per ENISA e il CSIRT coordinatore, operativamente distinto dal canale rivolto agli utenti. I campi esatti di registrazione restano soggetti alle specifiche di ENISA.
Account EU Login personali, con autenticazione a più fattori	La registrazione utilizza un account EU Login personale con autenticazione a più fattori attiva; crearlo in anticipo su ecas.ec.europa.eu. La SRP non aggiunge un accesso aziendale separato, quindi chi presenta la notifica accede a proprio nome. Il CSIRT coordinatore verifica che possa agire per il fabbricante dopo il primo accesso, in parallelo con la segnalazione, senza bloccare la presentazione.
Scelta del CSIRT coordinatore, messa per iscritto	Scegliere il proprio CSIRT designato come coordinatore dall'elenco pubblicato da ENISA prima del primo evento e annotare la ragione della scelta. ENISA precisa che una notifica inviata al coordinatore sbagliato può essere invalidata e va ripresentata a quello corretto.
Inventario del portafoglio prodotti	Un elenco aggiornato dei prodotti e degli Stati membri in cui ciascuno è stato messo a disposizione. Senza di esso, l'allerta precoce non può indicare correttamente i territori interessati.
Escalation interna documentata	Una procedura scritta che porti l'organizzazione dal rilevamento alla presentazione sulla piattaforma entro 24 ore, con copertura fuori orario. "Senza indebito ritardo e in ogni caso entro 24 ore" non lascia spazio a escalation improvvisate.

Cronoprogramma: da oggi al primo evento segnalabile

Fonti ufficiali ENISA

ENISA precisa che i propri orientamenti riflettono le conoscenze attuali e possono cambiare. Verificare queste fonti prima di fare affidamento su un passaggio specifico.

Documento	Link	Stato secondo ENISA
Portale SRP	portal.cra-srp.enisa.europa.eu	Disponibile dall'11 settembre 2026
CRA SRP - AR User Manual (55 pagine)	AR User Manual (PDF diretto)	Versione 1.1, ultimo aggiornamento 10 settembre 2026
CRA SRP guidance, Particular Exceptional Circumstances	Orientamenti PEC	Aggiornati a settembre 2026
CRA Single Reporting Platform, Terms and Conditions	Termini e condizioni	Aggiornati il 10 settembre 2026
Pagina SRP di ENISA	Single Reporting Platform (SRP)	Pagina di programma, scheda informativa, video
FAQ sulla SRP	Frequently Asked Questions	Aggiornate il 10 settembre 2026
CRA SRP Glossary, campo per campo	CRA SRP Glossary	Versione 1.3
List of CSIRTs Designated as Coordinators	Elenco dei coordinatori	Datato 10 settembre 2026
CRA Single Reporting Platform Factsheet (PDF, in inglese)	www.enisa.europa.eu/media/57221	Solo in inglese, nessuna data di versione sul file
CRA SRP - AR User registration	AR User registration	Aggiornata il 10 settembre 2026
CRA SRP - AR Notification submission and update	AR Notification submission and update	Aggiornata il 9 settembre 2026
CRA SRP - AR Interface functions	AR Interface functions	Aggiornata il 9 settembre 2026
CRA SRP Status	Pagina di stato SRP	Indicatore di disponibilità in tempo reale. Al momento della stesura riporta entrambe le letture
Pagina della Commissione sulla segnalazione e FAQ sull'attuazione del CRA	CRA reporting	La sezione 5 riguarda la segnalazione
Orientamenti della Commissione sull'attuazione	Orientamenti, 27 luglio 2026	La sezione 9.1 riguarda la segnalazione

Il SRP Glossary va letto prima della prima presentazione, non durante. Copre 39 campi, 18 comuni più 12 per una vulnerabilità attivamente sfruttata e 9 per un incidente grave, e per ciascun campo indica il significato, come compilarlo, un esempio, il formato atteso e se il campo è obbligatorio, facoltativo, obbligatorio quando l'informazione è disponibile, oppure riportato dalla fase precedente. È disponibile solo in inglese ed è ormai l'unico riferimento per i campi: le FAQ rimandano qui invece di elencarli. Guardi che cosa quei 39 campi non comprendono. Gli orari di segnalazione e il segnalante li compila la piattaforma, e la fase di notifica si sceglie invece di prepararla come campo di dati, quindi nessuno di questi compare nel Glossary né va redatto in anticipo.

Indirizzo di assistenza ENISA per la piattaforma: cra-srp-helpdesk@enisa.europa.eu. Altri due indirizzi riguardano la sicurezza della piattaforma stessa, non quella dei suoi prodotti: un incidente di sicurezza che coinvolge la piattaforma va segnalato a cra-srp-security@enisa.europa.eu, e una vulnerabilità che trova nella piattaforma stessa a responsible-disclosure@enisa.europa.eu, l'indirizzo riportato nel security.txt di ENISA. Nessuno dei due indirizzi è una via per le notifiche CRA sui propri prodotti.

Flusso di registrazione

ENISA ha aggiornato la guida passo passo alla registrazione il 10 settembre 2026 e continua a segnalare che può cambiare. Per il percorso schermata per schermata, con le immagini della registrazione, delle tre fasi di presentazione e dell'aggiornamento di una notifica, il riferimento più completo è l'AR User Manual di ENISA.

Assigned Representative è un ruolo della piattaforma, non una figura giuridica. ENISA chiama Assigned Representative, o AR, l'utente della SRP che presenta le notifiche per un fabbricante o per un gestore di software open source. È un ruolo dell'account SRP, distinto dal mandatario ai sensi del CRA nominato con mandato scritto. La guida vale anche quando un fabbricante stabilito nell'UE non ha nominato alcun mandatario.

Per un AR primario il flusso è questo:

1. Apra portal.cra-srp.enisa.europa.eu, selezioni il suo ruolo AR e prosegua.
2. Selezioni dal menu a tendina il CSIRT designato come coordinatore. Individuare quello corretto è responsabilità del fabbricante.
3. Si autentichi con EU Login.
4. Legga e accetti l'accordo legale.
5. Confermi i suoi dati personali precompilati, che arrivano da EU Login e non sono modificabili nella piattaforma.
6. Inserisca il nome del fabbricante e le informazioni aggiuntive facoltative.

La piattaforma crea a quel punto l'anagrafica del fabbricante, il suo account passa allo stato Active con il ruolo AR Primary User, l'associazione viene sottoposta alla convalida del suo CSIRT coordinatore e segue un'email di conferma. Con un account EU Login funzionante servono pochi minuti.

Un AR secondario si registra in modo diverso: parte dall'invito ricevuto per email, si autentica con EU Login, conferma i propri dati personali precompilati e infine accetta l'associazione con il fabbricante.

Un solo AR primario per fabbricante, più un massimo di 20 AR secondari. Nella piattaforma i due ruoli portano le etichette AR Primary User e AR Backup User.

• L'AR primario ha le funzioni amministrative: gestisce l'anagrafica del fabbricante e invita o rimuove gli AR secondari. ENISA pone un vincolo su quell'invito: è disponibile soltanto per un AR primario la cui associazione AR-fabbricante il CSIRT coordinatore ha convalidato e contrassegnato come Verified. Fino ad allora non può aggiungere la persona di riserva. L'associazione si convalida per singolo fabbricante, quindi un AR che agisce per più fabbricanti viene verificato separatamente per ciascuno.
• Un AR secondario entra da un invito ricevuto per email e conferma i dati del fabbricante già precompilati. Se la registrazione non si completa entro 7 giorni, il record passa a Invitation Expired e l'invito va inviato di nuovo.
• Un AR secondario può poi rivendicare il ruolo primario.

Nominare un secondario è facoltativo. Lo faccia comunque: gli account EU Login sono personali, non esiste un accesso aziendale condiviso su cui ripiegare e il contatore di 24 ore non aspetta chi detiene l'unico account.

La convalida avviene in parallelo e non blocca le sue notifiche. Il CSIRT coordinatore convalida l'associazione AR-fabbricante dopo il primo accesso. La convalida in sospeso non le impedisce di presentare, ma le impedisce di invitare un AR secondario. Procedure e tempi di lavorazione variano da CSIRT a CSIRT. ENISA chiede ai fabbricanti di non registrarsi in via preventiva e di avviare registrazione e convalida quando serve davvero presentare una notifica, così la coda di convalida di ciascun CSIRT resta gestibile.

Un AR non convalidato può presentare fino a 20 notifiche per un fabbricante prima che la convalida diventi obbligatoria. Le FAQ di ENISA, la sua guida all'interfaccia e l'AR User Manual indicano tutte lo stesso numero. Tratti quel margine come una valvola di sicurezza contro una coda di convalida lenta, non come spazio su cui pianificare, e completi la convalida.

La nostra lettura del consiglio di ENISA: dividerlo in due. Crei ora gli account EU Login personali e attivi l'autenticazione a più fattori, perché quella parte coinvolge un dispositivo, un telefono e l'agenda di qualcuno. Lasci la registrazione alla SRP al giorno in cui serve, esattamente come ENISA chiede.

Tenga pronti questi elementi prima di iniziare:

• Persona giuridica: chi è il fabbricante e dove si trova il suo stabilimento principale.
• Contatto per le autorità: il contatto della Single Reporting Platform per i messaggi di ENISA e del CSIRT coordinatore, separato dal canale rivolto agli utenti.
• Copertura prodotti: il portafoglio prodotti e gli Stati membri in cui i prodotti interessati sono messi a disposizione.
• Instradamento del coordinatore: l'assegnazione del CSIRT secondo le regole dello stabilimento principale e della catena di riserva.

Dopo la registrazione, lo stesso endpoint gestisce le presentazioni successive: l'allerta precoce a 24 ore, la notifica a 72 ore, le relazioni intermedie richieste dal CSIRT e la relazione finale.

Nella versione iniziale non esiste un'API della Single Reporting Platform. ENISA precisa che le organizzazioni possono automatizzare i propri flussi interni di segnalazione e integrare la segnalazione CRA nei propri sistemi, e che la funzionalità API potrà essere valutata in una fase futura, ma la presentazione avviene nell'interfaccia. La divisione pratica è questa: automatizzare la preparazione, non l'invio. Estragga dai propri sistemi il nome e la versione del prodotto, gli Stati membri interessati e l'identificativo CVE o EUVD in una bozza pronta da incollare, e lasci che sia una persona designata a incollarla.

I contatori della piattaforma non sono la scadenza

La piattaforma mostra i contatori della notifica a 72 ore e della relazione finale, e invia promemoria via email collegati a quei contatori. ENISA è esplicita: servono per visibilità e non sostituiscono gli obblighi di segnalazione. In questa versione contano tre dettagli.

• Il contatore delle 72 ore parte dall'invio dell'allerta precoce, non dalla consapevolezza. Mostra una scadenza a 48 ore dall'invio dell'allerta precoce a 24 ore. Se l'allerta parte a ridosso della fine della finestra di 24 ore, la piattaforma può marcare la notifica come in ritardo mentre si è ancora dentro i termini di legge. ENISA indica che una versione futura la calcolerà dalla data di consapevolezza.
• Non esiste alcun contatore per la relazione finale su una vulnerabilità attivamente sfruttata. La ragione data da ENISA è che la scadenza dipende dalla data e dall'ora in cui una misura correttiva o di attenuazione diventa disponibile, e non è una data verso cui la piattaforma possa contare alla rovescia. Per gli incidenti gravi il contatore mostra un mese dalla notifica a 72 ore.
• Il campo della consapevolezza per una vulnerabilità sfruttata non è ancora definito. Il SRP Glossary, versione 1.3, indica "Date and time when you become aware of the Actively Exploited Vulnerability" come obbligatorio nell'allerta precoce a 24 ore e, nella stessa riga, annota che il campo arriverà nella prossima versione della piattaforma. Sulla carta è quindi obbligatorio e a schermo può non esserci. Conservi il proprio orario di consapevolezza e sia pronto a fornirlo in entrambi i casi. Per gli incidenti esiste un campo affine, ma in questa versione il Glossary lo chiama "Date and time when the incident was detected (UTC time)", che non è la stessa cosa della consapevolezza.

Conservi quindi l'orario della consapevolezza nei propri sistemi e faccia partire da lì il proprio contatore. Il contatore della piattaforma è un promemoria. La scadenza è la legge.

Contenuto di ogni presentazione alla Single Reporting Platform

L'Articolo 14 definisce tre fasi di notifica per ogni evento segnalabile. I requisiti di contenuto differiscono tra il flusso delle vulnerabilità attivamente sfruttate e il flusso degli incidenti gravi.

Vulnerabilità attivamente sfruttata:

Fase	Scadenza	Contenuto minimo richiesto
Allerta precoce	24 ore dalla consapevolezza	Indicazione che una vulnerabilità è attivamente sfruttata. Stati membri in cui il prodotto è messo a disposizione, ove noti.
Notifica della vulnerabilità	72 ore dalla consapevolezza	Informazioni generali sul prodotto. Natura generale dello sfruttamento e della vulnerabilità. Misure correttive o di attenuazione adottate. Misure che gli utenti possono adottare. Indicazione della sensibilità.
Relazione finale	14 giorni dalla disponibilità di una misura correttiva o di attenuazione	Descrizione della vulnerabilità, gravità e impatto compresi. Informazioni su eventuali attori malevoli che la sfruttano, ove disponibili. Dettagli sull'aggiornamento di sicurezza o sulla misura correttiva.

Incidente grave con impatto sulla sicurezza del prodotto:

Fase	Scadenza	Contenuto minimo richiesto
Allerta precoce	24 ore dalla consapevolezza	Indicazione se l'incidente è sospettato di essere causato da atti illeciti o malevoli. Stati membri in cui il prodotto è messo a disposizione, ove noti.
Notifica dell'incidente	72 ore dalla consapevolezza	Natura dell'incidente. Valutazione iniziale. Misure correttive o di attenuazione adottate. Misure che gli utenti possono adottare. Indicazione della sensibilità.
Relazione finale	1 mese dalla notifica dell'incidente a 72 ore	Descrizione dettagliata dell'incidente, gravità e impatto compresi. Tipo di minaccia o causa principale che probabilmente l'ha innescato. Misure di attenuazione applicate e in corso.

Il CSIRT designato come coordinatore può richiedere una relazione intermedia tra la notifica a 72 ore e la relazione finale. Nessuno dei due flussi richiede ID CVE o punteggi CVSS nella fase di allerta precoce. L'obbligo delle 24 ore è di notificare, non di aver completato l'analisi. Il dettaglio tecnico completo va nelle fasi di notifica e di relazione finale.

Escalation interna: rispettare il contatore di 24 ore

Il contatore di 24 ore parte dalla consapevolezza, non dalla conferma. La parte difficile è passare da "abbiamo appena appreso" a "abbiamo appena presentato" entro 24 ore, compresi i periodi fuori orario. Un processo di triage che "richiede di solito 48 ore" è strutturalmente non conforme. Rilevamento, triage, revisione legale in parallelo e presentazione devono stare tutti nello stesso giorno solare, fine settimana e fuori orario inclusi.

Fase	Entro le 24h?	Note
Rilevamento	Sì	Engineering interno, segnalazioni dei clienti, monitoraggio, threat intelligence, intake CVD. I percorsi di triage per "attivamente sfruttata" e "incidente grave" devono essere distinti.
Triage	Sì	Usare i segnali della valutazione della gravità (CVSS / EPSS / KEV) come input. La prova dello sfruttamento è il trigger; la sola gravità non basta.
Revisione legale	In parallelo	Un'attesa seriale del via libera legale fa perdere le 24 ore. Il fabbricante può segnalare la sensibilità e la piattaforma può sospendere la diffusione per motivi di cibersicurezza.
Allerta precoce Single Reporting Platform	Sì	Flusso vulnerabilità o flusso incidenti gravi.
Notifica a 72 ore	Dopo le 24h	Entro 72 ore dalla consapevolezza.
Relazione finale	14 giorni (vuln) / 1 mese (incidente)	Vulnerabilità: 14 giorni dalla disponibilità della misura correttiva. Incidenti gravi: un mese dalla notifica a 72 ore.

Instradamento CSIRT

L'instradamento CSIRT segue lo stabilimento principale del fabbricante nell'Unione, cioè lo Stato membro in cui sono prevalentemente adottate le decisioni di cibersicurezza relative al prodotto. Se non è determinabile, vale lo Stato membro in cui si trova lo stabilimento UE con il maggior numero di dipendenti. Senza uno stabilimento principale nell'Unione la catena di riserva segue quest'ordine: lo Stato membro in cui il mandatario agisce per il maggior numero di prodotti, poi quello dell'importatore che ne immette di più sul mercato, poi quello del distributore che ne mette a disposizione di più, infine lo Stato membro con il maggior numero di utenti.

L'elenco dei CSIRT designati come coordinatori di ENISA porta la data del 10 settembre 2026 e riporta una pagina di contatto per ogni Stato membro. Confermi il proprio coordinatore su quell'elenco e annoti la ragione della scelta, perché ENISA precisa ora che una notifica presentata al coordinatore sbagliato può essere invalidata e va ripresentata a quello corretto. La scadenza decorre dalla consapevolezza e non riparte da capo, quindi le ore perse in una ripresentazione escono dal suo budget. Dopo la presentazione, la diffusione transfrontaliera ai CSIRT degli altri Stati membri interessati avviene dentro la piattaforma.

Una sola notifica per evento, anche con controllate UE

ENISA ha chiarito una domanda che ricorre in ogni struttura di gruppo: per una data vulnerabilità attivamente sfruttata o per un dato incidente grave è richiesta una sola notifica, anche quando il fabbricante ha più filiali o controllate nell'UE, o una capogruppo fuori dall'Unione. Coordinarsi dentro quella struttura resta compito del fabbricante.

Il confine va letto con attenzione, perché è più stretto di quanto molti sperino. Si parla di un solo fabbricante con filiali e controllate, non di un permesso perché due fabbricanti giuridicamente distinti dello stesso gruppo condividano un'unica presentazione. Quando due soggetti immettono ciascuno i propri prodotti sul mercato, ciascuno porta il proprio obbligo.

I due modi in cui questo va storto meritano un passaggio nella procedura. Due controllate presentano lo stesso evento e il CSIRT coordinatore riceve duplicati che sembrano provenire da due fabbricanti. Oppure ciascun soggetto dà per scontato che abbia presentato l'altro, ed entro 24 ore non arriva nulla. Il soggetto che presenta e la persona che presenta si nominano prima dell'evento, non durante.

Single Reporting Platform e contatto diretto con il CSIRT nazionale

Inviare un'email a un CSIRT nazionale non soddisfa l'obbligo di segnalazione CRA, nemmeno quando il fabbricante ha un rapporto di lavoro consolidato con quel CSIRT.

Canale	Obbligatorio per le segnalazioni CRA?	Cosa copre
Single Reporting Platform	Sì	Segnalazioni di vulnerabilità attivamente sfruttate. Segnalazioni di incidenti gravi. Notifiche a 72 ore e relazioni finali.
Contatto diretto con il CSIRT nazionale	No	Coordinamento della divulgazione coordinata delle vulnerabilità. Condivisione di threat intelligence di settore. Collaborazione informale nella risposta agli incidenti.

Il fabbricante che ha un rapporto consolidato con un CSIRT nazionale può mantenerlo per la coordinazione CVD e lo scambio di intelligence di settore. Ogni notifica obbligatoria ai sensi dell'Articolo 14 deve invece transitare per la Single Reporting Platform. La piattaforma gestisce automaticamente l'instradamento transfrontaliero verso gli altri CSIRT degli Stati membri interessati. Una sola presentazione raggiunge tutti i CSIRT competenti.

Se non è un fabbricante, la piattaforma non è il suo canale. Questa versione accetta solo le notifiche obbligatorie ai sensi dell'Articolo 14 presentate dai fabbricanti. Un ricercatore di sicurezza, un utente, un importatore o un distributore che vuole segnalare una vulnerabilità si rivolge direttamente al CSIRT nazionale competente. ENISA indica che una presentazione proveniente da altri può essere contrassegnata come non valida nella piattaforma.

Se la piattaforma non è raggiungibile. La risposta di ENISA è attendere e presentare quando torna disponibile. Se ritiene che una comunicazione immediata non possa attendere, nel frattempo può contattare direttamente il proprio CSIRT coordinatore, ma la notifica deve comunque passare poi dalla piattaforma. Il contatto diretto è un'aggiunta, mai un sostituto, e non è una proroga della scadenza. Conservi un registro datato del disservizio, di quanto ha tentato e di ogni contatto diretto effettuato.

Errori comuni

• Attivare EU Login e l'autenticazione a più fattori durante l'incidente. ENISA chiede di non registrarsi sulla piattaforma in via preventiva, ed è una richiesta ragionevole. Non significa rimandare l'identità al giorno dell'evento. Crei ora gli account personali, attivi l'autenticazione a più fattori e provi l'accesso, così la registrazione in giornata dura davvero pochi minuti.
• Lasciare che sia la piattaforma a dire qual è la scadenza. In questa versione il contatore delle 72 ore parte dall'invio dell'allerta precoce più 48 ore, e il campo della consapevolezza per una vulnerabilità sfruttata può non essere ancora a schermo, anche se il Glossary lo indica come obbligatorio. Tenga il proprio contatore.
• Due controllate che presentano, oppure nessuna. Una sola notifica per evento e per un solo fabbricante, e qualcuno deve esserne responsabile. Nella procedura si nominano il soggetto che presenta e la persona che presenta.
• Una sola persona con l'unico account. Nomini un AR primario e almeno un AR secondario, e completi l'invito entro i 7 giorni prima che scada.
• Indovinare il CSIRT coordinatore durante un incidente. L'elenco è pubblicato. Un coordinatore sbagliato può invalidare la notifica e costare ore che non ha.
• Una casella generica security@ con risposta automatica. Contrasta con il requisito del canale rivolto agli utenti ed è inadatta come canale della Single Reporting Platform per le autorità.
• Nessun prodotto mappato alla registrazione, o mappatura obsoleta. L'allerta precoce deve indicare gli Stati membri in cui il prodotto è stato messo a disposizione. Senza un inventario aggiornato l'allerta precoce è incompleta.
• Nessuno SLA interno per il contatore di 24 ore. Il percorso dal rilevamento alla presentazione ha bisogno di un budget temporale esplicito.
• Segnalare via email a un CSIRT nazionale. La Single Reporting Platform è il canale designato. L'email a un CSIRT nazionale non è equivalente.
• Trattare il mandatario come un indirizzo di inoltro. Il mandato del mandatario di un fabbricante non UE deve coprire espressamente la segnalazione. Il mandatario deve essere pronto a supportare la presentazione tramite la piattaforma.