ENISA gemensamma rapporteringsplattformen (SRP): onboardingguide för CRA

Cyberresiliensförordningen (Förordning (EU) 2024/2847) leder varje tillverkares rapporteringspliktiga sårbarheter och allvarliga incidenter genom en enda kanal: ENISA:s gemensamma rapporteringsplattform (SRP). Plattformen är tillgänglig på portal.cra-srp.enisa.europa.eu från den 11 september 2026. Den här sidan täcker vad du bör förbereda, hur registreringen faktiskt går till och hur du kopplar en intern eskaleringsrutin till 24-timmarsklockan. För kadenserna i rapporteringen, se sårbarhetsrapportering.

Vad cyberresiliensförordningen säger om den gemensamma rapporteringsplattformen

ENISA inrättar och driver den gemensamma rapporteringsplattformen. Medlemsstaterna och ENISA får inrätta egna elektroniska anmälningsändpunkter inom den arkitekturen. Tre operativa fakta följer:

• ENISA driver den gemensamma rapporteringsplattformen. Medlemsstaterna och ENISA kan fortfarande inrätta egna elektroniska anmälningsändpunkter.
• En inlämning når båda nivåerna. Tillverkaren lämnar in via koordinator-CSIRT:ens ändpunkt, och anmälan är samtidigt tillgänglig för ENISA.
• Gränsöverskridande routing sker inne i plattformen. Den mottagande CSIRT:en sprider anmälan till andra CSIRT:er i territorier som tillverkaren har angett som berörda.

Den gemensamma rapporteringsplattformen är kanalen för den tidiga varningen inom 24 timmar, 72-timmarsanmälan och slutrapporten. Frivillig rapportering finns inte vid driftstart. ENISA uppger att den funktionen kommer i en senare fas, så dag ett tar plattformen bara emot obligatoriska anmälningar. Den som planerar att använda plattformen för frivilliga sårbarhets- eller tillbudsrapporter får vänta.

Vem måste registrera sig

Tillverkare bär den obligatoriska rapporteringsskyldigheten via den gemensamma rapporteringsplattformen. Skyldigheten ligger hos tillverkare av produkter med digitala element, inte hos resten av leveranskedjan.

Förvaltare av programvara med fri och öppen källkod rapporterar också, men först från den 11 december 2027. CRA ger förvaltare ett senare startdatum än tillverkare, så en förvaltare har femton månader extra på sig att bygga rutinen. Från det datumet ska en förvaltare rapportera aktivt utnyttjade sårbarheter i den mån den deltar i utvecklingen av den berörda produkten, och allvarliga incidenter som påverkar de system den tillhandahåller för den utvecklingen. En sak som många missar: det senare datumet hänger på förvaltarrollen, inte på organisationen. Om samma organisation också släpper ut en produkt på marknaden som tillverkare omfattas den produkten redan sedan den 11 september 2026.

Importörer och distributörer informerar tillverkaren. De registrerar sig inte på den gemensamma rapporteringsplattformen, lämnar inte själva in rapporter och ärver inte 24-timmarsklockan. Deras skyldighet är att utan onödigt dröjsmål informera tillverkaren när de får kännedom om en sårbarhet. Se importör och distributör.

Tillverkare utanför EU behöver tydlig routing. Ett skriftligt mandat för auktoriserad representant kan omfatta obligatorisk rapportering eftersom AR-undantagen inte omfattar själva rapporteringen. Utan huvudsaklig etablering i unionen gäller reservkedjan: auktoriserad representant, importör, distributör, därefter användarkoncentration.

Förutsättningar inför registreringen

Sju uppgifter som organisationen bör ha redo före registreringen. ENISA anger att vägledningen kan ändras, så behandla skärmarna som dokumenterade snarare än slutliga. Saknas någon av uppgifterna försenas den första inlämningen.

Krav	Vad du behöver
Juridisk person i den medlemsstat där huvudetableringen finns	En otvetydig juridisk-enhetsuppgift som låter dig välja rätt koordinator-CSIRT vid registreringen (den stat "där beslut om cybersäkerheten för dess produkter med digitala element huvudsakligen fattas").
Enda kontaktpunkt för användare	En användarvänd kanal som "inte ska begränsa sådana möjligheter till automatiserade verktyg". Postlådor med enbart automatisk avsändning uppfyller inte kravet. Publiceras i den användarinformation som åtföljer produkten.
Myndighetsriktad säkerhetskontakt	En kontakt för ENISA och koordinator-CSIRT, operativt skild från den användarvända kanalen. Exakta registreringsfält omfattas fortfarande av ENISA:s specifikationer.
EU Login-konton, personliga, med flerfaktorsautentisering	Registreringen använder ett personligt EU Login-konto med flerfaktorsautentisering påslagen; skapa det i förväg på ecas.ec.europa.eu. SRP lägger inte till någon separat företagsinloggning, så var och en som lämnar in loggar in som sig själv. Koordinator-CSIRT validerar att den som lämnar in får agera för tillverkaren efter första åtkomsten, parallellt med rapporteringen, utan att blockera inlämningen.
Beslut om koordinator-CSIRT, nedskrivet	Välj den CSIRT som utsetts som koordinator ur ENISA:s publicerade lista före den första händelsen, och skriv ner skälet. ENISA uppger att en anmälan som skickas till fel koordinator kan ogiltigförklaras och måste lämnas in på nytt till rätt koordinator.
Produktportföljsinventering	En aktuell lista över produkter och de medlemsstater där var och en har gjorts tillgänglig. Utan den kan den tidiga varningen inte ange de berörda territorierna korrekt.
Dokumenterad intern eskalering	En skriftlig rutin som tar organisationen från upptäckt till inlämning via den gemensamma rapporteringsplattformen inom 24 timmar, med jour utanför ordinarie arbetstid. "Utan onödigt dröjsmål och under alla omständigheter inom 24 timmar" lämnar inget utrymme för ad hoc-eskalering.

Tidslinje: från omställningen till den första anmälningspliktiga händelsen

Officiella ENISA-källor

ENISA anger att dess vägledning speglar nuvarande kunskapsläge och kan ändras. Kontrollera dessa källor innan du förlitar dig på ett specifikt steg.

Dokument	Länk	Status enligt ENISA
SRP-portalen	portal.cra-srp.enisa.europa.eu	Tillgänglig från 11 september 2026
CRA SRP - AR User Manual (55 sidor)	AR User Manual (PDF direkt)	Version 1.1, senast uppdaterad 10 september 2026
CRA SRP-vägledning, Particular Exceptional Circumstances (PEC)	PEC-vägledning	Uppdaterad september 2026
CRA Single Reporting Platform, användarvillkor	Terms and Conditions	Uppdaterad 10 september 2026
ENISA:s SRP-sida	Single Reporting Platform (SRP)	Programsida, faktablad, videor
Vanliga frågor om SRP	Frequently Asked Questions	Uppdaterad 10 september 2026
CRA SRP Glossary, fält för fält	CRA SRP Glossary	Version 1.3
List of CSIRTs Designated as Coordinators	Koordinatorlistan	Uppdaterad 10 september 2026
CRA Single Reporting Platform Factsheet (PDF, på engelska)	www.enisa.europa.eu/media/57221	Endast engelska, inget versionsdatum på filen
CRA SRP - AR User registration	AR User registration	Uppdaterad 10 september 2026
CRA SRP - AR Notification submission and update	AR Notification submission and update	Uppdaterad 9 september 2026
CRA SRP - AR Interface functions	AR Interface functions	Uppdaterad 9 september 2026
CRA SRP Status	SRP-statussidan	Indikator för tillgänglighet i realtid. Ger i skrivande stund besked åt båda hållen
Kommissionens sida om rapportering och FAQ om CRA-genomförandet	CRA reporting	Avsnitt 5 handlar om rapportering
Kommissionens genomförandevägledning	Vägledning, 27 juli 2026	Avsnitt 9.1 handlar om rapportering

SRP Glossary är dokumentet du läser före den första inlämningen, inte under den. Det täcker 39 fält, 18 gemensamma plus 12 för en aktivt utnyttjad sårbarhet och 9 för en allvarlig incident. För varje fält anges betydelsen, hur du fyller i det, ett exempel, väntat format och om fältet är obligatoriskt, frivilligt, obligatoriskt om uppgiften finns eller överfört från föregående steg. Det finns bara på engelska och är numera den enda fältreferensen: FAQ:n hänvisar hit i stället för att räkna upp fälten själv. Lägg märke till vad de 39 inte omfattar. Tidsstämplarna för rapporteringen och rapportören fyller plattformen i åt dig, och anmälningssteget väljer du i stället för att förbereda det som ett datafält, så inget av dem finns i Glossary och inget av dem behöver formuleras i förväg.

ENISA:s supportadress för plattformen: cra-srp-helpdesk@enisa.europa.eu. Två ytterligare adresser gäller plattformens egen säkerhet, inte dina produkter: en säkerhetsincident som berör plattformen anmäls till cra-srp-security@enisa.europa.eu, och en sårbarhet du hittar i själva plattformen till responsible-disclosure@enisa.europa.eu, adressen som anges i ENISA:s security.txt. Ingen av adresserna är en väg för CRA-anmälningar om dina egna produkter.

Registreringsflödet

ENISA uppdaterade sin steg-för-steg-vägledning för registrering den 10 september 2026 och anger fortfarande att den kan ändras. För den klick-för-klick-väg som med skärmbilder visar registreringen, de tre inlämningsstegen och hur du uppdaterar en anmälan är ENISA:s AR User Manual den fylligare referensen.

Assigned Representative är en roll i plattformen, inte en juridisk roll. ENISA kallar den SRP-användare som rapporterar för en tillverkare eller en förvaltare av programvara med fri och öppen källkod för Assigned Representative, eller AR. Det är en roll på SRP-kontot, skild från det auktoriserade ombud som utses genom skriftligt mandat enligt CRA. Vägledningen gäller även när en tillverkare som är etablerad i EU inte har utsett något auktoriserat ombud.

För en Primary AR ser flödet ut så här:

1. Öppna portal.cra-srp.enisa.europa.eu, välj din AR-roll och gå vidare.
2. Välj den CSIRT som utsetts som koordinator i rullgardinsmenyn. Att identifiera rätt koordinator är tillverkarens ansvar.
3. Logga in med EU Login.
4. Läs och godkänn det rättsliga avtalet.
5. Bekräfta dina förifyllda personuppgifter. De kommer från EU Login och går inte att ändra i plattformen.
6. Ange tillverkarens namn och eventuell ytterligare information, som är frivillig.

Plattformen skapar då tillverkarposten, ditt konto får status Active med rollen AR Primary User, kopplingen skickas till din koordinator-CSIRT för validering och ett bekräftelsemejl följer. Med ett fungerande EU Login-konto tar det några minuter.

En Secondary AR registrerar sig på ett annat sätt: den personen utgår från inbjudan i mejlet, loggar in med EU Login, bekräftar sina förifyllda personuppgifter och godkänner sedan kopplingen till tillverkaren.

En Primary AR per tillverkare, plus upp till 20 Secondary AR. I plattformen bär de rollbeteckningarna AR Primary User och AR Backup User.

• Primary AR har de administrativa funktionerna: att hantera tillverkarposten och att bjuda in eller ta bort Secondary AR. ENISA villkorar inbjudan: den är bara tillgänglig för en Primary AR vars koppling mellan AR och tillverkare koordinator-CSIRT har validerat och markerat Verified. Innan dess kan du inte lägga till din ersättare. Kopplingen valideras per tillverkare, så en AR som agerar för flera tillverkare verifieras separat för var och en.
• En Secondary AR ansluter via en inbjudan per mejl och bekräftar förifyllda uppgifter om tillverkaren. Slutförs inte den registreringen inom 7 dagar går posten över till Invitation Expired och inbjudan måste skickas på nytt.
• En Secondary AR kan senare ta över Primary-rollen.

Att utse en Secondary AR är frivilligt. Gör det ändå, för EU Login-konton är personliga, det finns ingen delad företagsinloggning att falla tillbaka på, och 24-timmarsklockan väntar inte på den som har det enda kontot.

Valideringen sker parallellt och blockerar inte dina anmälningar. Koordinator-CSIRT validerar kopplingen mellan AR och tillverkaren efter första åtkomsten. Att valideringen pågår hindrar dig inte från att lämna in, men den hindrar dig från att bjuda in en Secondary AR. Rutiner och handläggningstider varierar mellan CSIRT:er. ENISA ber tillverkare att inte registrera sig i förväg, utan att starta registrering och validering när de faktiskt behöver lämna in. Det håller varje CSIRT:s valideringskö hanterbar.

En icke verifierad AR får lämna in upp till 20 anmälningar för en tillverkare innan valideringen blir obligatorisk. ENISA:s FAQ, gränssnittsvägledningen och AR User Manual ger alla samma siffra. Behandla utrymmet som en säkerhetsventil mot en långsam valideringskö, inte som marginal du kan planera efter, och slutför valideringen.

Vår läsning av ENISA:s råd: dela upp det i två delar. Skapa de personliga EU Login-kontona och aktivera flerfaktorsautentisering nu, för den delen kräver en enhet, en telefon och plats i någons kalender. Låt själva SRP-registreringen vänta till den dag du behöver den, precis som ENISA ber om.

Ha det här klart innan du börjar:

• Juridisk person: vem tillverkaren är och var huvudetableringen finns.
• Myndighetskontakt: kontakten på den gemensamma rapporteringsplattformen för meddelanden från ENISA och koordinator-CSIRT, separat från den användarvända kanalen.
• Produkttäckning: produktportföljen och de medlemsstater där berörda produkter har tillhandahållits.
• Koordinator-routing: CSIRT-tilldelningen enligt reglerna för huvudetablering och reservkedja.

Efter registreringen hanterar samma ändpunkt senare inlämningar: 24-timmars tidig varning, 72-timmarsanmälan, mellanrapporter på CSIRT-begäran och slutrapporten.

Det finns inget API till den gemensamma rapporteringsplattformen i den första versionen. ENISA uppger att organisationer får automatisera sina interna rapporteringsflöden och integrera CRA-rapportering i sina egna system, och att API-funktioner kan komma att övervägas i en senare fas, men själva inlämningen sker i gränssnittet. Den praktiska uppdelningen: automatisera förberedelsen, inte inlämningen. Hämta produktnamn och version, berörda medlemsstater och CVE- eller EUVD-identifieraren ur dina egna system till ett utkast som är klart att klistra in, och låt en namngiven person klistra in det.

Plattformens räknare är inte din tidsgräns

Plattformen visar räknare för 72-timmarsanmälan och slutrapporten och skickar påminnelsemejl mot dem. ENISA är tydlig med att de finns för överblick och inte ersätter rapporteringsskyldigheterna. Tre detaljer spelar roll i den här versionen.

• 72-timmarsräknaren utgår från din inlämnade tidiga varning, inte från kännedomen. Den visar en förfallotid 48 timmar efter att den tidiga varningen lämnades in. Lämnar du in den tidiga varningen sent i 24-timmarsfönstret kan plattformen flagga anmälan som försenad medan du fortfarande ligger inom den lagliga fristen. ENISA uppger att en kommande version räknar från kännedomsdatumet i stället.
• Det finns ingen räknare för slutrapporten om en aktivt utnyttjad sårbarhet. ENISA:s skäl är att tidsgränsen beror på datum och tid när en korrigerande eller begränsande åtgärd blir tillgänglig, och det är inget datum plattformen kan räkna ner till. För allvarliga incidenter visar räknaren en månad efter 72-timmarsanmälan.
• Fältet för kännedom om en utnyttjad sårbarhet är inte fastställt ännu. SRP Glossary anger "Date and time when you become aware of the Actively Exploited Vulnerability" som obligatoriskt vid den tidiga varningen på 24 timmar och noterar i samma rad att fältet kommer i nästa version av plattformen. På pappret är det alltså obligatoriskt, och på skärmen kan det saknas. Håll din egen tidsstämpel för kännedom och var beredd att lämna den oavsett vilket. För incidenter finns ett närliggande fält, men i den här versionen heter det enligt Glossary "Date and time when the incident was detected (UTC time)", vilket inte är samma sak som kännedom.

Håll alltså tidsstämpeln för kännedom i ditt eget system och starta din egen klocka där. Plattformens räknare är en påminnelse. Tidsgränsen är lagen.

Vad varje inlämning till den gemensamma rapporteringsplattformen måste innehålla

Artikel 14 definierar tre anmälningssteg per rapporteringspliktig händelse. Innehållskraven skiljer sig mellan flödet för aktivt utnyttjade sårbarheter och flödet för allvarliga incidenter.

Aktivt utnyttjad sårbarhet:

Steg	Tidsgräns	Minimiinnehåll
Tidig varning	24h från kännedom	Uppgift om att en sårbarhet aktivt utnyttjas. Medlemsstater där produkten tillhandahålls, om dessa är kända.
Sårbarhetsanmälan	72h från kännedom	Allmän information om produkten. Exploateringens och sårbarhetens allmänna karaktär. Vidtagna korrigerande eller begränsande åtgärder. Åtgärder användare kan vidta. Känslighetsangivelse.
Slutrapport	14 dagar efter att en korrigerande eller begränsande åtgärd finns tillgänglig	Beskrivning av sårbarheten inklusive allvarlighet och påverkan. Information om eventuella skadliga aktörer som utnyttjar den, om tillgänglig. Uppgifter om säkerhetsuppdatering eller korrigerande åtgärd.

Allvarlig incident med påverkan på produktens säkerhet:

Steg	Tidsgräns	Minimiinnehåll
Tidig varning	24h från kännedom	Om incidenten misstänks ha orsakats av olagliga eller skadliga handlingar. Medlemsstater där produkten tillhandahålls, om dessa är kända.
Incidentanmälan	72h från kännedom	Incidentens karaktär. Inledande bedömning. Vidtagna korrigerande eller begränsande åtgärder. Åtgärder användare kan vidta. Känslighetsangivelse.
Slutrapport	1 månad efter 72-timmarsanmälan om incidenten	Detaljerad beskrivning av incidenten inklusive allvarlighet och påverkan. Typ av hot eller grundorsak som sannolikt utlöst den. Tillämpade och pågående begränsningsåtgärder.

Den CSIRT som utsetts som koordinator kan också begära en mellanrapport mellan 72-timmarsanmälan och slutrapporten. Inget flöde kräver CVE-identifierare eller CVSS-poäng vid den tidiga varningen. 24-timmarsskyldigheten är att anmäla, inte att ha slutfört analysen. Fullständig teknisk detalj hör hemma i anmälnings- och slutrapportsstegen.

Intern eskalering: att klara 24h-klockan

24-timmarsklockan startar vid kännedom, inte vid bekräftelse. Det svåra är att ta sig från "vi fick precis kännedom" till "vi har precis lämnat in" inom 24 timmar, inklusive utanför ordinarie arbetstid. En triageprocess som "brukar ta 48 timmar" är strukturellt icke-efterlevnadsenlig. Detektion, triage, parallell juridisk granskning och inlämning ska alla rymmas inom samma kalenderdygn, inklusive helger och utanför ordinarie arbetstid.

Steg	Inom 24h?	Kommentar
Detektion	Ja	Intern teknik, kundrapporter, övervakning, hotunderrättelse, CVD-intag. Triagevägar för "aktivt utnyttjad" och "allvarlig incident" måste vara separata.
Triage	Ja	Använd allvarlighetsgraderings-signaler (CVSS / EPSS / KEV) som underlag. Exploateringsbevis är utlösaren. Allvarlighetsgrad ensam räcker inte.
Juridisk granskning	Parallellt	En seriell väntan på juridiskt godkännande förlorar 24 timmar. Tillverkaren kan flagga känslighet, och plattformen kan hålla tillbaka spridning av cybersäkerhetsskäl.
Tidig varning via den gemensamma rapporteringsplattformen	Ja	Sårbarhetsflödet eller flödet för allvarliga incidenter.
72h-anmälan	Efter 24h	Inom 72 timmar från kännedom.
Slutrapport	14 dagar (sårbarhet) / 1 månad (incident)	Sårbarheter: 14 dagar från det att en korrigerande åtgärd blivit tillgänglig. Allvarliga incidenter: en månad från 72-timmarsanmälan.

CSIRT-routing

CSIRT-routing följer tillverkarens huvudsakliga etablering i unionen, alltså den medlemsstat där cybersäkerhetsbeslut för produkten huvudsakligen fattas. Går det inte att fastställa gäller den medlemsstat där din etablering i EU med flest anställda finns. Utan huvudsaklig etablering i unionen går reservkedjan i ordning: den medlemsstat där din auktoriserade representant agerar för flest produkter, sedan den importör som släpper ut flest produkter på marknaden, sedan den distributör som tillhandahåller flest, och därefter den medlemsstat som har flest användare.

ENISA:s lista över CSIRT:er som utsetts som koordinatorer är daterad 10 september 2026 och har en kontaktsida för varje medlemsstat. Bekräfta din koordinator mot den listan och skriv ner skälet till valet, för ENISA uppger nu att en anmälan som lämnas till fel koordinator kan ogiltigförklaras och måste lämnas in på nytt till rätt koordinator. Tidsgränsen löper från kännedomen och inte från en ny start, så timmarna du förlorar på en ny inlämning tas ur din egen budget. Efter inlämningen sker den gränsöverskridande spridningen till CSIRT:er i andra berörda medlemsstater inne i plattformen.

En anmälan per händelse, även med dotterbolag i EU

ENISA har avgjort en fråga som dyker upp i varje koncernstruktur: bara en anmälan krävs för en viss aktivt utnyttjad sårbarhet eller allvarlig incident, även när tillverkaren har flera filialer eller dotterbolag i EU, eller ett moderbolag utanför unionen. Att samordna inom den strukturen är tillverkarens eget ansvar.

Läs gränsdragningen noga, för den är snävare än många hoppas. Det handlar om en tillverkare med filialer och dotterbolag, inte om en rätt för två juridiskt skilda tillverkare i samma koncern att dela på en enda anmälan. När två enheter var för sig släpper ut sina egna produkter på marknaden bär var och en sin egen skyldighet.

De två felmönstren är värda att skriva in i rutinen. Två dotterbolag anmäler samma händelse och koordinator-CSIRT får dubbletter som ser ut som två tillverkare. Eller så utgår båda enheterna från att den andra har anmält, och ingenting kommer in inom 24 timmar. Peka ut den anmälande enheten och den anmälande personen före händelsen, inte under den.

Den gemensamma rapporteringsplattformen kontra direkt CSIRT-kontakt

Att mejla en nationell CSIRT direkt uppfyller inte CRA:s rapporteringsskyldighet, även om tillverkaren har en befintlig arbetsrelation med den CSIRT:en.

Kanal	Obligatorisk för CRA-rapporter?	Vad den täcker
Den gemensamma rapporteringsplattformen	Ja	Rapporter om aktivt utnyttjade sårbarheter. Rapporter om allvarliga incidenter. 72-timmarsanmälningar och slutrapporter.
Direkt kontakt med nationell CSIRT	Nej	Samordning av koordinerad sårbarhetshantering. Delning av sektorspecifik hotinformation. Informellt samarbete kring incidentrespons.

Tillverkare som har en befintlig relation med en nationell CSIRT kan behålla den för samordnad sårbarhetshantering och sektorspecifikt informationsutbyte. Det som måste gå via den gemensamma rapporteringsplattformen: varje obligatorisk anmälan enligt Artikel 14. Plattformen hanterar gränsöverskridande routing till berörda CSIRT:er i andra medlemsstater automatiskt. En inlämning når alla relevanta CSIRT:er.

Är du inte tillverkare är plattformen inte din kanal. Den här versionen tar bara emot obligatoriska anmälningar enligt Artikel 14 från tillverkare. En säkerhetsforskare, en användare, en importör eller en distributör som vill rapportera en sårbarhet vänder sig direkt till berörd nationell CSIRT. ENISA säger att en inlämning från någon annan kan markeras som ogiltig i plattformen.

Om plattformen ligger nere. ENISA:s svar är att vänta och lämna in när den är tillgänglig igen. Bedömer du att en omedelbar kontakt inte kan vänta får du under tiden kontakta din koordinator-CSIRT direkt, men anmälan måste ändå gå via plattformen i efterhand. Direktkontakt är ett tillägg, aldrig en ersättning, och den förlänger ingen tidsgräns. Spara tidsstämplade noteringar för avbrottet, för vad du försökte göra och för eventuell direktkontakt.

Vanliga fallgropar

• Att aktivera EU Login och flerfaktorsautentisering under incidenten. ENISA ber dig att inte registrera dig på plattformen i förväg, och det är rimligt. Det betyder inte att identiteten kan vänta till händelsen. Skapa de personliga kontona, aktivera flerfaktorsautentisering och testa inloggningen nu, så att en registrering samma dag verkligen tar några minuter.
• Att låta plattformen bestämma din tidsgräns. I den här versionen utgår 72-timmarsräknaren från din inlämnade tidiga varning plus 48 timmar, och fältet för kännedom om en utnyttjad sårbarhet kanske inte finns på skärmen ännu, trots att Glossary anger det som obligatoriskt. Håll din egen klocka.
• Två dotterbolag anmäler, eller inget av dem. En anmälan per händelse för en tillverkare, och någon måste äga den. Peka ut den anmälande enheten och den anmälande personen i rutinen.
• En enda person med det enda kontot. Utse en Primary AR och minst en Secondary AR, och slutför inbjudan inom 7 dagar innan den går ut.
• Att gissa koordinator-CSIRT under en incident. Listan är publicerad. Fel koordinator kan ogiltigförklara anmälan och kosta dig timmar du inte har.
• En generisk security@-adress med autosvar. Strider mot kravet på en användarvänd kanal och är olämplig för plattformens myndighetskanal.
• Inga eller inaktuella produkter kopplade till registreringen. Den tidiga varningen måste ange de medlemsstater där produkten har tillhandahållits. Utan en aktuell inventering är den tidiga varningen ofullständig.
• Inget internt SLA för 24-timmarsklockan. Från detektion till inlämning krävs en explicit tidsbudget.
• Inlämning via nationell CSIRT-e-post. Den gemensamma rapporteringsplattformen är den utpekade kanalen. E-post till en nationell CSIRT är inte likvärdigt.
• AR behandlas som en vidarebefordransadress. En tillverkare utanför EU:s AR-mandat måste uttryckligen täcka rapportering, och AR måste kunna stödja inlämning via plattformen.