このページがすること
- 認識した時点から、早期警告（24時間）と通知（72時間）を現地時間と UTC で数える
- 最終報告を数える：脆弱性については是正措置または緩和措置が利用可能になってから14日後、インシデントについては通知を提出してから1か月後
- プラットフォームの項目を、ENISA の番号、それを求めるステップ、文字数の上限とともに一覧にし、ステップごとの回答を貼り付け用にコピーする
- EU に拠点がない場合も含め、第14条(7)に基づく報告先の CSIRT を示す
- すでに記入した内容から、第14条(8)が求める利用者への通知の案を作成する
現在、プラットフォーム自体のカウンターは72時間の期限を早期警告の提出から48時間後として表示し、脆弱性の最終報告のカウンターはありません（ENISA の Q&A、2026年10月3日）。ENISA は、カウンターは補助にすぎず法定の期限は変わらないとしています。このページは第14条と同じく、認識した時点から数えます。
報告するものと、しないもの
製品の実際に悪用されている脆弱性を報告します：悪意のある者が所有者の許可なくシステムで悪用したという信頼できる証拠があるもの（第3条(42)）。欧州委員会の Q&A によれば、試験で見つかった脆弱性や、研究者が善意で報告した脆弱性で、悪意のある悪用の証拠がないものは該当しません。製品のセキュリティに影響する重大インシデントも報告します（第14条(5)）。EU に複数の拠点があっても、1件の通知は1つの脆弱性またはインシデントを対象とします。
制裁金
第64条(2)は、第14条に違反した場合に、最大1,500万ユーロ、または企業の場合は全世界の年間売上高の最大 2.5 % のいずれか高い額の制裁金を定めています。第64条(10)(a)により、早期警告の24時間の期限を守らなかったことについて、これらの制裁金は零細企業と小企業には適用されません。他の期限は対象外です。第14条は2026年9月11日から適用されています。第64条は先に適用される規定に含まれないため、2027年12月11日から適用されます（第71条(2)）。
ルールそのものは CRA の報告のページに、そもそも製品が法律の対象かどうかはサイバーレジリエンス法のページにあります。
このページは ENISA に何も送りません：単一報告プラットフォームでの提出はご自身で行います。入力した内容はブラウザの外に出ず、何も保存されないため、作業を残すには記録簿のファイルをダウンロードしてください。ENISA の項目一覧とガイダンスは変わる可能性があり、欧州委員会のガイダンスに拘束力はありません。法的助言ではありません。