Báo cáo theo CRA: lỗ hổng đang bị khai thác và sự cố nghiêm trọng
Điều 14 của Đạo luật về Khả năng phục hồi mạng áp dụng từ ngày 11/9/2026, trước phần còn lại của Quy định. Điều này áp dụng cho mọi sản phẩm có thành phần kỹ thuật số thuộc phạm vi, kể cả sản phẩm đã đưa ra thị trường trước ngày 11/12/2027 (Điều 69(3)).
Đối chiếu với các nguồn ngày 10 tháng 10, 2026
Quy định (EU) 2024/2847, Điều 14, 16, 69 và 71 (tiếng Anh)
Đối chiếu với các nguồn ngày 10 tháng 10, 2026
Công cụ tính thời hạn báo cáo
Nhập thời điểm bạn biết được. Thời hạn được tính bằng giờ từ thời điểm đó, nên được hiển thị theo giờ địa phương của bạn và theo UTC. Không lưu gì.
Báo cáo qua Nền tảng báo cáo duy nhất của ENISA cho CSIRT của quốc gia thành viên nơi có cơ sở chính của bạn tại EU. CSIRT có thể yêu cầu báo cáo trung gian.
Những gì phải báo cáo
- lỗ hổng đang bị khai thác trong sản phẩm của bạn mà bạn biết được (Điều 14(1));
- sự cố nghiêm trọng ảnh hưởng đến an ninh của sản phẩm (Điều 14(3)): sự cố ảnh hưởng, hoặc có thể ảnh hưởng, đến tính sẵn sàng, tính xác thực, tính toàn vẹn hoặc tính bảo mật của dữ liệu hoặc chức năng nhạy cảm hay quan trọng, hoặc đã dẫn hay có thể dẫn đến việc mã độc được đưa vào hoặc chạy trong sản phẩm hay trong hệ thống của người dùng (Điều 14(5)).
Thời hạn, tính từ khi bạn biết được
| Bước | Lỗ hổng đang bị khai thác | Sự cố nghiêm trọng |
|---|---|---|
| Cảnh báo sớm | Trong 24 giờ, nêu các quốc gia thành viên nơi bạn biết sản phẩm đang được cung cấp. | Trong 24 giờ, đồng thời cho biết có nghi ngờ hành vi trái pháp luật hoặc có chủ đích xấu hay không. |
| Thông báo | Trong 72 giờ: sản phẩm, bản chất của việc khai thác và lỗ hổng, biện pháp đã thực hiện và biện pháp người dùng có thể thực hiện, và mức độ nhạy cảm mà bạn đánh giá đối với thông tin. | Trong 72 giờ: bản chất của sự cố, đánh giá ban đầu, biện pháp đã thực hiện và biện pháp người dùng có thể thực hiện, và mức độ nhạy cảm mà bạn đánh giá đối với thông tin. |
| Báo cáo cuối cùng | Chậm nhất 14 ngày sau khi có biện pháp khắc phục hoặc giảm thiểu: lỗ hổng cùng mức độ nghiêm trọng và tác động, chủ thể độc hại nếu có, và bản cập nhật bảo mật. | Trong một tháng sau khi thông báo: mô tả chi tiết, mối đe dọa hoặc nguyên nhân gốc có khả năng, và các biện pháp giảm thiểu. |
CSIRT tiếp nhận thông báo có thể yêu cầu báo cáo giữa kỳ về tình hình cập nhật (Điều 14(6)).
Báo cáo ở đâu
Qua Nền tảng báo cáo duy nhất (Single Reporting Platform) của ENISA, mở từ ngày 11/9/2026. Bạn gửi cho CSIRT được chỉ định làm điều phối viên tại quốc gia thành viên nơi có cơ sở chính của bạn tại EU, tức là nơi chủ yếu đưa ra các quyết định về an ninh mạng của sản phẩm. ENISA nhận thông báo cùng lúc, và CSIRT chuyển tiếp cho các quốc gia thành viên khác nơi sản phẩm được cung cấp (Điều 14(7) và 16).
Nhà sản xuất ngoài EU
Nếu không có cơ sở chính tại EU, hãy báo cáo cho CSIRT của quốc gia thành viên đầu tiên áp dụng trong danh sách sau (Điều 14(7)):
- nơi có cơ sở của đại diện được ủy quyền đại diện cho nhiều sản phẩm của bạn nhất;
- nơi có cơ sở của nhà nhập khẩu đưa nhiều sản phẩm của bạn ra thị trường nhất;
- nơi có cơ sở của nhà phân phối cung cấp nhiều sản phẩm của bạn nhất;
- nơi có nhiều người dùng sản phẩm của bạn nhất.
Thông báo cho người dùng
Thông báo cho người dùng bị ảnh hưởng, và khi phù hợp là mọi người dùng, về lỗ hổng hoặc sự cố và các biện pháp họ có thể thực hiện, khi phù hợp ở định dạng có cấu trúc, máy đọc được (Điều 14(8)). Nếu bạn không làm kịp thời, CSIRT có thể thông báo cho họ.
Chuẩn bị trước khi xảy ra
- đăng ký trên Nền tảng báo cáo duy nhất (ENISA có công bố hướng dẫn sử dụng);
- quyết định ai đánh giá, trong vòng 24 giờ, một lỗ hổng có đang bị khai thác hay một sự cố có nghiêm trọng hay không;
- giữ danh sách các quốc gia thành viên nơi bán từng sản phẩm, và đại diện được ủy quyền, nhà nhập khẩu, nhà phân phối của bạn;
- chuẩn bị mẫu thông báo cho người dùng.
Sản phẩm của bạn thuộc loại nào, và có cần tổ chức được thông báo không? Xem trang Đạo luật về Khả năng phục hồi mạng.