Sổ báo cáo theo CRA: thời hạn và các trường của Nền tảng báo cáo duy nhất

• tính cảnh báo sớm (24 giờ) và thông báo (72 giờ) từ thời điểm bạn biết được, theo giờ địa phương và theo UTC;
• tính báo cáo cuối cùng: 14 ngày sau khi có biện pháp khắc phục hoặc giảm thiểu đối với lỗ hổng, một tháng sau khi bạn gửi thông báo đối với sự cố;
• liệt kê các trường của nền tảng với số thứ tự của ENISA, bước yêu cầu từng trường và giới hạn ký tự, và sao chép câu trả lời của một bước để dán;
• cho biết bạn báo cáo cho CSIRT nào theo Điều 14(7), kể cả khi bạn không có cơ sở tại EU;
• soạn thảo thông báo cho người dùng mà Điều 14(8) yêu cầu, từ những gì bạn đã điền.

Bộ đếm của chính nền tảng hiện hiển thị thời hạn 72 giờ là 48 giờ sau khi bạn gửi cảnh báo sớm, và không có bộ đếm cho báo cáo cuối cùng về lỗ hổng (hỏi đáp của ENISA, 3/10/2026). ENISA cho biết bộ đếm chỉ là công cụ hỗ trợ và thời hạn pháp lý không đổi. Trang này tính từ thời điểm bạn biết được, như Điều 14 quy định.

Bạn báo cáo lỗ hổng đang bị khai thác trong sản phẩm: lỗ hổng có bằng chứng đáng tin cậy rằng một chủ thể độc hại đã khai thác nó trong một hệ thống mà không có sự cho phép của chủ sở hữu (Điều 3(42)). Theo hỏi đáp của Ủy ban, lỗ hổng phát hiện khi thử nghiệm hoặc do nhà nghiên cứu báo cáo với thiện chí, không có bằng chứng bị khai thác độc hại, thì không thuộc loại này. Bạn cũng báo cáo sự cố nghiêm trọng ảnh hưởng đến an ninh của sản phẩm (Điều 14(5)). Một thông báo cho một lỗ hổng hoặc sự cố, kể cả khi bạn có nhiều chi nhánh tại EU.

Điều 64(2) quy định mức phạt đến 15 triệu EUR hoặc, đối với doanh nghiệp, đến 2,5 % tổng doanh thu toàn cầu hằng năm, tùy mức nào cao hơn, khi không tuân thủ Điều 14. Theo Điều 64(10)(a), các mức phạt này không áp dụng cho doanh nghiệp siêu nhỏ và doanh nghiệp nhỏ khi bỏ lỡ thời hạn 24 giờ của cảnh báo sớm; không thời hạn nào khác được miễn. Điều 14 áp dụng từ ngày 11/9/2026. Điều 64 không thuộc các quy định áp dụng sớm, nên áp dụng từ ngày 11/12/2027 (Điều 71(2)).

Bản thân các quy định có trên trang báo cáo theo CRA; việc Đạo luật có áp dụng cho sản phẩm của bạn hay không có trên trang Đạo luật về Khả năng phục hồi mạng.

Trang này không gửi gì cho ENISA: bạn tự gửi trên Nền tảng báo cáo duy nhất. Những gì bạn nhập không rời khỏi trình duyệt và không được lưu, nên hãy tải tệp sổ báo cáo để giữ công việc. Danh sách trường và hướng dẫn của ENISA có thể thay đổi, và hướng dẫn của Ủy ban không có tính ràng buộc. Đây không phải tư vấn pháp lý.