CRA 第 14 條報告準備

報告前準備

事件發生前，製造商應明確哪些產品適用 CRA、誰有權提交報告、由哪個協調 CSIRT 接收，以及產品已在哪些成員國供應。

協調 CSIRT

通知應通過製造商在歐盟主要營業地所在成員國指定為協調方的 CSIRT 的電子通知端點提交，並應同時可供 ENISA 訪問。

英文原文：
The notification shall be submitted using the electronic notification end-point of the CSIRT designated as coordinator of the Member State where the manufacturers have their main establishment in the Union and shall be simultaneously accessible to ENISA.

歐盟條例 (EU) 2024/2847, 第 14 條第 7 款（中文為非官方譯文；英文為原文）

對歐盟製造商來説，主要營業地是主要作出產品網絡安全決策的成員國。如果無法確定，則以製造商在歐盟內員工人數最多的營業機構所在成員國為準。

對於在歐盟沒有主要營業地的製造商，第 14 條第 7 款要求依據製造商可獲得的信息，按以下順序確定協調 CSIRT 所在成員國：

1. 代表該製造商產品數量最多的授權代表所在的成員國。
2. 將該製造商產品投放市場數量最多的進口商所在的成員國。
3. 在市場上提供該製造商產品數量最多的分銷商所在的成員國。
4. 該製造商產品用戶數量最多的成員國。

各成員國的產品供應情況

24 小時早期預警需要列出製造商已知供應過受影響產品的成員國。單一報告平台（SRP）也會向這些成員國的其他相關 CSIRT 轉送信息。

• 歐盟內的直銷和分銷渠道；
• 向歐盟用戶提供產品的在線交易平台、應用商店和下載渠道；
• 在特定成員國投放市場或提供產品的進口商和分銷商；
• 與報告有關的產品版本、固件版本、依賴雲服務的功能或不同型號。

報告數據準備

SRP 提供統一入口：製造商提交一次，平台將通知轉送協調 CSIRT 和 ENISA。提交所需的產品和安全信息仍須由製造商準備。

• 誰被授權提交通知；
• 哪個產品、版本、組件或服務功能受到影響；
• 事件被視為正在被積極利用的漏洞還是嚴重事件；
• 已經知道什麼，仍在調查什麼，以及有哪些緩解措施可用；
• 哪些用戶或成員國可能受到影響；
• 需要按第 14 條通知受影響用戶時，由誰、通過何種方式通知。

識別應報告的事件

哪些漏洞或事件必須報告，見 漏洞報告。製造商既要能及時識別這些事件，也要能在 24 小時和 72 小時的期限內完成相應提交。