CRA 第 14 条报告准备

报告前准备

事件发生前，制造商应明确哪些产品适用 CRA、谁有权提交报告、由哪个协调 CSIRT 接收，以及产品已在哪些成员国供应。

协调 CSIRT

通知应通过制造商在欧盟主要营业地所在成员国指定为协调方的 CSIRT 的电子通知端点提交，并应同时可供 ENISA 访问。

英文原文：
The notification shall be submitted using the electronic notification end-point of the CSIRT designated as coordinator of the Member State where the manufacturers have their main establishment in the Union and shall be simultaneously accessible to ENISA.

欧盟条例 (EU) 2024/2847, 第 14 条第 7 款（中文为非官方译文；英文为原文）

对欧盟制造商来说，主要营业地是主要作出产品网络安全决策的成员国。如果无法确定，则以制造商在欧盟内员工人数最多的营业机构所在成员国为准。

对于在欧盟没有主要营业地的制造商，第 14 条第 7 款要求依据制造商可获得的信息，按以下顺序确定协调 CSIRT 所在成员国：

1. 代表该制造商产品数量最多的授权代表所在的成员国。
2. 将该制造商产品投放市场数量最多的进口商所在的成员国。
3. 在市场上提供该制造商产品数量最多的分销商所在的成员国。
4. 该制造商产品用户数量最多的成员国。

各成员国的产品供应情况

24 小时早期预警需要列出制造商已知供应过受影响产品的成员国。单一报告平台（SRP）也会向这些成员国的其他相关 CSIRT 转送信息。

• 欧盟内的直销和分销渠道；
• 向欧盟用户提供产品的在线交易平台、应用商店和下载渠道；
• 在特定成员国投放市场或提供产品的进口商和分销商；
• 与报告有关的产品版本、固件版本、依赖云服务的功能或不同型号。

报告数据准备

SRP 提供统一入口：制造商提交一次，平台将通知转送协调 CSIRT 和 ENISA。提交所需的产品和安全信息仍须由制造商准备。

• 谁被授权提交通知；
• 哪个产品、版本、组件或服务功能受到影响；
• 事件被视为正在被积极利用的漏洞还是严重事件；
• 已经知道什么，仍在调查什么，以及有哪些缓解措施可用；
• 哪些用户或成员国可能受到影响；
• 需要按第 14 条通知受影响用户时，由谁、通过何种方式通知。

识别应报告的事件

哪些漏洞或事件必须报告，见 漏洞报告。制造商既要能及时识别这些事件，也要能在 24 小时和 72 小时的期限内完成相应提交。