CRA ziņošana: Kibernoturības akta 24 h, 72 h un 14 dienu termiņi

Kas jāziņo un kam

Saskaņā ar Kibernoturības akta 14. pantu ražotājam ir divi atsevišķi ziņošanas pienākumi:

• aktīvi izmantota ievainojamība produktā ar digitāliem elementiem (14. panta 1. un 2. punkts);
• nopietns incidents, kas ietekmē produkta ar digitāliem elementiem drošību (14. panta 3. un 4. punkts).

Abos gadījumos paziņojumu “vienlaikus” saņem par koordinatoru izraudzītā CSIRT un ENISA, un to iesniedz vienotajā ziņošanas platformā. Platformā izvēlas tās dalībvalsts CSIRT galapunktu, kurā ir ražotāja galvenais iedibinājums ES, tas ir, valsts, kurā lielākoties pieņem lēmumus par produktu kiberdrošības riskiem. Ja to nevar noteikt, izvēlas valsti, kurā ir visvairāk darbinieku (14. panta 7. punkts). Ja galvenais iedibinājums ir Latvijā, platformā iesniegtos ziņojumus apstrādā CERT.LV.

Ražotājs bez ES iedibinājuma ziņo valstij noteiktā secībā: kur ir pilnvarotais pārstāvis lielākajam ražotāja produktu skaitam, tad importētājs, tad izplatītājs, visbeidzot valsts, kurā ir visvairāk lietotāju. Kas vispār ir ražotājs un kad importētājs kļūst par ražotāju, skaidrojam ceļvedī Kibernoturības akts: ceļvedis ražotājiem un importētājiem.

Divi ziņošanas iemesli

Aktīvi izmantota ievainojamība

“aktīvi izmantota ievainojamība” ir ievainojamība sistēmā, par kuru ir ticami pierādījumi, ka ļaunprātīgs dalībnieks bez sistēmas īpašnieka atļaujas ir to izmantojis

Kibernoturības akta 3. panta 42. punkts

Svarīgi trīs vārdi. “Ticami pierādījumi”: vajadzīga reāla izmantošana, nevis tikai publisks koncepcijas pierādījums vai augsts CVSS. “Ļaunprātīgs dalībnieks”: labticīga pētnieka tests vai jūsu ielaušanās tests nav aktīva izmantošana. “Sistēmā”: izmantošana var notikt klienta vidē, ne tikai jūsu infrastruktūrā. Ja ziņa par izmantošanu nāk no klienta, CERT ziņojuma vai draudu izlūkošanas avota, pulkstenis sākas brīdī, kad ražotājs par to uzzina.

Nopietns incidents

Incidents, kas ietekmē produkta drošību, ir nopietns, ja (14. panta 5. punkts):

• tas negatīvi ietekmē vai var negatīvi ietekmēt produkta spēju aizsargāt sensitīvu vai svarīgu datu vai funkciju pieejamību, autentiskumu, integritāti vai konfidencialitāti; vai
• tā rezultātā produktā vai lietotāja tīklā un sistēmās ir ielaists vai izpildīts ļaunprātīgs kods vai var tikt ielaists.

Piemērs. Uzbrucējs piekļūst ražotāja būvēšanas serverim un parakstītā programmaparatūras atjauninājumā ievieto aizmugures durvis. Tas ir nopietns incidents: ļaunprātīgs kods var nonākt lietotāju ierīcēs. Ja tajā pašā uzbrukumā tiek izmantota arī ražotāja produkta ievainojamība, var būt jāiesniedz abi paziņojumi.

Termiņi: divas paralēlas plūsmas

Kibernoturības akta 14. panta ziņošanas termiņi

Posms	Aktīvi izmantota ievainojamība	Nopietns incidents
Agrīns brīdinājums	Bez liekas kavēšanās, ne vēlāk kā 24 h pēc uzzināšanas; dalībvalstis, kurās produkts pieejams	Bez nepamatotas kavēšanās, ne vēlāk kā 24 h; vai ir aizdomas par nelikumīgu vai ļaunprātīgu darbību; dalībvalstis, kurās produkts pieejams
Paziņojums	72 h pēc uzzināšanas: produkts, izmantošanas un ievainojamības vispārējais raksturs, veiktie pasākumi, ko var darīt lietotāji, informācijas sensitivitāte	72 h pēc uzzināšanas: incidenta būtība, sākotnējais novērtējums, veiktie pasākumi, ko var darīt lietotāji, informācijas sensitivitāte
Starpposma ziņojums	Pēc CSIRT pieprasījuma	Pēc CSIRT pieprasījuma
Galīgais ziņojums	Ne vēlāk kā 14 dienas pēc tam, kad pieejams korektīvs vai riska mazināšanas pasākums: apraksts, smagums un ietekme, informācija par ļaundariem, ja pieejama, drošības atjauninājuma detaļas	Mēneša laikā pēc 72 h paziņojuma: sīks apraksts, smagums un ietekme, apdraudējuma veids vai pamatcēlonis, piemērotie un plānotie riska mazināšanas pasākumi

Ievainojamības galīgā ziņojuma termiņš ir saistīts ar labojumu, nevis kalendāru. Ja labojums gatavs pēc divām nedēļām, galīgais ziņojums jāiesniedz vēl 14 dienu laikā. Incidenta galīgais ziņojums ir piesaistīts 72 stundu paziņojumam, tāpēc tas jāiesniedz arī tad, ja izmeklēšana vēl turpinās.

Mikrouzņēmumus un mazos uzņēmumus nesoda par 24 stundu agrīnā brīdinājuma nokavēšanu (64. panta 10. punkta a) apakšpunkts). Pienākums ziņot paliek, un 72 stundu paziņojumam izņēmums nav paredzēts.

Vienotā ziņošanas platforma un CERT.LV

Platformu izveido un uztur ENISA (16. pants). ENISA paziņoja, ka 2026. gada 11. septembrī sākta platformas sākotnējā darbības spēja un publicēti BUJ, lietotāja rokasgrāmatas, video, glosārijs un faktu lapa vairākās ES valodās, kā arī atvērts palīdzības dienests. Komisijas lapā norādīts, ka ražotājs ziņo vienu reizi, un CSIRT, kas saņēmusi paziņojumu, to bez kavēšanās dara pieejamu citu to valstu CSIRT, kurās produkts ir tirgū.

CERT.LV paziņojumā norādīts, ka platforma ir pieejama adresē portal.cra-srp.enisa.europa.eu un ka Latvijā tajā iesniegtos ziņojumus apstrādā CERT.LV. Ja tehnisku problēmu dēļ ziņojumu SRP iesniegt nevar, tas jānosūta uz cert@cert.lv. Pēc problēmu novēršanas ziņojums jāreģistrē arī platformā.

CSIRT izņēmuma gadījumos var aizkavēt paziņojuma izplatīšanu citām valstīm. Tas iespējams, ja ievainojamība izmantota tikai vienā valstī, izplatīšana skartu būtiskas valsts intereses vai radītu augstu kiberdrošības risku. Tad ENISA uzreiz saņem tikai vispārīgu informāciju. Nosacījumus precizē Komisijas Deleģētā regula (ES) 2026/881, kas stājās spēkā 2026. gada 10. maijā. Ražotājs paziņojumā var norādīt informācijas sensitivitāti un lūgt aizkavēšanu, bet lēmumu pieņem CSIRT (16. panta 2. punkts).

Pēc tam, kad pieejams labojums, ENISA, vienojoties ar ražotāju, publiski zināmo ievainojamību iekļauj Eiropas ievainojamību datubāzē (17. panta 5. punkts). CSIRT var informēt sabiedrību, ja tas vajadzīgs nopietna incidenta novēršanai (17. panta 2. punkts). Paziņošana pati par sevi nerada lielāku atbildību (17. panta 4. punkts). CSIRT ir pienākums palīdzēt ražotājiem, īpaši MVU, kā palīdzības dienestam (17. panta 6. punkts).

Lietotāju informēšana

Pēc tam, kad ražotājs uzzinājis par aktīvi izmantotu ievainojamību vai nopietnu incidentu [..], ražotājs informē skartos produkta ar digitāliem elementiem lietotājus un attiecīgā gadījumā visus lietotājus par minēto ievainojamību vai incidentu, un vajadzības gadījumā par jebkādu riska mazināšanu un korektīviem pasākumiem, ko lietotāji var veikt

Kibernoturības akta 14. panta 8. punkts

Regula atsevišķu stundu termiņu lietotājiem nenosaka, bet prasa rīkoties pēc uzzināšanas un, ja iespējams, strukturētā, mašīnlasāmā formātā. Praksē tas nozīmē drošības paziņojumu ar skartajām versijām un pagaidu risinājumu, piemēram, CSAF vai VEX dokumentu. Ja ražotājs lietotājus laikus neinformē, to var izdarīt par koordinatoru izraudzītā CSIRT.

Lietotāju informēšana nenozīmē pilnu tehnisko detaļu publiskošanu pirms labojuma. Paziņojumam jāpalīdz lietotājam mazināt risku, nevis jāsniedz uzbrucējam norādījumi. Informāciju par novērstajām ievainojamībām publisko pēc labojuma izlaišanas (I pielikuma II daļas 4. punkts).

Uz ko tas attiecas jau tagad

• Visi produkti tirgū, arī vecie: 14. pants attiecas arī uz produktiem, kas laisti tirgū pirms 2027. gada 11. decembra (69. panta 3. punkts). Klase (parastais, nozīmīgs vai kritiski svarīgs) šo pienākumu nemaina.
• Ražotāji ārpus ES: ja produkts ir ES tirgū, pienākums ir arī tiem, un par koordinatoru izraudzīto CSIRT nosaka secībā, kas aprakstīta iepriekš.
• Atvērtā pirmkoda pārziņi: viņu ziņošanas pienākums sākas tikai 2027. gada 11. decembrī un ir ierobežots (24. panta 3. punkts).
• Importētāji un izplatītāji: ENISA platformā viņi neziņo, bet viņiem bez kavēšanās jāinformē ražotājs par ievainojamību, un par būtisku risku – arī tirgus uzraudzības iestādes (19. un 20. pants).

Ikviens var ziņot brīvprātīgi (15. pants): pētnieki, lietotāji, ražotāji arī par neizmantotām ievainojamībām vai gandrīz notikušiem incidentiem. Ja par aktīvi izmantotu ievainojamību ziņo kāds cits, CSIRT bez liekas kavēšanās informē ražotāju.

Ja esat arī NIS2 vai DORA subjekts

Ražotājs, kas pats ir NIS2 vienība, piemēram, liels ražošanas uzņēmums vai mākoņpakalpojumu sniedzējs, vienam notikumam var saņemt divus pienākumus. CRA paziņojums attiecas uz produktu un tā lietotājiem. NIS2 23. panta paziņojums attiecas uz paša uzņēmuma pakalpojumiem. Abiem ir 24 un 72 stundu posmi, bet atšķirīgi kritēriji un galīgo ziņojumu termiņi. Finanšu vienībām DORA ir savs četru stundu sākotnējā paziņojuma termiņš. Pārklāšanos parāda sākumlapas pārklājumu matrica un ceļvedis NIS2, DORA un VDAR: kad piemēro kuru.

Digitālā Omnibus priekšlikums COM(2025) 837 ierosina ENISA vienoto ieejas punktu vairāku aktu incidentu ziņojumiem. 2026. gada oktobrī tas ir tikai priekšlikums, un CRA ziņojumi jau tagad notiek SRP.

Iekšējā kārtība, kas jāievieš

1. Ieejas kanāli: vienots kontaktpunkts ievainojamībām (13. panta 17. punkts), klientu atbalsts, CERT brīdinājumi un draudu izlūkošana nonāk vienā triāžas rindā.
2. Kritēriji: rakstisks lēmuma koks “aktīvi izmantota ievainojamība / nopietns incidents / nav ziņojams”, ar atbildīgo personu un lēmuma laiku.
3. Pulkstenis: fiksējiet uzzināšanas brīdi; dežūru grafikam jāsedz brīvdienas, jo 24 stundas skaita kalendāra laikā.
4. SRP piekļuve: iepriekš reģistrējiet vismaz divus kontus un pārbaudiet rezerves kanālu cert@cert.lv.
5. Dati: produktu un versiju saraksts, SBOM un pārdošanas valstis, lai brīdinājumā varētu norādīt dalībvalstis.
6. Lietotāji: drošības paziņojuma veidne, saziņas saraksti un mašīnlasāms formāts.
7. Vingrinājums: reizi gadā izspēlējiet scenāriju no ziņas saņemšanas līdz galīgajam ziņojumam.

Ziņošanas kvalitāte atkarīga no tā, cik ātri spējat noteikt, kuras versijas un komponenti ir skarti. Ja kodu bāzē vēl nav sistemātiskas ievainojamību meklēšanas, to papildina neatkarīga pirmkoda drošības pārbaude, kas atklāj kļūdas pirms uzbrucēja. Datumus, kad sāksies pārējās CRA prasības, apkopo ceļvedis ES termiņu kalendārs 2022–2028.