Moram li prijaviti ranjivost u svom softveru?

Da, ako komercijalno prodaješ softver ili uređaje s digitalnim elementima u EU i saznaš da se ranjivost aktivno iskorištava: rana uzbuna u 24 sata, obavijest u 72 sata, završno izvješće 14 dana nakon ispravka, kroz ENISA platformu. Vrijedi od 11. rujna 2026.

Tko mora?

Proizvođači softvera i uređaja koji ih komercijalno stavljaju na tržište EU, bez obzira na sjedište. Besplatni open source bez komercijalne aktivnosti nije u opsegu.

Što treba?

1. Imaj popis komponenti (SBOM) i dnevnu provjeru ranjivosti.
2. Kad saznaš za aktivno iskorištenu ranjivost, zapiši trenutak saznanja: sat kreće.
3. Rana uzbuna u 24 h, obavijest u 72 h, završno izvješće 14 dana nakon ispravka, sve kroz ENISA platformu; obavijesti korisnike.

Gdje se prijavljuje?

ENISA Single Reporting Platform (prijavljuje proizvođač sam).

Tko kontrolira?

ENISA i nacionalni CSIRT

Kazna

Do 15 milijuna € ili 2,5 % godišnjeg prometa za bitne zahtjeve i obveze iz čl. 13. i 14.; do 10 milijuna € ili 2 % za ostale obveze (čl. 64.).

Iznos provjeravamo u izvoru prije konačne objave.

Što ako već kasnim?

Prijavi odmah, i zakašnjelo; zabilježi kad si saznao i zašto je kasnilo.