اعتبارًا من 11 سبتمبر 2026 يجب على الشركات المصنِّعة الإبلاغ على مستوى الاتحاد الأوروبي عن الثغرات الأمنية المستغَلّة بشكل نشط والحوادث الجسيمة — إنذار مبكر في غضون 24 ساعة، عبر Single Reporting Platform (SRP) الجديدة التابعة لـ ENISA. نحن نجعلكم قادرين على الإبلاغ قبل أن يبدأ العدّ للمرة الأولى.
لا يسري Cyber Resilience Act بالكامل إلا اعتبارًا من ديسمبر 2027 — لكن التزامات الإبلاغ وفق المادة 14 تبدأ قبل ذلك بـ 15 شهرًا. فاعتبارًا من 11 سبتمبر 2026 يجب على الشركات المصنِّعة للمنتجات ذات العناصر الرقمية الإبلاغ عن نوعين من الأحداث: الثغرات الأمنية المستغَلّة بشكل نشط في منتجاتها، والحوادث الجسيمة التي تؤثر في أمن المنتج. ويسري الالتزام على مستوى المنتج — أي أيضًا على المنتجات الموجودة في السوق منذ زمن. ولا توجد حماية للمنتجات القائمة فيما يخص التزام الإبلاغ.
يتم الإبلاغ عبر Single Reporting Platform (SRP): منصة إبلاغ مركزية تشغّلها ENISA، توزّع كل بلاغ تلقائيًا على CSIRT الوطني المختص، وعلى فرق CSIRT في جميع الدول الأعضاء التي يُتاح فيها المنتج، وعلى ENISA نفسها — إبلاغ مرة واحدة بدلًا من حتى 27 مرة. تبدأ المنصة العمل في 11 سبتمبر 2026؛ وقد نشرت ENISA المستندات المرافقة (Factsheet والأسئلة الشائعة وأدلة المستخدم) في 31 يوليو 2026.
تبدأ جميع المواعيد من لحظة العلم («becoming aware») — لا من المعالجة. وتُحتسب عطلات نهاية الأسبوع أيضًا.
في غضون 24 ساعة من العلم: بلاغ موجز إلى CSIRT المنسِّق وإلى ENISA — كي تصل التحذيرات إلى المشغّلين الآخرين قبل أن تنطلق موجة الاستغلال.
في غضون 72 ساعة: معلومات عامة وتقدير أولي — درجة الخطورة، والآثار، وما اتُّخذ من إجراءات تصحيحية أو علاجية بقدر ما هو متاح بالفعل.
في حالة الثغرات الأمنية في موعد أقصاه 14 يومًا بعد توفر إجراء تصحيحي، وفي حالة الحوادث بعد شهر من بلاغ الـ 72 ساعة: الأسباب، ومجرى الأحداث، والإجراءات المضادة.
حالتان للإبلاغ، ومسار إبلاغ واحد: Single Reporting Platform التابعة لـ ENISA.
توجد أدلة موثوقة على أن مهاجمًا استغل ثغرة أمنية في منتجكم — بصرف النظر عن نجاح المحاولة. وقد تكون الأدلة بيانات قياس عن بُعد خاصة بكم، أو إشارات من فرق CSIRT أو العملاء أو باحثي الأمن، أو إدخالات في كتالوجات الاستغلال.
يكون الحادث جسيمًا إذا أضرّ — أو كان من شأنه أن يضرّ — بقدرة المنتج على حماية البيانات والوظائف الحساسة، أو إذا أدى أو قد يؤدي إلى إدخال شيفرة خبيثة أو تنفيذها. والاحتمال يكفي: خوادم البناء وقنوات التحديث المخترقة هي المثال النموذجي.
تحيل SRP بلاغكم إلى CSIRT المعيَّن منسِّقًا، وتُخطر ENISA في الوقت نفسه، وتوزّعه دون تأخير على فرق CSIRT في جميع الدول الأعضاء التي يُتاح فيها المنتج. وتتلقى سلطات مراقبة السوق معلومات مختارة لأغراض رقابتها.
صُمّمت المنصة لضمان السرية. ولا يمكن تأجيل إعادة التوزيع إلا في استثناءات مبرّرة — مثل اقتراب صدور تصحيح — ويخضع ذلك لتقدير CSIRT (المادة 16 الفقرة 2 من CRA، اللائحة المفوَّضة (EU) 2026/881). ولا يوجد خيار انسحاب للشركات المصنِّعة.
صُمّمت المنصة نفسها عمدًا بشكل مبسّط — أما التحضير الفعلي فيقع على عاتقكم.
يتم الوصول إلى SRP بحساب EU-Login. أنشئوا حسابات لشخصين على الأقل ونظّموا الإنابة — فالطوارئ لا تلتزم بخطط الإجازات.
بعد الوصول الأول يتحقق CSIRT الخاص بكم من الممثلين المعيَّنين — وفق الأسئلة الشائعة لـ ENISA بالتوازي مع عملية الإبلاغ. ولا يتأخر تقديم البلاغ بسبب ذلك.
وفق الأسئلة الشائعة لـ ENISA لا توفّر SRP عند الإطلاق واجهة برمجة تطبيقات: يُدخَل كل بلاغ يدويًا في النموذج الإلكتروني — على ثلاث مراحل بحقول مشتركة وأخرى خاصة بالثغرات أو الحوادث. والنصوص الجاهزة وربط الحقول هما رافعة السرعة لديكم.
بعد حادث أو ثغرة أمنية مستغَلّة يجب عليكم أيضًا إبلاغ المستخدمين المتأثرين دون تأخير — بما في ذلك معلومات المخاطر والمعالجة. وإذا أغفلتم ذلك يمكن لـ CSIRT إبلاغ مستخدميكم بنفسه.
تخطط ENISA قبل الإطلاق لمرحلة اختبار وندوة إلكترونية للتهيئة قبل نحو أسبوعين من بدء التشغيل. استفيدوا من كليهما — فمع حزم إبلاغ جاهزة يصبح 11 سبتمبر يوم عمل عاديًا.
يُبلَّغ وفق CRA وNIS2 عن أمور مختلفة إلى جهات مختلفة. وقد يُطلق حدث واحد عدة التزامات إبلاغ في آنٍ واحد.
تُبلغ الشركة المصنِّعة عن الثغرات الأمنية المستغَلّة بشكل نشط والحوادث الجسيمة التي تمس المنتج — عبر SRP إلى CSIRT وENISA، بإيقاع 24 ساعة / 72 ساعة / 14 يومًا أو شهر واحد.
يُبلغ مشغّلو الجهات الأساسية والمهمة عن الحوادث الأمنية الكبيرة في مؤسساتهم عبر مسارات الإبلاغ الوطنية (في ألمانيا: BSI) — بإيقاع 24 ساعة / 72 ساعة / شهر واحد.
قد يُطلق هجوم Ransomware على شركة مصنِّعة للبرمجيات مع تأثر خادم التحديثات بلاغًا وفق CRA وNIS2 وGDPR في آنٍ واحد — وفي القطاع المالي وفق DORA أيضًا. ولا تتولى SRP عنكم سوى بلاغ CRA: ابنوا خريطة إبلاغ بعملية مشتركة.
ست خطوات تجعل الالتزام بمهلة الـ 24 ساعة ممكنًا بموثوقية.
إعداد قائمة بالمنتجات وتقييم مدى خضوع كل منتج لـ CRA — مع إدراج المنتجات القائمة، لأن التزام الإبلاغ لا يعرف حماية للمنتجات القائمة.
تحديد CSIRT المختص بناءً على المقر الرئيسي (المادة 14 الفقرة 7)، وإنشاء حسابات EU-Login لشخصين على الأقل، وتحديد قواعد الإنابة.
التحديد داخليًا متى يتحقق «العلم»، ومن يثبته، وكيف يُوثَّق التوقيت — فهو مرتكز جميع المواعيد. وتنظيم إمكانية التواصل في عطلات نهاية الأسبوع أيضًا.
ربط حقول نماذج SRP بمصادر البيانات الداخلية، وإعداد نصوص جاهزة لبلاغَي الـ 24 ساعة والـ 72 ساعة، والحصول على الموافقات مسبقًا — دون دوّامات لجان في حالة الطوارئ.
تمرين Tabletop بسيناريو واقعي في سباق مع الوقت — بما في ذلك التواصل مع المستخدمين وفق المادة 14 الفقرة 8 وحالة مساء الجمعة غير المريحة.
إعداد مراقبة المكوّنات (ومنها قاعدة بيانات الثغرات الأوروبية EUVD وCISA KEV)، وإبقاء SBOM محدَّثة، وتأمين التزامات الإبلاغ لدى المورّدين تعاقديًا.
إجابات موجزة — ونتناول منتجاتكم المحددة في الاستشارة الأولية.
نعم. يسري التزام الإبلاغ وفق المادة 14 اعتبارًا من 11 سبتمبر 2026 على مستوى المنتج — أي أيضًا على المنتجات الموجودة في السوق بالفعل. أما التزامات CRA الأخرى، مثل علامة CE، فتسري اعتبارًا من 11 ديسمبر 2027.
من لحظة العلم («becoming aware»): بمجرد أن تعلم شركتكم بالاستغلال النشط أو بالحادث الجسيم. لا عند المعالجة ولا بعد الموافقة الداخلية — ولهذا يجب تحديد محفّزات العلم وعملية الإبلاغ وتوثيقها مسبقًا.
توجد أدلة موثوقة على أن مهاجمًا استغل الثغرة الأمنية دون موافقة مالك النظام أو حاول ذلك — ونجاح الهجوم غير ذي أهمية (المادة 3 البند 42 من CRA). كما يمكن لإشارة خارجية موثوقة، مثلًا من CSIRT أو من عميل، أن تُطلق المهلة.
في الحوادث الجسيمة يكفي الاحتمال: فحتى لو كان الحادث قد يضرّ فقط بقدرة المنتج على الحماية أو كان تنفيذ شيفرة خبيثة ممكنًا، فإن حالة الإبلاغ قائمة (المادة 14 الفقرة 5). وعند الشك: أبلغوا — فالبلاغ ليس اعترافًا بالمسؤولية.
ليس عند الإطلاق. وفق الأسئلة الشائعة لـ ENISA تعمل SRP في البداية دون واجهة برمجة تطبيقات — وتُدخَل البلاغات يدويًا في النموذج الإلكتروني. ولذلك تزداد أهمية النصوص الجاهزة وربط الحقول ببياناتكم الداخلية والإجراءات المتمرَّن عليها.
من حيث المبدأ CSIRT الدولة العضو التي يقع فيها مقركم الرئيسي — حيث تُتّخذ القرارات الجوهرية للأمن السيبراني المتعلقة بمنتجاتكم (المادة 14 الفقرة 7). وفي غياب مقر داخل الاتحاد الأوروبي تسري السلسلة عبر الممثل المفوَّض والمستورد والموزّع. وفي ألمانيا يُعدّ BSI نقطة الاتصال المركزية؛ وتنشر ENISA القائمة الرسمية لفرق CSIRT.
غرامات تصل إلى 15 مليون يورو أو 2.5% من الإيرادات السنوية العالمية — أيهما أعلى — إضافةً إلى إجراءات مراقبة السوق وصولًا إلى السحب من السوق. وكذلك: إذا لم تُبلغوا المستخدمين المتأثرين بأنفسكم، يمكن لـ CSIRT أن يتولى ذلك — وحينها دون نبرتكم الخاصة.
من فحص الجاهزية حتى بلاغ الـ 24 ساعة المتمرَّن عليه — بشكل عملي وقريب من المنتج وصامد أمام التدقيق.
تقييم موجز لمحفظة المنتجات ومدى الخضوع والفجوات: النطاق، والقدرة على الإبلاغ، وإدارة الثغرات الأمنية — مع خطة إجراءات مرتّبة الأولويات حتى 11 سبتمبر.
تحديد محفّزات العلم والأدوار ومسارات التصعيد، وتجهيز حسابات EU-Login وتحديد CSIRT المختص، وإعداد ربط الحقول والنصوص الجاهزة لبلاغَي الـ 24 ساعة والـ 72 ساعة.
بناء أو تحسين فريق الاستجابة لحوادث أمن المنتجات (Product Security Incident Response Team) لديكم: سياسة CVD، ونقطة اتصال للبلاغات، وصيانة SBOM، ومراقبة الاستغلال كمصدر موثوق للعلم.
نتمرّن على حالة الطوارئ في سباق مع الوقت — بما في ذلك تقدير الـ 72 ساعة والتقرير الختامي والتواصل مع المستخدمين وفق المادة 14 الفقرة 8. وبعدها يعرف كل دور مهمته.
عندما يقع الحادث: دعم في التقييم والاحتواء والإبلاغ في الموعد — تقنيًا وتنظيميًا من مصدر واحد.
التزام الإبلاغ اليوم، ومتطلبات الملحق I وتقييم المطابقة غدًا: نرافقكم باستمرار حتى علامة CE — كمشروع أو كـ GRC as a Service.
في استشارة أولية غير ملزمة نوضح أين تقف محفظتكم، وأي الفجوات تهدد مهلة الـ 24 ساعة، وكيف تبدو خارطة طريقكم حتى 11 سبتمبر.
