A pénteki mondat így hangzik: „Kis cég vagyunk, a 24 órás bírság nem minket keres. A platform él, ha kell, majd beregisztrálunk.” 2026. szeptember 25-én, tizennégy nappal a jelentési óra indulása után ez a mondat két iraton csúszik meg. Az egyik a 2024/2847 rendelet 64. cikke. A másik az ENISA szeptemberi AR-kézikönyve.
A Single Reporting Platform 2026. szeptember 11. óta üzemel. A kézikönyv szerint a felület a gyártók 14. cikk szerinti kötelező bejelentéseit viszi: aktívan kihasznált sebezhetőséget és a termék biztonságát érintő súlyos incidenst. Az önkéntes bejelentés, a 15. cikk, az első kiadásban nincs a felületen. Későbbi fázisra ígérik.
Ez tájékoztató összefoglaló, nem jogi tanácsadás. A rendelet szerinti gyártói besorolást és a vállalkozásméretet belső jogi felelőssel vagy ügyvéddel érdemes lezárni.
Két zár a kapun
Az Assigned Representative (AR) a felületen az a természetes személy, aki a gyártó nevében bejelent. A neve az EU Loginból jön, a felületen nem szerkeszthető. Platformszerep, nem a rendelet 18. cikke szerinti meghatalmazott képviselő. Ezt a kettőt az augusztusi darab már szétválasztotta: 17 nap a CRA-jelentésig.
A szeptemberi kézikönyv két üzemeltetési tényt tesz hozzá.
Tartalék képviselőt csak hitelesített elsődleges AR hívhat meg. A meghívó a hitelesített gyártó–képviselő társításhoz kötött. A fiók a regisztráció után aktív lehet, elsődleges szereppel, miközben a társítás a kijelölt CSIRT hitelesítésére vár. Bejelentést a kézikönyv szerint a hitelesítés lezárása előtt is be lehet küldeni. Helyettest meghívni nem.
A tartalék AR a saját maga által beadott bejelentéseket és a saját piszkozatait látja. Ugyanahhoz a gyártóhoz más képviselő által beadott értesítést nem. Hétvégi átadásnál a helyettes nem a tegnapi jegyet folytatja. Újat nyit, vagy az elsődleges marad a képernyőnél.
A meghívó hét nap után lejár. A hét nap csak azután indul, hogy egyáltalán ki lehet küldeni. Hitelesítés nélkül a visszaszámlálás el sem kezdődik.
Amíg a felhasználó nincs hitelesítve, a kézikönyv legfeljebb 20 beküldést enged. Az augusztus 14-i útmutató még tízet írt; a szeptemberi üzemeltetési szám a húsz. A tízes plafont ne a mostani felületre olvasd.
A 24 órás kivétel nem a 72 óra
A 2024/2847 rendelet egységes szerkezetű szövegében a 64. cikk (2) bekezdése az I. melléklet lényegi követelményeire és a 13. meg a 14. cikk elmulasztására legfeljebb 15 millió eurót vagy a világszintű előző évi árbevétel 2,5 százalékát írja, a kettő közül a magasabbat. A (10) bekezdés a) pontja — a szövegben helyesbítési jelöléssel — kivételt ad. Mikro- és kisvállalkozásnak minősülő gyártóra a 14. cikk (2) bekezdés a) pontja és a 14. cikk (4) bekezdés a) pontja szerinti határidő elmulasztása miatt a (2)–(9) bekezdés szerinti bírságok nem alkalmazhatók. Ez a két pont a korai figyelmeztetés: 24 óra az aktívan kihasznált sebezhetőségre, 24 óra a súlyos incidensre.
A 72 órás értesítés a 14. cikk (2) bekezdés b) pontja és a (4) bekezdés b) pontja. A zárójelentés sebezhetőségnél 14 nap a javító vagy enyhítő intézkedés elérhetősége után, incidensnél egy hónap a 72 órás értesítéstől. Ezek a pontok nincsenek a kivételben. A méret a bírság összegének mérlegelésénél külön szempont, a 64. cikk (5) bekezdés c) pontja. Az mérlegelés, nem határidő alóli mentesítés.
A méret a 2003/361/EK ajánlás 2. cikkének plafonja, nem létszám-érzés. Kisvállalkozás: 50-nél kevesebb foglalkoztatott, és vagy az éves árbevétel, vagy a mérlegfőösszeg nem haladja meg a 10 millió eurót. Ha mindkét pénzügyi szám a plafon fölött van, a létszám önmagában nem elég. Mikro: 10-nél kevesebb foglalkoztatott, és 2 millió euró ugyanezen a logikán. Középvállalkozás: 250-nél kevesebb foglalkoztatott, és az éves árbevétel nem haladja meg az 50 millió eurót, vagy a mérlegfőösszeg a 43 millió eurót. A középvállalkozás a 64. cikk (10) bekezdés a) pontjában nem szerepel. Nála a 24 órás korai figyelmeztetés is a (2) bekezdés tételén belül marad.
Ha a cég partner- vagy kapcsolt vállalkozás, a létszám és a pénzügyi számok nem csak a saját könyvből állnak össze. Ezt az ajánlás 3. cikke írja. Leányvállalatnál a „nálunk csak harmincan vagyunk” mondat önmagában nem kisvállalkozás-igazolás.
| Amit a pénteki mondat állít | Amit az irat enged |
|---|---|
| A 24 órás bírság a kis céget nem éri | Csak mikro- és kisvállalkozás, csak a korai figyelmeztetés határideje |
| A 72 óra ugyanebbe a kosárba esik | A 72 óra és a zárójelentés a kivételen kívül van |
| Nyolcvan fős gyártó is „kicsi” | A középvállalkozás nincs a (10) bekezdés a) pontjában |
| A helyettes holnap meghívható | A meghívó hitelesített elsődleges társításhoz kötött |
| A helyettes látja a beadott jegyet | A tartalék a más által beadott bejelentést nem látja |
| Nem hitelesített fiókkal tíz bejelentés | A szeptemberi kézikönyv húsz beküldést enged hitelesítés előtt |
| Önkéntes bejelentés ugyanott | A 15. cikk az első kiadásban nincs a felületen |
Mi a csapda
A két jó szándék kiüti egymást. Az ENISA augusztus 3-i regisztrációs útmutatója azt kéri, a társítás hitelesítését akkor indítsák, amikor konkrét bejelentés van, ne előre töltsék a CSIRT sorát. A hitelesítés nem feltétele annak, hogy a bejelentés kimenjen. A szeptemberi kézikönyv ehhez hozzáteszi: a helyettes meghívása a hitelesített elsődleges előjoga. Aki az incidens órájában nyit fiókot, az első korai figyelmeztetést egy név adja be. A második név addig gomb nélkül áll, amíg a kijelölt CSIRT a társítást hitelesítettnek nem jelöli. A kézikönyv ennek az időnek a hosszát nem írja le. Ne pótolja becslés.
A közös postaláda ugyanitt törik. Az AR személy, a mezők az EU Loginból jönnek. Az info@ cím nem helyettes.
A harmadik törés a kivétel kiterjesztése a teljes 14. cikkre. A kisvállalkozás a korai figyelmeztetés határidejénél kap mentesítést. A 72 órás értesítés ettől még a 14. cikk kötelezettsége, a 64. cikk (2) bekezdésének tételével.
Az órák részletezése a júliusi iránymutatás utáni darabban van: 30 nap a CRA-jelentésig. Terméklista nélkül a bejelentés tartalma üres: EOL függőség.
Holnap reggel egy ellenőrzés
Nyissa meg a legutóbbi lezárt év létszámát, az éves árbevételt és a mérlegfőösszeget. Ha a cég partner- vagy kapcsolt vállalkozás, a számokat az ajánlás 3. cikke szerint együtt vegye. Kisvállalkozás felé akkor áll, ha 50-nél kevesebb a foglalkoztatott, és legalább az egyik pénzügyi szám — árbevétel vagy mérlegfőösszeg — nem haladja meg a 10 millió eurót. Ebben a sávban a 24 órás korai figyelmeztetés bírságkivétele szóba jöhet. A 72 óra nem. Ha mindkét pénzügyi szám a 10 millió euró fölött van, vagy a létszám eléri az 50-et, a 24 óra is teljes óra. A méret ilyenkor csak az összeg mérlegelésénél számít.
Utána egy név, nem szerepkör. Ki az elsődleges AR, és a gyártó–képviselő társítás a portálon már hitelesített-e. Ha nem, a helyettes meghívója a kézikönyv szerint még nem él.
A döntési szabály: „A 24 órás bírságkivétel csak mikro- és kisvállalkozásnál, csak a korai figyelmeztetésre él. Helyettest csak hitelesített elsődleges hívhat meg, és az a helyettes a más bejelentését nem látja. Hitelesítés előtt a plafon húsz beküldés, nem tíz.”