CRA 24-घंटे इंसिडेंट क्लॉक
जिस पल आपको पता चला, उससे साइबर रेज़िलिएंस एक्ट (CRA) की रिपोर्टिंग समय-सीमाएँ निकालें: 24 घंटे की शुरुआती चेतावनी, 72 घंटे की सूचना और अंतिम रिपोर्ट। रिपोर्टिंग का दायित्व 11 सितंबर 2026 से लागू है; छोटे विक्रेताओं की गाइड इसे समझाती है।
पूरी तरह आपके ब्राउज़र में चलता है
समय-सीमाएँ देखने के लिए वह समय डालें जब आपको पता चला।
यह एक सहायक है, कानूनी सलाह नहीं: विनियमन (EU) 2024/2847, Article 14, और ENISA का मार्गदर्शन ही मान्य हैं। घंटे बीते हुए समय के रूप में गिने जाते हैं और महीने UTC में कैलेंडर महीनों के रूप में; औपचारिक गणना-नियमों में थोड़ा ज़्यादा समय मिल सकता है, इसलिए यहाँ दिखाए समय के हिसाब से योजना बनाएं और हो सके तो पहले रिपोर्ट करें। कुछ भी कहीं भेजा नहीं जाता।
CRA इंसिडेंट क्लॉक कैसे इस्तेमाल करें
- चुनें कि क्या हुआ: आपके प्रोडक्ट में सक्रिय रूप से शोषित भेद्यता, या ऐसी गंभीर घटना जो उसकी सुरक्षा पर असर डालती है।
- वह पल लिखें जब आपको पता चला, या मौजूदा समय के लिए बटन दबाएं। देख लें कि आपका लिखा समय आपके अपने टाइम ज़ोन में है या UTC में।
- अपने टाइम ज़ोन और UTC में समय-सीमाएँ पढ़ें। जब फ़िक्स उपलब्ध हो जाए (भेद्यता) या आप 72 घंटे की सूचना दाख़िल कर दें (घटना), तो वह समय डालें ताकि अंतिम रिपोर्ट की तारीख़ तय हो जाए।
- चेकलिस्ट प्रिंट करें या पेज सेव करें, और हर रिपोर्ट उसकी समय-सीमा से पहले ENISA के Single Reporting Platform से दाख़िल करें।
तीन रिपोर्टें
11 सितंबर 2026 से साइबर रेज़िलिएंस एक्ट (CRA, विनियमन (EU) 2024/2847, Article 14) के तहत डिजिटल तत्वों वाले प्रोडक्ट के निर्माताओं को अपने प्रोडक्ट की सक्रिय रूप से शोषित भेद्यताओं और उसकी सुरक्षा पर असर डालने वाली गंभीर घटनाओं की रिपोर्ट करनी होती है। हर घटना पर तीन रिपोर्टें बनती हैं, सभी ENISA के एक ही प्लेटफ़ॉर्म से दाख़िल होती हैं: जानने के 24 घंटे के भीतर एक छोटी शुरुआती चेतावनी, 72 घंटे के भीतर एक ज़्यादा ब्योरे वाली सूचना, और अंतिम रिपोर्ट। शोषित भेद्यता में अंतिम रिपोर्ट सुधारात्मक या शमन उपाय उपलब्ध होने के 14 दिन बाद देय है, और गंभीर घटना में सूचना के एक महीने बाद।
पहली दो घड़ियाँ जानने के पल से बीते हुए समय पर चलती हैं, इसलिए वे रात या सप्ताहांत में रुकती नहीं। तीसरी ऐसी बात पर निर्भर है जो आपके हाथ में है या जो आपको बाद में पता चलती है, इसीलिए पेज फ़िक्स उपलब्ध होने का समय या सूचना दाख़िल करने का समय पूछता है। जब तक आप उसे नहीं डालते, भेद्यता के लिए अंतिम रिपोर्ट खुली दिखाई जाती है, और घटना के लिए सबसे देर की संभावित तारीख़।
घड़ी शुरू होने से पहले तैयारी
24 घंटों का ज़्यादातर समय तैयारी में ही निकल जाता है: कौन तय करेगा कि शोषण असली है, रिपोर्टिंग प्लेटफ़ॉर्म पर किसका खाता है, और कौन-से प्रोडक्ट वर्ज़न और EU देश प्रभावित हैं। इन्हें पहले से तय कर लें। हर प्रोडक्ट की कंपोनेंट सूची, एक निगरानी वाला संपर्क (security.txt जेनरेटर देखें) और लिखित प्रकटीकरण नीति पहली रिपोर्ट को काफ़ी आसान बना देती हैं।
सुझाव
- चेकलिस्ट ऑन-कॉल व्यक्ति के लिए प्रिंट करें, या पेज को PDF में सेव करें, ताकि रात के 3 बजे किसी को विनियमन न पढ़ना पड़े।
- दूसरे देशों के सहकर्मियों से UTC समय साझा करें; यहाँ दिखाए स्थानीय समय उस कंप्यूटर के हैं जिसे आप इस्तेमाल कर रहे हैं।
- दूसरे टाइम ज़ोन की तुलना करनी है? टाइम ज़ोन कन्वर्टर आज़माएं।
अक्सर पूछे जाने वाले सवाल
24 घंटे की घड़ी कब शुरू होती है?
जब आपको पता चलता है। हमारी गाइड में सारांशित की गई टीका इसे वह बिंदु बताती है जब शुरुआती आकलन से आपको पर्याप्त यक़ीन हो जाए कि शोषण हो रहा है। यह आपकी जाँच ख़त्म होने का समय नहीं है, और न वह जब किसी ग्राहक ने पहली बार लिखा। संदेह हो तो पहले वाला क्षण लें।
समय-सीमाएँ क्या हैं?
सक्रिय रूप से शोषित भेद्यता के लिए: 24 घंटे के भीतर शुरुआती चेतावनी, 72 घंटे के भीतर सूचना, और सुधारात्मक या शमन उपाय उपलब्ध होने के 14 दिन बाद तक अंतिम रिपोर्ट। गंभीर घटना के लिए: पहली दो वही, फिर 72 घंटे की सूचना के एक महीने बाद तक अंतिम रिपोर्ट।
रिपोर्ट कहाँ दाख़िल करूँ?
ENISA के Single Reporting Platform से। एक ही सबमिशन ENISA और समन्वयक के रूप में नामित CSIRT तक पहुँचता है, आमतौर पर वह जो आपकी मुख्य EU स्थापना वाले देश में हो। EU के बाहर के निर्माता अपने EU अधिकृत प्रतिनिधि के ज़रिए रिपोर्ट करते हैं। ज़रूरत पड़ने से पहले ही रजिस्टर कर लें।
क्या सप्ताहांत या छुट्टी से समय-सीमा बढ़ जाती है?
इस पर भरोसा न करें। समय-सीमाएँ जानने के पल से घंटों में चलती हैं, इसलिए ऐसे योजना बनाएं जैसे हर घंटा मायने रखता है, और तय रखें कि दाख़िल करने की ऑन-कॉल ज़िम्मेदारी किसकी है। इसी वजह से यह पेज समय को सटीक पलों के रूप में दिखाता है।
क्या कुछ सेव या भेजा जाता है?
नहीं। पेज समय की गणना आपके ब्राउज़र में करता है। अगर आप समय याद रखने का बॉक्स चुनते हैं, तो वे सिर्फ़ इस डिवाइस पर इस ब्राउज़र के लोकल स्टोरेज में रखे जाते हैं, और उसके पास वाला बटन उन्हें मिटा देता है।
क्या यह बताता है कि मुझे रिपोर्ट करनी ही होगी?
नहीं। यह सिर्फ़ तारीख़ों का हिसाब करता है। कोई घटना सक्रिय रूप से शोषित भेद्यता या गंभीर घटना है या नहीं, और आपका प्रोडक्ट कवर होता है या नहीं, यह विनियमन और ENISA के मार्गदर्शन के आधार पर आपको और आपके सलाहकारों को तय करना है।