Jam insiden 24 jam CRA
Hitung tenggat pelaporan Cyber Resilience Act (CRA) sejak saat Anda mengetahui kejadian: peringatan dini 24 jam, pemberitahuan 72 jam, dan laporan akhir. Kewajiban pelaporan berlaku sejak 11 September 2026; panduan untuk vendor kecil menjelaskannya.
Berjalan sepenuhnya di browser Anda
Masukkan waktu Anda mengetahui kejadian untuk melihat tenggatnya.
Alat bantu, bukan nasihat hukum: Peraturan (UE) 2024/2847, Pasal 14, dan panduan ENISA yang berlaku. Jam dihitung sebagai waktu yang berlalu dan bulan sebagai bulan kalender dalam UTC; aturan penghitungan formal mungkin memberi waktu sedikit lebih lama, jadi rencanakan sesuai waktu yang ditampilkan dan lapor lebih awal bila bisa. Tidak ada yang dikirim ke mana pun.
Cara memakai jam insiden CRA
- Pilih apa yang terjadi: kerentanan pada produk Anda yang aktif dieksploitasi, atau insiden parah yang memengaruhi keamanannya.
- Masukkan saat Anda mengetahui kejadian, atau tekan tombol untuk memakai waktu saat ini. Periksa apakah waktu yang Anda ketik berada di zona waktu Anda sendiri atau di UTC.
- Baca tenggat dalam zona waktu Anda dan dalam UTC. Saat perbaikan tersedia (kerentanan) atau Anda sudah mengajukan pemberitahuan 72 jam (insiden), masukkan waktunya untuk menetapkan tanggal laporan akhir.
- Cetak daftar periksa atau simpan halamannya, dan ajukan setiap laporan lewat Single Reporting Platform milik ENISA sebelum tenggatnya.
Tiga laporan
Sejak 11 September 2026, Cyber Resilience Act (CRA, Peraturan (UE) 2024/2847, Pasal 14) mewajibkan produsen produk dengan elemen digital melaporkan kerentanan pada produk mereka yang aktif dieksploitasi dan insiden parah yang memengaruhi keamanannya. Setiap kejadian menghasilkan tiga laporan, semuanya diajukan lewat platform ENISA yang sama: peringatan dini singkat dalam 24 jam sejak Anda mengetahui kejadian, pemberitahuan yang lebih lengkap dalam 72 jam, dan laporan akhir. Laporan akhir jatuh tempo 14 hari setelah tindakan perbaikan atau mitigasi tersedia untuk kerentanan yang dieksploitasi, dan satu bulan setelah pemberitahuan untuk insiden parah.
Dua jam pertama berjalan menurut waktu yang berlalu sejak Anda mengetahui kejadian, sehingga tidak berhenti pada malam hari atau akhir pekan. Jam ketiga bergantung pada hal yang Anda kendalikan atau ketahui kemudian, itulah sebabnya halaman ini menanyakan waktu perbaikan tersedia atau waktu Anda mengajukan pemberitahuan. Sebelum Anda mengisinya, laporan akhir ditampilkan sebagai belum ditentukan untuk kerentanan, dan sebagai tanggal paling akhir yang mungkin untuk insiden.
Bersiap sebelum jam mulai berjalan
Sebagian besar dari 24 jam itu habis untuk urusan persiapan: siapa yang memutuskan bahwa eksploitasi nyata, siapa yang punya akun di platform pelaporan, dan versi produk serta negara UE mana yang terdampak. Selesaikan hal-hal ini sebelumnya. Daftar komponen untuk setiap produk, kontak yang dipantau (lihat pembuat security.txt), dan kebijakan pengungkapan tertulis membuat laporan pertama jauh lebih mudah.
Tips
- Cetak daftar periksa untuk petugas siaga, atau simpan halamannya sebagai PDF, agar tidak ada yang perlu membaca peraturan pada pukul 3 pagi.
- Bagikan waktu UTC kepada rekan di negara lain; waktu lokal yang ditampilkan mengikuti komputer yang Anda pakai.
- Perlu membandingkan zona waktu lain? Coba konverter zona waktu.
Pertanyaan umum
Kapan jam 24 jam mulai berjalan?
Saat Anda mengetahui kejadian, yang dalam ulasan yang diringkas di panduan kami digambarkan sebagai titik ketika penilaian awal memberi Anda kepastian yang memadai bahwa eksploitasi sedang terjadi. Itu bukan akhir penyelidikan Anda, dan bukan saat pelanggan pertama kali menulis. Jika ragu, pakai saat yang lebih awal.
Apa saja tenggatnya?
Untuk kerentanan yang aktif dieksploitasi: peringatan dini dalam 24 jam, pemberitahuan dalam 72 jam, dan laporan akhir dalam 14 hari setelah tindakan perbaikan atau mitigasi tersedia. Untuk insiden parah: dua tenggat pertama sama, lalu laporan akhir dalam satu bulan setelah pemberitahuan 72 jam.
Ke mana laporan diajukan?
Lewat Single Reporting Platform milik ENISA. Satu pengajuan sampai ke ENISA dan ke CSIRT yang ditunjuk sebagai koordinator, biasanya yang berada di negara tempat kedudukan utama Anda di UE. Produsen di luar UE melapor lewat perwakilan resmi mereka di UE. Daftar sebelum Anda membutuhkannya.
Apakah akhir pekan atau hari libur memperpanjang tenggat?
Jangan mengandalkannya. Tenggat berjalan dalam hitungan jam sejak Anda mengetahui kejadian, jadi rencanakan seakan setiap jam berarti, dan tetapkan aturan siaga tentang siapa yang mengajukan laporan. Karena itulah halaman ini menampilkan waktu sebagai titik waktu yang tepat.
Apakah ada yang disimpan atau dikirim?
Tidak. Halaman ini menghitung waktu di browser Anda. Jika Anda mencentang kotak untuk mengingat waktu, data itu disimpan di penyimpanan lokal browser ini, hanya di perangkat ini, dan tombol di sebelahnya menghapusnya.
Apakah alat ini memberi tahu saya wajib melapor atau tidak?
Tidak. Alat ini hanya menghitung tanggal. Apakah suatu kejadian termasuk kerentanan yang aktif dieksploitasi atau insiden parah, dan apakah produk Anda tercakup, Anda dan penasihat Anda yang memutuskan berdasarkan peraturan dan panduan ENISA.