Đồng hồ sự cố 24 giờ của CRA

Ba báo cáo

Từ ngày 11 tháng 9 năm 2026, Đạo luật Khả năng chống chịu không gian mạng (Cyber Resilience Act, CRA; Quy định (EU) 2024/2847, Điều 14) yêu cầu nhà sản xuất các sản phẩm có yếu tố kỹ thuật số phải báo cáo những lỗ hổng đang bị khai thác tích cực trong sản phẩm của mình và những sự cố nghiêm trọng ảnh hưởng đến an ninh của chúng. Mỗi sự việc dẫn đến ba báo cáo, đều nộp qua cùng một nền tảng của ENISA: một cảnh báo sớm ngắn gọn trong 24 giờ kể từ lúc biết sự việc, một thông báo đầy đủ hơn trong 72 giờ, và một báo cáo cuối. Báo cáo cuối đến hạn sau 14 ngày kể từ khi có biện pháp khắc phục hoặc giảm thiểu đối với lỗ hổng bị khai thác, và sau một tháng kể từ thông báo đối với sự cố nghiêm trọng.

Hai đồng hồ đầu chạy theo thời gian trôi qua kể từ lúc biết sự việc, nên chúng không dừng vào ban đêm hay cuối tuần. Đồng hồ thứ ba phụ thuộc vào một việc bạn tự quyết định hoặc biết sau, vì vậy trang hỏi thời điểm có bản vá hoặc thời điểm bạn nộp thông báo. Khi bạn chưa nhập, báo cáo cuối được hiển thị là còn mở với lỗ hổng, và là ngày muộn nhất có thể với sự cố.

Chuẩn bị trước khi đồng hồ bắt đầu chạy

Phần lớn trong 24 giờ bị mất vào khâu chuẩn bị: ai quyết định việc khai thác là có thật, ai có tài khoản trên nền tảng báo cáo, và những phiên bản sản phẩm cùng quốc gia EU nào bị ảnh hưởng. Hãy thống nhất những điều này từ trước. Danh sách thành phần của từng sản phẩm, một đầu mối liên hệ được theo dõi (xem công cụ tạo security.txt) và một chính sách công bố lỗ hổng bằng văn bản sẽ giúp báo cáo đầu tiên dễ hơn nhiều.

Mẹo

• In danh mục kiểm tra cho người trực, hoặc lưu trang thành PDF, để không ai phải đọc quy định lúc 3 giờ sáng.
• Chia sẻ giờ UTC với đồng nghiệp ở các nước khác; giờ địa phương hiển thị là theo máy tính bạn đang dùng.
• Cần so sánh các múi giờ khác? Hãy thử công cụ chuyển đổi múi giờ.