1. Výrobce každou aktivně zneužívanou zranitelnost obsaženou v produktu s digitálními prvky, o níž se dozví, oznámí současně týmu CSIRT určenému jako koordinátor a agentuře ENISA v souladu s odstavcem 7 tohoto článku. Výrobce tuto aktivně zneužívanou zranitelnost oznámí prostřednictvím jednotné platformy pro podávání zpráv zřízené podle článku 16.
2. Pro účely oznamování ve smyslu odstavce 1 výrobce předloží:
a) včasné varování o aktivně zneužívané zranitelnosti, a to bez zbytečného odkladu a v každém případě do 24 hodin od okamžiku, kdy se o ní dozví, případně s uvedením členských států, na jejichž území je podle vědomostí výrobce jeho produkt s digitálními prvky zpřístupněn,
b) pokud již nebyly poskytnuty příslušné informace, oznámení o zranitelnosti, a to bez zbytečného odkladu a v každém případě do 72 hodin od okamžiku, kdy se o aktivně zneužívané zranitelnosti dozví, které obsahuje dostupné obecné informace o dotčeném produktu s digitálními prvky, o obecné povaze zneužívání a dotčené zranitelnosti, o veškerých přijatých nápravných nebo zmírňujících opatřeních a o nápravných nebo zmírňujících opatřeních, která mohou přijmout uživatelé, a v němž je případně rovněž uvedeno, nakolik výrobce považuje oznámené informace za citlivé,
c) pokud ještě nebyly příslušné informace poskytnuty, závěrečnou zprávu nejpozději do 14 dnů od okamžiku, kdy začalo být k dispozici nápravné nebo zmírňující opatření, která obsahuje alespoň tyto informace:
i) popis zranitelnosti, včetně její závažnosti a dopadu,
ii) případné informace o každém škodlivém aktéru, který zranitelnost zneužil nebo zneužívá,
iii) podrobné informace o bezpečnostních aktualizacích nebo jiných nápravných opatřeních, které jsou k dispozici k odstranění zranitelnosti.
3. Výrobce každý závažný incident, který má dopad na bezpečnost produktu s digitálními prvky, o němž se dozví, oznámí v souladu s odstavcem 7 tohoto článku současně týmu CSIRT určenému jako koordinátor a agentuře ENISA. Výrobce tento incident oznámí prostřednictvím jednotné platformy pro podávání zpráv zřízené podle článku 16.
4. Pro účely oznamování ve smyslu odstavce 3 předloží výrobce:
a) včasné varování o závažném incidentu, který má dopad na bezpečnost produktu s digitálními prvky, a to bez zbytečného odkladu a v každém případě do 24 hodin od okamžiku, kdy se o něm dozví, včetně alespoň informace, zda existuje podezření, že byl incident způsoben nezákonným nebo škodlivým jednáním, případně také s uvedením členských států, na jejichž území je podle vědomostí výrobce jeho produkt s digitálními prvky zpřístupněn,
b) pokud již nebyly poskytnuty příslušné informace, oznámení o incidentu, a to bez zbytečného odkladu a v každém případě do 72 hodin od okamžiku, kdy se o incidentu dozví, které obsahuje dostupné obecné informace o povaze incidentu, o počátečním posouzení incidentu, o veškerých přijatých nápravných nebo zmírňujících opatřeních a o nápravných nebo zmírňujících opatřeních, která mohou přijmout uživatelé, a v němž je případně uvedeno, nakolik výrobce považuje oznámené informace za citlivé,
c) pokud již nebyly poskytnuty příslušné informace, závěrečnou zprávu nejpozději do jednoho měsíce od okamžiku, kdy bylo vydáno oznámení o incidentu podle písmene b), která obsahuje alespoň tyto informace:
i) podrobný popis incidentu včetně jeho závažnosti a dopadu,
ii) druh hrozby nebo základní příčinu, která incident pravděpodobně spustila,
iii) učiněná a probíhající zmírňující opatření.
5. Pro účely odstavce 3 se incident, který má dopad na bezpečnost produktu s digitálními prvky, považuje za závažný, pokud:
a) negativně ovlivňuje nebo může negativně ovlivnit schopnost produktu s digitálními prvky chránit dostupnost, autenticitu, integritu nebo důvěrnost citlivých či důležitých dat nebo funkcí; nebo
b) vedl či může vést k zavedení nebo spuštění škodlivého kódu v produktu s digitálními prvky nebo v síti a informačních systémech uživatele tohoto produktu.
6. V případě potřeby může tým CSIRT určený jako koordinátor, který obdržel oznámení jako první, výrobce požádat, aby mu poskytli průběžnou zprávu o relevantním vývoji týkajícím se aktivně zneužívané zranitelnosti nebo závažného incidentu, které mají dopad na bezpečnost produktu s digitálními prvky.
7. Oznámení uvedená v odstavcích 1 a 3 tohoto článku se podávají prostřednictvím jednotné platformy pro podávání zpráv uvedené v článku 16 za použití jednoho z koncových bodů elektronického oznamování uvedených v čl. 16 odst. 1. Oznámení se podává prostřednictvím koncového bodu elektronického oznamování týmu CSIRT určeného jako koordinátor toho členského státu, v němž mají výrobci hlavní provozovnu v Unii, a je současně přístupné agentuře ENISA.
Pro účely tohoto nařízení se má za to, že hlavní provozovnu má výrobce v Unii v tom členském státě, v němž jsou nejčastěji přijímána rozhodnutí týkající se kybernetické bezpečnosti jeho produktů s digitálními prvky. Nelze-li takový členský stát určit, má se za to, že dotčený výrobce má hlavní provozovnu v tom členském státě, v němž má provozovnu s nejvyšším počtem zaměstnanců v Unii.
Pokud výrobce v Unii nemá hlavní provozovnu, podává oznámení uvedená v odstavcích 1 a 3 prostřednictvím koncového bodu elektronického oznamování týmu CSIRT určenému jako koordinátor v členském státě, který je stanoven na základě informací, jež má výrobce k dispozici, a v tomto pořadí:
a) v členském státě, v němž je usazen zplnomocněný zástupce jednající jménem výrobce pro nejvyšší počet produktů s digitálními prvky tohoto výrobce,
b) v členském státě, v němž je usazen dovozce uvádějící na trh nejvyšší počet produktů s digitálními prvky tohoto výrobce,
c) v členském státě, v němž je usazen distributor, který dodává na trh nejvyšší počet produktů s digitálními prvky tohoto výrobce,
d) v členském státě, v němž se nachází nejvyšší počet uživatelů produktů s digitálními prvky tohoto výrobce.
V souvislosti s třetím pododstavcem písm. d) může výrobce podávat oznámení týkající se jakékoli následné aktivně zneužívané zranitelnosti nebo závažného incidentu, které mají dopad na bezpečnost produktu s digitálními prvky, témuž týmu CSIRT určenému jako koordinátor, jemuž podal prvotní oznámení.
8. Poté, co se dozví o aktivně zneužívané zranitelnosti nebo závažném incidentu, které mají dopad na bezpečnost produktu s digitálními prvky, výrobce informuje zasažené uživatele produktu s digitálními prvky, a případně všechny uživatele, o této zranitelnosti nebo incidentu; v případě potřeby informuje také o veškerých opatřeních na zmírnění rizik a nápravných opatřeních, která mohou uživatelé zavést ke zmírnění dopadu této zranitelnosti nebo incidentu, a to pokud možno ve strukturovaném, strojově čitelném a snadno automaticky zpracovatelném formátu. Pokud výrobce uživatele produktu s digitálními prvky neinformuje včas, mohou týmy CSIRT určené jako koordinátoři, které obdržely oznámení, tyto informace uživatelům poskytnout, je-li to považováno za přiměřené a nezbytné k předejití nebo zmírnění dopadu této zranitelnosti či incidentu.
9. Do 11. prosince 2025 přijme Komise akty v přenesené pravomoci v souladu s článkem 61 tohoto nařízení za účelem doplnění tohoto nařízení stanovením podmínek pro uplatňování důvodů souvisejících s kybernetickou bezpečností, pokud jde o odklad rozesílání oznámení podle čl. 16 odst. 2 tohoto nařízení. Komise při vypracovávání návrhu aktů v přenesené pravomoci spolupracuje se sítí CSIRT zřízenou podle článku 15 směrnice (EU) 2022/2555 a s agenturou ENISA.
10. Komise může prostřednictvím prováděcích aktů dále upřesnit formát a postupy oznamování uvedené v tomto článku a článcích 15 a 16. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 62 odst. 2. Komise při vypracovávání návrhů těchto prováděcích aktů spolupracuje se sítí CSIRT a s agenturou ENISA.