Nelle FAQ aggiornate il 3 ottobre 2026, ENISA precisa le modalità d’uso della Single Reporting Platform, operativa dall’11 settembre. I fabbricanti di prodotti con elementi digitali devono utilizzarla per segnalare vulnerabilità attivamente sfruttate e incidenti gravi che incidono sulla sicurezza del prodotto: un primo avviso va inviato entro 24 ore dalla conoscenza dell’evento e una notifica più completa entro 72 ore, in entrambi i casi senza ritardo ingiustificato. Una sola notifica è sufficiente anche se il fabbricante ha più società o sedi nell’UE, ma occorre selezionare il CSIRT coordinatore competente.

ENISA avverte che, nella versione attuale, il contatore delle 72 ore della piattaforma può indicare una scadenza inesatta, perché calcola 48 ore dall’invio del primo avviso. L’impresa deve quindi tenere traccia autonoma del momento in cui ha acquisito conoscenza dell’evento. Le notifiche volontarie non sono ancora disponibili sulla piattaforma; gli obblighi corrispondenti per gli open-source software stewards si applicheranno dall’11 dicembre 2027.