제14조 — 취약점 보고 및 통지 의무

제14조가 요구하는 것

규정 (EU) 2024/2847의 제14조는 제조업체가 제품의 취약점이 공격자에 의해 야생에서 적극적으로 악용되고 있거나 심각한 사고가 발생했음을 발견할 때마다 ENISA에 필수 3단계 보고 체인을 만듭니다.

이는 영향을 받는 사용자에게 통지하는 것(제14(4)조)과 별개이며, 이는 동시에 이루어져야 합니다. ENISA에 보고하는 것이 사용자 통지를 대체하지 않습니다.

보고는 ENISA 단일 보고 플랫폼을 통해 제출되며, 관련 국가 CSIRT에 정보를 전달합니다. 이 플랫폼은 2026년 9월 11일까지 운영되어야 합니다.

3단계 보고 체인

타이머는 제조업체가 적극적 악용을 인지한 시점부터 시작됩니다 — 취약점이 확인되거나 완전히 분석된 시점이 아닙니다.

영향을 받는 사용자에게 통지 (제14(4)조)

ENISA 보고 체인과 병행하여 제조업체는 영향을 받는 사용자에게 부당한 지연 없이 통지해야 합니다. 완전한 수정을 기다리지 마세요 — 사용자는 다음을 알아야 합니다:

• ▸어떤 제품과 버전이 영향을 받는지
• ▸취약점의 성격과 적극적 악용이 관찰되었다는 것
• ▸패치가 제공되기 전에 즉시 취할 수 있는 완화 조치
• ▸패치가 제공되는지 여부와 획득 방법 — 또는 예상 릴리스 일정

누가 준수해야 하는가

제14조 의무 카드

4가지 원자적 의무 — 각각 규정 조항까지 추적 가능하며, 증거 지침 및 쉬운 설명이 포함되어 있습니다.

비준수에 대한 제재 (제64조)

CRA 개요 페이지에서 모든 제재 단계 확인하기 →

Art. 14 — Vulnerability & Incident Reporting

Meet the three-step ENISA reporting chain for actively exploited vulnerabilities in your products.