EU Login i platforma ENISA: przygotuj je przed sytuacją awaryjną

Czym jest EU Login i dlaczego idzie pierwszy

EU Login to system uwierzytelniania Komisji Europejskiej, to samo konto, którym otwiera się dziesiątki usług instytucjonalnych UE. To nie szczegół Cyber Resilience Act: to brama. Na mocy art. 16 strumień zgłoszeń przechodzi przez krajowe punkty dostępu Single Reporting Platform ENISA, a żeby do nich dotrzeć, potrzebna jest działająca tożsamość EU Login. Bez poświadczeń nie ma platformy.

Problem w tym, że to konto nie pojawia się w chwili, gdy go potrzebujesz. Trzeba je założyć zawczasu, powiązać z prawdziwym adresem firmowym i potwierdzić. To dokładnie ten rodzaj kroku, który wygląda trywialnie do dnia, w którym leży na ścieżce krytycznej terminu 24 godzin.

Rejestracja i potwierdzenie zabierają realny czas kalendarzowy

Założenie konta EU Login w praktyce nie jest natychmiastowe. Wybiera się adres, czeka na e-mail potwierdzający, ustawia hasło, dodaje drugi składnik, a — jako firma — często trzeba pogodzić konto z monitorowaną, nie osobistą skrzynką. Każdy z tych kroków może utknąć na czymś poza Twoją kontrolą: e-mail w spamie, kolega na urlopie, numer telefonu, który się zmienia.

Nic z tego nie jest trudne. Wszystko zabiera dni, nie minuty, gdy doliczyć ludzką zwłokę między krokami. Zrób to teraz, póki nic się nie pali, i sprawdź, że naprawdę możesz się zalogować — konto założone, lecz nigdy nieprzetestowane, to niespełniony warunek.

Single Reporting Platform: składasz Ty, własnymi poświadczeniami

Single Reporting Platform ENISA to jedyny punkt wejścia, przez który składa się zgłoszenia z art. 14. Złożenie jest czynnością producenta, dokonaną własnymi poświadczeniami EU Login. Żaden dostawca, konsultant ani usługodawca nie składa w Twoim imieniu: tożsamość wysyłająca wczesne ostrzeżenie jest Twoja, i to Twoje nazwisko wiąże się z terminami.

Adresatów jest dwóch: wyznaczony CSIRT — dla Włoch CSIRT Italia w ACN — i ENISA. Dlatego konta nie można oddelegować mimochodem: kto trzyma poświadczenia, ten w sobotę o 23:40 jest w stanie złożyć. Zdecyduj z góry, kim jest ta osoba, i zadbaj, by także zastępca miał działający dostęp.

Wynikają z tego dwie rzeczy. Ustal z góry, kto będzie Waszym wyznaczonym przedstawicielem (Assigned Representative) na platformie, i dokończ rejestrację oraz powiązanie z Single Reporting Platform według aktualnych wytycznych ENISA — procedura może się zmieniać, nie zakładaj, że jest stała. Narzędzie może przygotować złożenie: CRAnotify składa treść, rejestr i dokumentację, a to przygotowanie może biec równolegle z walidacją administracyjną — ale nie automatyzuje ostatecznego wysłania na SRP. Nie ma automatycznego API SRP; złożenie pozostaje czynnością producenta, z własnymi poświadczeniami.

Lista kontrolna przed startem

Pięć rzeczy do załatwienia przed pierwszym prawdziwym zgłoszeniem, każda niezależna od pozostałych i każda wymagająca czasu, którego nie skompresujesz:

• Załóż konto EU Login na monitorowanej skrzynce firmowej, z drugim składnikiem i wyznaczonym zastępcą.
• Zweryfikuj dostęp do Single Reporting Platform — zaloguj się naprawdę, nie zakładaj, że działa.
• Wyznacz i zwaliduj punkt kontaktowy firmy przy CSIRT Italia (ACN).
• Utrzymuj aktualny rejestr produktów, okresy wsparcia i SBOM, by w minuty umieć wskazać, które produkty są dotknięte.
• Opublikuj kanał skoordynowanego ujawniania (plik security.txt), by zgłoszenia trafiały na jeden monitorowany adres.

Tryb porażki: rejestracja, gdy zegar biegnie

Scenariusz łatwo sobie wyobrazić. Wpływa wiarygodny dowód, że podatność w jednym z Waszych produktów jest aktywnie wykorzystywana. Zegar 24 godzin z art. 14 rusza w tej chwili — nie wtedy, gdy skończysz konfigurację. A Ty wciąż zakładasz konto EU Login, czekasz na e-mail potwierdzający, odkrywasz, że drugi składnik jest przypięty do telefonu, którego nikt nie ma, albo że jedyna osoba mogąca wyznaczyć punkt kontaktowy jest nieosiągalna.

Nie przegapisz terminu z braku umiejętności technicznych. Przegapisz go, bo administracyjne konto, którego porządne założenie zabiera dni, zostawiono na najgorszy możliwy moment. Wszystko na liście jest nudne, tanie i powolne — właśnie dlatego trzeba to zrobić przed, a nie w trakcie.

Pełną instrukcję krok po kroku o punkcie kontaktowym i CSIRT Italia znajdziesz w osobnym poradniku; sposób liczenia terminów 24 godzin, 72 godzin i sprawozdania końcowego — w filarze o art. 14.