欧州委員会のCRA報告ページによれば、製造者はCRA Single Reporting Platform（SRP）で一度の報告を行います。対象は積極的に悪用されている脆弱性と重大インシデントで、24時間以内の早期警告、72時間以内の通知、最終報告の順に提出します。アイルランドNCSCは、法定義務を満たす通知はENISAのSRP経由のものだけで、メールはENISAがSRPの停止を公式に宣言した場合にのみ受け付けられると記載しています。
報告の手順と提出経路
SRP経由のみが法定義務を満たす点に注意が必要。