Source: OJ L, 2026/881, 20.4.2026

Artikel 1 Innehåll

Summary What does Article 1 of the Terms and conditions for delaying notifications say?

This is the foundational scope article of the Regulation.

It establishes the core purpose: to define the specific terms and conditions under which a CSIRT designated as coordinator — the one that first receives a vulnerability or incident notification — may lawfully delay passing that notification on to other relevant CSIRTs.

This Regulation does not stand alone; it directly implements and gives substance to Article 16(2) of Regulation (EU) 2024/2847, which established the general grounds for such delays but left the detail to be filled in here.

Important points:

The Regulation governs the CSIRT initially receiving a notification, setting out when it may delay sharing that notification with other coordinator CSIRTs.
The delay mechanism applies specifically to notifications made under Articles 14 and 15 of Regulation (EU) 2024/2847, concerning products with digital elements.
This article establishes the subject matter and scope only — the actual conditions justifying a delay are set out in the articles that follow.

Springlex's summary of the article, a reading aid, not a substitute for the legal text.

I denna förordning anges villkoren för att tillämpa de cybersäkerhetsrelaterade skäl som avses i artikel 16.2 i förordning (EU) 2024/2847 vilka gör det möjligt för den CSIRT-enhet som utsetts till samordnare som först tog emot anmälan i enlighet med artiklarna 14.1, 14.3, 15.1 och 15.2 i den förordningen att skjuta upp spridningen av anmälan till de CSIRT-enheter som utsetts till samordnare på det territorium där tillverkaren har angett att produkten med digitala element har tillhandahållits.

Relevant recitals

Skäl 1 Terms and conditions for applying cybersecurity-related grounds

Den enhet för hantering av it-säkerhetsincidenter (CSIRT-enhet) som utsetts till samordnare och som först tog emot anmälan om en aktivt utnyttjad sårbarhet eller en allvarlig incident som påverkar säkerheten för en produkt med digitala element (den CSIRT-enhet som först tog emot anmälan) får under exceptionella omständigheter, särskilt på begäran av tillverkaren och mot bakgrund av den anmälda informationens känslighet, och på grundval av motiverade cybersäkerhetsrelaterade skäl, besluta att under en tidsperiod som är absolut nödvändig skjuta upp spridningen av anmälan via den gemensamma rapporteringsplattformen till de CSIRT-enheter som utsetts till samordnare på det territorium där den tillverkare som lämnade in anmälan har angett att produkten med digitala element har tillhandahållits (de berörda CSIRT-enheterna). Det är därför nödvändigt att fastställa villkoren för att tillämpa sådana skäl. När sådana skäl är tillämpliga får den CSIRT-enhet som först tog emot anmälan skjuta upp spridningen till berörda CSIRT-enheter under en tidsperiod som är absolut nödvändig, men måste inte göra det. Enligt artikel 16.2 i förordning (EU) 2024/2847 ska en CSIRT-enhet som först tog emot anmälan, om den beslutar att åberopa sådana skäl, omedelbart informera Europeiska unionens cybersäkerhetsbyrå (Enisa) om beslutet om uppskjutande och ange varför den skjuter upp spridningen samt när den kommer att sprida anmälan ytterligare.

Skäl 4 Information enabling creation of an exploitation technique

Informationen i anmälan kommer att hjälpa CSIRT-enheterna att fullgöra sina uppgifter i samband med riskreducering och incidenthantering. I sällsynta fall kan dock sådan information vara tillräcklig för att göra det möjligt att ta fram en metod för utnyttjande utan ytterligare forskning, till och med för aktörer med begränsade färdigheter och resurser. Om fientliga aktörer fick tillgång till informationen skulle unionens cybersäkerhet påverkas kraftigt, med tanke på hur lätt det är att utnyttja den. Detta skulle till exempel kunna vara fallet om en sårbar version av en programvara endast marginellt skiljer sig från tidigare, icke-sårbara versioner. Om den CSIRT-enhet som först tog emot anmälan i sådana fall anser att de cybersäkerhetsrisker som följer av ytterligare spridning inte kan reduceras tillräckligt genom begränsningar av hantering och vidaredelning, kan den besluta att skjuta upp spridningen till dess att en effektiv riskreducerande åtgärd, såsom en säkerhetsuppdatering eller användarvägledning, finns tillgänglig.

Table of contents

Springlex and this text is meant purely as a documentation tool and has no legal effect. No liability is assumed for its content. The authentic version of this act is the one published in the Official Journal of the European Union.