Regulation (EU) 2024/2847 ／ 第II章 — 経済事業者の義務及びフリー・オープンソースソフトウェアに関する規定
第15条 任意の報告
Article 15 — Voluntary reporting
1. 製造業者及びその他の自然人又は法人は、デジタル要素を持つ製品に含まれる脆弱性、及びデジタル要素を持つ製品のリスクプロファイルに影響を与えうるサイバー脅威を、任意で、調整役として指定されたCSIRT又はENISAに通知することができる。
1. Manufacturers as well as other natural or legal persons may notify any vulnerability contained in a product with digital elements as well as cyber threats that could affect the risk profile of a product with digital elements on a voluntary basis to a CSIRT designated as coordinator or ENISA.
2. 製造業者及びその他の自然人又は法人は、デジタル要素を持つ製品のセキュリティに影響を与えるインシデント、及び当該インシデントにつながりえたニアミスを、任意で、調整役として指定されたCSIRT又はENISAに通知することができる。
2. Manufacturers as well as other natural or legal persons may notify any incident having an impact on the security of the product with digital elements as well as near misses that could have resulted in such an incident on a voluntary basis to a CSIRT designated as coordinator or ENISA.
3. 調整役として指定されたCSIRT又はENISAは、本条第1項及び第2項に規定する通知を、第16条に定める手続に従って処理しなければならない。
3. The CSIRT designated as coordinator or ENISA shall process the notifications referred to in paragraphs 1 and 2 of this Article in accordance with the procedure laid down in Article 16.
調整役として指定されたCSIRTは、任意の通知よりも義務的な通知の処理を優先することができる。
The CSIRT designated as coordinator may prioritise the processing of mandatory notifications over voluntary notifications.
4. 製造業者以外の自然人又は法人が、第1項又は第2項に従って、積極的に悪用されている脆弱性又はデジタル要素を持つ製品のセキュリティに影響を与える重大なインシデントを通知した場合、調整役として指定されたCSIRTは、不当な遅延なく製造業者に通知しなければならない。
4. Where a natural or legal person other than the manufacturer notifies an actively exploited vulnerability or a severe incident having an impact on the security of a product with digital elements in accordance with paragraph 1 or 2, the CSIRT designated as coordinator shall without undue delay inform the manufacturer.
5. 調整役として指定されたCSIRT及びENISAは、通知を行った自然人又は法人が提供した情報の機密性及び適切な保護を確保しなければならない。犯罪の防止、捜査、発見及び訴追を損なうことなく、任意の報告は、通知を行った自然人又は法人に対し、通知を提出しなかったならば課されなかったであろう追加の義務を課す結果となってはならない。
5. The CSIRTs designated as coordinators as well as ENISA shall ensure the confidentiality and appropriate protection of the information provided by a notifying natural or legal person. Without prejudice to the prevention, investigation, detection and prosecution of criminal offences, voluntary reporting shall not result in the imposition of any additional obligations upon a notifying natural or legal person to which it would not have been subject had it not submitted the notification.