Cyber Resilience Act: cine trebuie să raporteze vulnerabilitățile în 24 de ore din 11 septembrie 2026

Din 11 septembrie 2026, producătorii vizați de Cyber Resilience Act (CRA) trebuie să raporteze vulnerabilitățile exploatate activ și incidentele severe care le afectează produsele. Prima alertă se trimite în cel mult 24 de ore de când află de problemă, urmată de o notificare în 72 de ore și de un raport final.

Ce se schimbă pe 11 septembrie 2026?

CRA aduce cerințe europene de securitate cibernetică pentru anumite produse hardware și software vândute în Uniunea Europeană. Cele mai multe obligații se aplică din decembrie 2027, dar raportarea începe mai devreme.

Obligațiile de raportare se aplică și produselor deja aflate pe piață înainte de 11 decembrie 2027, nu doar celor lansate după septembrie 2026.

Cine trebuie să raporteze?

Articolul 14 se adresează producătorilor de produse cu elemente digitale. Producător este cel care dezvoltă sau fabrică produsul, ori pentru care produsul este făcut, și care îl vinde sub numele sau marca proprie. O firmă care își vinde propriul software poate fi producător chiar dacă nu face hardware.

Dacă ai dubii, verifică încadrarea pe textul regulamentului și, la nevoie, cu un specialist juridic sau de conformitate.

Pentru firmele care doar folosesc produse digitale, mai relevantă poate fi verificarea obligațiilor NIS2.

Ce este un „produs cu elemente digitale”?

Definiția este largă: produse software sau hardware și, în anumite condiții, soluțiile lor de prelucrare a datelor la distanță. Contează ca folosirea produsului să presupună o conexiune, directă sau indirectă, la un dispozitiv sau la o rețea. Pot intra aici:

• software comercial și firmware;
• echipamente conectate și produse IoT;
• componente hardware sau software vândute separat.

Regulamentul are și excluderi pentru categorii acoperite de legislație sectorială, așa că încadrarea se analizează pe produsul concret.

Echipamentele conectate intră și sub alte reguli europene, de exemplu cele privind dreptul de acces la datele generate.

Ce trebuie raportat?

Vulnerabilități exploatate activ. Nu orice vulnerabilitate teoretică, ci cele pentru care există dovezi fiabile că au fost exploatate de un atacator, după cum explică ENISA.

Incidente severe. Un incident este sever, între altele, dacă:

• afectează sau poate afecta capacitatea produsului de a proteja disponibilitatea, autenticitatea, integritatea sau confidențialitatea datelor ori a funcțiilor importante;
• a dus sau poate duce la introducerea ori rularea de cod malițios în produs sau în sistemele utilizatorului.

Care sunt termenele de raportare?

Procesul este în etape. Nu trebuie să știi toate detaliile în primele 24 de ore.

În alerta de 24 de ore, pentru o vulnerabilitate indici, după caz, statele membre în care știi că produsul este disponibil. Pentru un incident, spui cel puțin dacă bănuiești o acțiune ilegală sau malițioasă.

Notificarea de 72 de ore adaugă ce știi despre produs, natura problemei, evaluarea inițială și măsurile luate. Poți include și ce pot face utilizatorii ca să reducă impactul.

Unde se face raportarea?

Prin CRA Single Reporting Platform (SRP), platforma unică administrată de ENISA. Astfel nu trimiți notificări separate în fiecare stat membru. În platformă alegi CSIRT-ul coordonator, stabilit de regulă după sediul principal al producătorului sau al reprezentantului său autorizat.

Autentificarea se face prin EU Login. ENISA recomandă în prezent să nu începi validarea în platformă doar ca să ai un cont pregătit, ci atunci când ai o notificare de trimis. Validarea legăturii dintre reprezentant și producător poate merge în paralel cu raportarea.

Ce pregătești din timp?

24 de ore sunt prea puține ca să stabilești abia atunci cine se ocupă de incident.

• Inventarul produselor care pot intra sub CRA.
• Responsabilul care primește și evaluează semnalele, plus un înlocuitor.
• Traseul de escaladare de la suport, dezvoltare sau IT către responsabil.
• Momentul din care curg cele 24 de ore și cum îl documentezi.
• Datele tehnice despre produs, versiune, vulnerabilitate și impact.
• Procesul de patching pentru produsele afectate.
• Felul în care anunți utilizatorii afectați.
• Legătura dintre echipa tehnică, conducere și juridic.

Chiar dacă nu ești producător, un inventar clar al echipamentelor și al software-ului face parte dintr-o infrastructură IT bine organizată.

Producătorul trebuie să informeze utilizatorii afectați și, unde este cazul, pe toți utilizatorii, inclusiv despre măsurile pe care le pot lua. De aceea trebuie să poți identifica versiunile afectate și să ai un canal rapid de comunicare.

Raportarea este doar o parte. Ca să respecți termenele ai nevoie de un inventar al produselor și versiunilor, gestionarea vulnerabilităților, jurnale pentru investigație, actualizări, controlul accesului și o procedură de răspuns la incidente. Vezi și ghidul Cybersecurity și AI pentru IMM-uri: 7 măsuri esențiale.

Întrebări frecvente

Orice firmă trebuie să raporteze incidentele în 24 de ore?

Nu. Articolul 14 îi privește în principal pe producătorii de produse cu elemente digitale. Folosirea de laptopuri, software sau servicii cloud nu te face producător CRA.

Termenul de 24 de ore începe de la producerea incidentului?

Nu. Începe din momentul în care producătorul ia cunoștință de vulnerabilitatea exploatată activ sau de incidentul sever.

Trebuie să avem toate detaliile tehnice în primele 24 de ore?

Nu. Prima etapă este alerta timpurie, urmată de notificarea de 72 de ore și de raportul final.

Produsele lansate înainte de 2027 sunt excluse?

Nu automat. Comisia Europeană precizează că obligațiile de raportare se aplică și produselor puse pe piață înainte de aplicarea integrală a CRA.