Cyber Resilience Act („CRA") introduce un cadru juridic unitar la nivelul Uniunii Europene în materie de securitate cibernetică a produselor cu elemente digitale. Deşi aplicarea generală a CRA este prevăzută pentru 11 decembrie 2027, anumite obligaţii au devenit aplicabile de la 11 septembrie 2026, iar companiile care dezvoltă sau comercializează astfel de produse trebuie să le ia în considerare.
Ce produse are în vedere CRA?
CRA defineşte „produsul cu elemente digitale" ca orice produs software sau hardware, inclusiv componentele comercializate separat şi funcţionalităţile cloud aferente, pus la dispoziţie pe piaţă şi care are, ca scop sau ca utilizare previzibilă, o conexiune de date la un dispozitiv sau la o reţea. Aceasta include aplicaţii, sisteme de operare, soluţii software, componente software, dispozitive IoT etc.
Regulamentul instituie trei niveluri de clasificare în funcţie de riscul de securitate cibernetică: o categorie generală, supusă unei proceduri standard de evaluare a conformităţii, o categorie de produse importante (de exemplu, browsere, routere, sisteme de operare, software antimalware, produse VPN, încuietori inteligente, jucării conectate la internet), şi o categorie de produse critice, precum dispozitivele destinate prelucrării criptografice sau cardurile inteligente. Cu cât nivelul de risc este mai ridicat, cu atât procedura de evaluare a conformităţii este mai strictă şi presupune implicarea unor organisme terţe.
Sunt însă excluse de la aplicarea CRA produsele deja reglementate prin legislaţie europeană sectorială (dispozitive medicale, vehicule, produse din domeniul aviaţiei, echipamente maritime), cele dezvoltate exclusiv în scopuri de securitate naţională sau apărare, precum şi piesele de schimb fabricate conform aceloraşi specificaţii ca şi componentele originale pe care le înlocuiesc.
Obligaţie aplicabilă de la 11 septembrie 2026: raportarea vulnerabilităţilor şi a incidentelor grave
De la data de 11 septembrie 2026 devin aplicabile obligaţiile de raportare pentru companiile vizate de CRA.
Concret, în momentul în care un producător ia cunoştinţă de o vulnerabilitate exploatată activ în produsul său, acesta trebuie să transmită o notificare simultan către două entităţi: echipa naţională de răspuns la incidente de securitate cibernetică desemnată drept coordonator (CSIRT - Computer Security Incident Response Team) – in cazul Romaniei, Directoratul National de Securitate Cibernetica (DNSC) şi Agenţia Uniunii Europene pentru Securitate Cibernetică (ENISA - European Union Agency for Cybersecurity). Notificarea se face prin intermediul unei platforme unice de raportare instituite de ENISA.
Producătorul trebuie să transmită o alertă timpurie în maximum 24 de ore de la momentul în care ia cunoştinţă de vulnerabilitate. Ulterior, în maximum 72 de ore, trebuie să transmită o notificare detaliată, care să cuprindă informaţii despre produsul afectat, natura vulnerabilităţii şi modul în care aceasta a fost exploatată, precum şi măsurile corective luate. În cel mult 14 zile de la momentul în care producătorul pune la dispoziţie o modalitate de remediere sau o măsură de atenuare, acesta trebuie să prezinte un raport final cuprinzând descrierea vulnerabilităţii, informaţii despre eventualii actori rău-intenţionaţi şi detalii despre actualizarea de securitate furnizată.
Pe lângă vulnerabilităţi, CRA impune raportarea şi a incidentelor grave care afectează securitatea produsului. Cele două noţiuni sunt distincte, deşi se pot suprapune. Vulnerabilitatea exploatată activ priveşte o breşă în produs, adică o slăbiciune pentru care există dovezi că a fost exploatată de un actor rău-intenţionat, chiar dacă nu s-au produs încă consecinţe concrete pentru utilizatori. Incidentul grav priveşte consecinţele efective, adică un eveniment care a afectat deja capacitatea produsului de a proteja confidenţialitatea, integritatea sau disponibilitatea datelor, ori care a condus la introducerea unui cod dăunător în produs sau în sistemele utilizatorului, indiferent dacă la originea sa se află sau nu o vulnerabilitate a produsului. Termenele de raportare a incidentelor grave sunt similare: alertă timpurie în maximum 24 de ore, notificare în 72 de ore şi raport final într-o lună de la notificarea incidentului.
Această obligaţie de raportare este relevantă nu doar pentru produsele care vor fi introduse pe piaţă după aplicarea generală a CRA, ci şi pentru cele deja existente pe piaţă si care se vor pune pe piaţă in continuare.
Alte obligaţii în sarcina producătorilor ce vor intra în vigoare ulterior: securitatea cibernetică devine o obligaţie continuă
Producătorii vor trebui să se asigure că produsele au fost proiectate, dezvoltate şi produse în conformitate cu cerinţele esenţiale de securitate cibernetică prevăzute de CRA, adică, printre altele, fără vulnerabilităţi exploatabile cunoscute, cu o configuraţie securizată implicită şi cu mecanisme de protecţie împotriva accesului neautorizat. Totodată, producătorii vor trebui să efectueze şi să documenteze o evaluare a riscurilor de securitate cibernetică, ale cărei rezultate trebuie luate în considerare pe întregul ciclu de viaţă al produsului.
Mai mult, CRA schimbă abordarea tradiţională, respectiv securitatea nu mai este tratată doar ca o caracteristică a produsului la momentul lansării. Producătorii sunt obligaţi să gestioneze în mod eficace vulnerabilităţile pe întreaga perioadă de asistenţă, inclusiv prin politici de divulgare coordonată a vulnerabilităţilor. Perioada de asistenţă, adică intervalul în care producătorul trebuie să identifice vulnerabilităţi şi să emită actualizări de securitate, se stabileşte în funcţie de durata preconizată de utilizare a produsului. Ca regulă, aceasta trebuie să fie de cel puţin cinci ani de la introducerea produsului pe piaţă, dar poate fi mai scurtă dacă produsul în sine are o durată de viaţă mai redusă. Separat, fiecare actualizare de securitate emisă în această perioadă trebuie să rămână accesibilă utilizatorilor pentru cel puţin 10 ani de la publicarea ei, sau pentru restul perioadei de asistenţă dacă aceasta este mai lungă, astfel încât utilizatorii să o poată descărca şi instala ulterior.
Când devin aplicabile obligaţiile?
CRA prevede o aplicare graduală: dispoziţiile privind organismele de evaluare a conformităţii se aplică de la 11 iunie 2026, obligaţiile de raportare de la 11 septembrie 2026, iar aplicarea generală de la 11 decembrie 2027.
Produsele introduse pe piaţă înainte de 11 decembrie 2027 fac obiectul noilor cerinţe numai dacă sunt supuse ulterior unei modificări substanţiale. Obligaţiile de raportare constituie însă o excepţie importantă, întrucât acestea se aplică, prin derogare, tuturor produselor din domeniul de aplicare al CRA, inclusiv celor deja existente pe piaţă
