11 septembrie 2026 marchează una dintre cele mai importante schimbări operaționale din ultimii ani pentru producătorii de software și hardware care vând produse în Uniunea Europeană. De astăzi se aplică obligațiile de raportare prevăzute de Cyber Resilience Act (CRA), iar ENISA a lansat capacitatea operațională inițială a Single Reporting Platform, sistemul unic prin care vor fi transmise notificările privind vulnerabilitățile exploatate activ și incidentele grave de securitate.
Schimbarea nu privește doar marile companii de tehnologie. Regulile pot afecta producători de echipamente conectate, dezvoltatori de software comercial, furnizori de dispozitive IoT și numeroase firme care introduc pe piața europeană produse cu elemente digitale.
Ce trebuie raportat de acum
Potrivit Comisiei Europene și ENISA, producătorii trebuie să raporteze două categorii majore de evenimente: vulnerabilități exploatate activ și incidente grave care afectează securitatea produselor cu elemente digitale.
Calendarul este strict. Prima avertizare trebuie transmisă în cel mult 24 de ore de la momentul în care producătorul a luat cunoștință de problemă. Notificarea principală trebuie trimisă în 72 de ore. Pentru vulnerabilitățile exploatate activ, raportul final trebuie furnizat cel târziu la 14 zile după ce este disponibilă o măsură corectivă sau de atenuare. Pentru incidentele grave, termenul pentru raportul final este de o lună după notificarea de 72 de ore.
O singură platformă pentru raportarea în UE
Single Reporting Platform, operată de ENISA, este concepută pentru a evita situația în care aceeași companie trebuie să raporteze separat către mai multe autorități europene. Producătorul transmite notificarea prin platformă, iar aceasta ajunge la CSIRT-ul relevant din statul membru în care compania își are sediul principal și, în condițiile stabilite de regulament, la ENISA și celelalte echipe naționale relevante.
Pentru România, acest mecanism este important deoarece companiile locale care dezvoltă și comercializează produse digitale pe piața UE intră în același flux de raportare ca producătorii din celelalte state membre. În practică, departamentele de securitate, dezvoltare, juridic și management al incidentelor vor trebui să coopereze mult mai strâns pentru ca termenele de 24 și 72 de ore să poată fi respectate.
De ce contează pentru companii
Obligația de raportare schimbă modul în care trebuie pregătit răspunsul la incidente. Nu mai este suficient ca o vulnerabilitate să fie investigată și remediată tehnic. Organizația trebuie să poată stabili rapid dacă problema intră în sfera CRA, când a devenit cunoscută intern, dacă există dovezi că este exploatată activ și ce informații pot fi comunicate autorităților în primele 24 de ore.
Pentru firmele care nu au încă un proces formal de vulnerability management și incident response, acesta este probabil cel mai important efect imediat. O vulnerabilitate critică descoperită într-un produs într-o zi de vineri seara nu mai poate rămâne pur și simplu într-un ticket intern până luni. Fereastra legală începe să curgă din momentul în care organizația devine conștientă de incident sau vulnerabilitate.
CRA nu este încă aplicabil integral
Este importantă și o distincție de calendar. Cyber Resilience Act a intrat în vigoare în decembrie 2024, dar principalele sale cerințe de securitate pentru produse se vor aplica integral din 11 decembrie 2027. Obligațiile de raportare reprezintă însă o etapă anticipată și se aplică începând de astăzi, 11 septembrie 2026.
Comisia Europeană a publicat în iulie orientări suplimentare pentru producători și dezvoltatori, inclusiv exemple practice privind domeniul de aplicare, modificările substanțiale, perioadele de suport și evaluarea riscurilor. Asta sugerează că următoarele luni vor fi o perioadă de acomodare operațională, nu una în care companiile își pot permite să aștepte aplicarea completă din 2027.
Analiză: presiunea se mută de la patching la proces
Din perspectivă practică, miza CRA nu este doar viteza cu care poate fi publicat un patch. Regulamentul obligă companiile să demonstreze că au procese suficient de mature pentru a detecta, clasifica, documenta și raporta rapid incidentele. Asta va pune presiune mai ales pe producătorii mici și mijlocii, unde responsabilitățile de securitate sunt adesea distribuite informal între dezvoltatori și administratori de sistem.
Pentru piața europeană, avantajul este o imagine mai coerentă asupra vulnerabilităților exploatate activ și a incidentelor severe. Riscul este creșterea poverii de conformitate pentru firmele care nu și-au automatizat încă procesele de securitate și raportare.
Surse
Imagine: jaydeep_ / Wikimedia Commons, CC0 1.0.
