Regulamentul Cyber Resilience Act (CRA) stabilește un nou cadru juridic la nivelul Uniunii Europene pentru securitatea produselor cu elemente digitale. Deși aplicarea generală este programată pentru 11 decembrie 2027, anumite obligații devin obligatorii începând cu 11 septembrie 2026. Această legislație vizează orice produs software sau hardware care are o conexiune de date la un dispozitiv sau la o rețea, inclusiv aplicații, sisteme de operare sau dispozitive IoT.
CRA clasifică produsele în trei categorii, în funcție de nivelul de risc de securitate cibernetică. Există o categorie generală, supusă unor proceduri standard, și o categorie de produse importante, precum browserele, routerele, sistemele de operare sau produsele VPN. Există, de asemenea, o categorie de produse critice, care include dispozitivele pentru prelucrarea criptografică sau cardurile inteligente, necesitând o evaluare de conformitate mult mai strictă.
O obligație majoră care intră în vigoare la 11 septembrie 2026 este raportarea vulnerabilităților și a incidentelor grave. În cazul unei vulnerabilități exploatate activ, producătorul trebuie să trimită o alertă în maximum 24 de ore către echipa națională de răspuns la incidente (CSIRT) și către Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA). Ulterior, în 72 de ore, trebuie transmisă o notificare detaliată despre natura problemei și măsurile luate.
Diferențierea între vulnerabilitate și incident este esențială în noul cadru juridic. O vulnerabilitate exploatată reprezintă o slăbiciune care a fost utilizată de un actor rău-intenționat, în timp ce un incident grav implică consecințe efective asupra integrității sau disponibilității datelor. Pentru incidentele grave, raportul final trebuie prezentat în maximum o lună de la notificarea incidentului, asigurând astfel transparența procesului de remediere.
Securitatea cibernetică nu mai este doar o caracteristică de lansare, ci o obligație pe tot parcursul ciclului de viață al produsului. Producătorii trebuie să gestioneze vulnerabilitățile pe întreaga perioadă de asistență, care este de cel puțin cinci ani în mod regulat. În plus, orice actualizare de securitate emisă trebuie să rămână accesibilă utilizatorilor timp de cel puțin 10 ani, pentru a asigura protecția continuă a consumatorilor.
Implementarea acestor reglementări europene face parte dintr-un context mai larg de consolidare a suveranității tehnologice în Europa. În timp ce industria europeană urmărește obiective de creștere a contribuției la PIB până în 2035, reglementările precum CRA sunt esențiale pentru protejarea infrastructurii digitale. Această abordare de securitate preventivă este necesară pentru a asigura stabilitatea sistemelor software și hardware în fața amenințărilor cibernetice globale tot mai complexe.
