Companiile care gestionează incidente cibernetice se confruntă cu un set complex de obligații de raportare impuse de diverse reglementări europene. Printre acestea se numără Cyber Resilience Act (CRA), GDPR, NIS 2 și DORA, care impun proceduri specifice de notificare. În sectorul financiar, viteza de reacție este critică, deoarece notificarea inițială poate fi necesară în cel mult patru ore de la momentul în care incidentul este clasificat drept major.
Regulamentul Cyber Resilience Act (CRA) a introdus obligații de raportare pentru vulnerabilitățile exploatate activ și pentru incidentele grave care afectează securitatea produselor digitale. Începând cu data de 11 septembrie 2026, producătorilor le este impus să transmită o avertizare timpurie în maximum 24 de ore. Ulterior, aceștia trebuie să furnizeze o notificare în termen de 72 de ore și să depună un raport final conform celor prevăzute de regulament.
Pe lângă cerințele CRA, cadrul legislativ include și regulamentul GDPR, care obligă notificarea autorității de supraveghere în maximum 72 de ore de la constatarea unei încălcări a securității datelor personale. În același timp, directivele NIS 2 și DORA aduc obligații suplimentare pentru organizațiile care se încadrează în sfera de aplicare a acestor acte normative. Această suprapunere de reguli necesită o gestionare extrem de riguroasă a proceselor interne de securitate.
Robert Gîrdoc, director PwC România, subliniază că succesul în gestionarea acestor situații depinde de pregătirea prealabilă, nu doar de viteză. El recomandă implementarea unor proceduri clare pentru identificarea obligațiilor de raportare și asigurarea unei coordonări eficiente între echipele de IT, cele juridice și departamentele de conformitate. O altă recomandare importantă vizează necesitatea unei documentări unitare a tuturor incidentelor care survin în cadrul organizației.
Pregătirea organizațiilor rămâne însă o provocare majoră în fața acestor reglementări. Conform studiului PwC Global Digital Trust Insights 2027, realizat în rândul a 3.934 de lideri din 71 de țări și teritorii, doar 39% dintre respondenții responsabili de securitate, risc și operațiuni afirmă că organizațiile lor posedă un plan de continuitate operațională complet formalizat și integrat. Acest plan trebuie să trateze în mod explicit riscurile cibernetice pentru a asigura funcționarea continuă.
Implementarea acestor norme europene urmează un calendar etapizat pentru a permite adaptarea pieței. Din 11 decembrie 2027, regulamentul CRA se va aplica integral, impunând ca toate produsele cu elemente digitale introduse pe piața europeană să respecte cerințele de securitate cibernetică. Această tranziție obligă producătorii să își revizuiască standardele de securitate pentru a rămâne conformi cu legislația de la nivelul Uniunii Europene.
