Regulamentul privind reziliența cibernetică, cunoscut sub numele de Cyber Resilience Act (CRA), introduce un cadru juridic unitar în Uniunea Europeană pentru a reglementa securitatea produselor cu elemente digitale. Această legislație vizează orice produs software sau hardware care are o conexiune de date la un dispozitiv sau la o rețea, inclusiv aplicații, sisteme de operare, soluții cloud și dispozitive IoT. Deși aplicarea generală este programată pentru 11 decembrie 2027, anumite obligații de raportare devin obligatorii mult mai devreme, la 11 septembrie 2026.
O componentă centrală a noilor reguli vizează modul în care producătorii trebuie să gestioneze vulnerabilitățile și incidentele grave. În momentul în care o vulnerabilitate este exploatată activ, companiile au obligația de a trimite o alertă timpurie în maximum 24 de ore către entitățile de monitorizare. Ulterior, în decurs de 72 de ore, trebuie transmisă o notificare detaliată despre natura breșei, iar un raport final trebuie prezentat în maximum 14 zile de la momentul în când s-a pus la dispoziție o măsură de remediere.
Raportarea este obligatorie către două entități specifice: echipa națională de răspuns la incidente de securitate cibernetică desemnată drept coordonator (CSIRT) și Agenția Uniunii Europene pentru Securitate Cibernetă (ENISA). În cazul României, entitatea responsabilă este Directoratul Național de Securitate Cibernetică (DNSC). Notificările vor fi efectuate prin intermediul unei platforme unice de raportare instituite de către ENISA, asigurând astfel o comunicare rapidă în cazul în care un produs este afectat de un atac sau de o breșă de securitate.
Regulamentul stabilește trei niveluri de clasificare a riscului: o categorie generală, o categorie de produse importante, precum browserele sau routerele, și o categorie de produse critice, precum dispozitivele de procesare criptografică. Cu cât nivelul de risc este mai ridicat, cu atât procedurile de evaluare a conformității sunt mai riguroase și implică organisme terțe. De asemenea, produsele deja reglementate prin legislație sectorială, precum cele medicale, aeronautice sau vehiculele, sunt excluse de la aplicarea acestui regulament.
Securitatea cibernetică nu mai este doar o caracteristică de moment, ci o obligație pe tot parcursul ciclului de viață al produsului. Producătorii trebuie să asigure configurări securizate și să gestioneze vulnerabilitățile pe întreaga perioadă de asistență, care este de cel puțin cinci ani pentru majoritatea produselor. În plus, orice actualizare de securitate emisă trebuie să rămână accesibilă utilizatorilor pentru cel puțin 10 ani de la publicarea sa, pentru a permite instalarea și descărcarea ulterioară a măsurilor de protecție.
Implementarea acestui cadru juridic este una graduală, cu etape bine definite pentru diverse tipuri de obligații. Dispozițiile privind organismele de evaluare a conformității vor intra în vigoare la 11 iunie 2026, în timp ce obligațiile de raportare a incidentelor vor începe la 11 septembrie 2026. Această structură asigură o tranziție către un standard de securitate mai ridicat pentru toate produsele digitale care sunt introduse pe piața europeană, indiferent de data lansării lor.
