Producătorii de software și de echipamente conectate vor intra sub un regim strict de raportare a incidentelor de securitate cibernetică. Conform noilor reguli, companiile care se încadrează în Regulamentul privind reziliența cibernetică vor avea la dispoziție maximum 24 de ore de la momentul în care iau la cunoștință o vulnerabilitate exploatată activ sau un incident grav. Această obligație de alertă rapidă va fi implementată prin intermediul unei platforme unice gestionate de ENISA, începând cu data de 11 septembrie 2026.
Raportarea este obligatorie doar atunci când există dovezi fiabile că un actor rău-intenționat a exploatat o eroare într-un sistem fără permisiunea proprietarului. Simpla identificarea unei erori de software nu constituie, în sine, un motiv pentru raportare, însă dacă vulnerabilitatea este exploatată activ, procesul de alertă este declanșat. După prima alertă de 24 de ore, producătorii trebuie să furnizeze o notificare mai detaliată în cel mult 72 de ore, oferind informații suplimentare despre natura incidentului și măsurile luate.
Procesul de raportare include și transmiterea unui raport final. În cazul unei vulnerabilități exploatate, raportul trebuie transmis în maximum 14 zile de la momentul în care este disponibilă o măsură de corecție sau de atenuare a riscului. Pentru incidentele grave, termenul de raportare a raportului final este de o lună de la notificarea inițială. Aceste informații vor fi transmise către echipa națională de răspuns la incidente de securitate cibernetică, cunoscută sub numele de CSIRT, care are sediul în statul unde producătorul este stabilit.
Regulamentul vizează produsele hardware și software care sunt puse pe piața UE și care necesită o conexiune de date, fie directă, fie indirectă. Este important de menționat că obligația de raportare include și produsele care au fost deja introduse pe piața europeană înainte de data de 11 decembrie 2027. Deși cerințele principale de securitate vor intra în vigoare la sfârșitul anului 2027, producătorii vor trebui să raporteze vulnerabilitățile descoperite după 11 septembrie 2026, chiar dacă eroarea respectivă era cunoscută anterior.
Pe lângă notificarea către autorități, producătorii au obligația de a informa utilizatorii afectați despre incident și despre pașii pe care aceștia îi pot urma pentru a reduce impactul. Dacă informațiile nu sunt transmise la timp, echipele CSIRT pot interveni pentru a difuza informațiile necesare. Scopul este de a limita impactul incidentului, în special în situațiile în care protecția datelor sau funcțiile sensibile ale produsului sunt puse în pericol de un cod dăunător.
Regulamentul privind reziliența cibernetică face parte dintr-un cadru european de securitate digitală care pune accent pe protejarea infrastructurii critice și a produselor digitale. Această reglementare vizează nu doar produsele noi, ci și pe cei care dezvoltă produse cu elemente digitale, inclusiv administratorii de software cu sursă deschisă. Obiectivul central este de a asigura o reacție rapidă și coordonată în întreaga Uniune Europeană în fața atacurilor cibernetice tot mai complexe.
