Filip&Company: Obligații noi privind securitatea cibernetică – ce trebuie să știe companiile care dezvoltă produse cu elemente digitale?

Cyber Resilience Act („CRA„) introduce un cadru juridic unitar la nivelul Uniunii Europene în materie de securitate cibernetică a produselor cu elemente digitale. Deși aplicarea generală a CRA este prevăzută pentru 11 decembrie 2027, anumite obligații au devenit aplicabile de la 11 septembrie 2026, iar companiile care dezvoltă sau comercializează astfel de produse trebuie să le ia în considerare.

Ce produse are în vedere CRA?

CRA definește „produsul cu elemente digitale” ca orice produs software sau hardware, inclusiv componentele comercializate separat și funcționalitățile cloud aferente, pus la dispoziție pe piață și care are, ca scop sau ca utilizare previzibilă, o conexiune de date la un dispozitiv sau la o rețea. Aceasta include aplicații, sisteme de operare, soluții software, componente software, dispozitive IoT etc.

Regulamentul instituie trei niveluri de clasificare în funcție de riscul de securitate cibernetică: o categorie generală, supusă unei proceduri standard de evaluare a conformității, o categorie de produse importante (de exemplu, browsere, routere, sisteme de operare, software antimalware, produse VPN, încuietori inteligente, jucării conectate la internet), și o categorie de produse critice, precum dispozitivele destinate prelucrării criptografice sau cardurile inteligente. Cu cât nivelul de risc este mai ridicat, cu atât procedura de evaluare a conformității este mai strictă și presupune implicarea unor organisme terțe.

Sunt însă excluse de la aplicarea CRA produsele deja reglementate prin legislație europeană sectorială (dispozitive medicale, vehicule, produse din domeniul aviației, echipamente maritime), cele dezvoltate exclusiv în scopuri de securitate națională sau apărare, precum și piesele de schimb fabricate conform acelorași specificații ca și componentele originale pe care le înlocuiesc.

Obligație aplicabilă de la 11 septembrie 2026: raportarea vulnerabilităților și a incidentelor grave

De la data de 11 septembrie 2026 devin aplicabile obligațiile de raportare pentru companiile vizate de CRA.

Concret, în momentul în care un producător ia cunoștință de o vulnerabilitate exploatată activ în produsul său, acesta trebuie să transmită o notificare simultan către două entități: echipa națională de răspuns la incidente de securitate cibernetică desemnată drept coordonator (CSIRT – Computer Security Incident Response Team) – in cazul Romaniei, Directoratul National de Securitate Cibernetica (DNSC) și Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA – European Union Agency for Cybersecurity). Notificarea se face prin intermediul unei platforme unice de raportare instituite de ENISA.

Producătorul trebuie să transmită o alertă timpurie în maximum 24 de ore de la momentul în care ia cunoștință de vulnerabilitate. Ulterior, în maximum 72 de ore, trebuie să transmită o notificare detaliată, care să cuprindă informații despre produsul afectat, natura vulnerabilității și modul în care aceasta a fost exploatată, precum și măsurile corective luate. În cel mult 14 zile de la momentul în care producătorul pune la dispoziție o modalitate de remediere sau o măsură de atenuare, acesta trebuie să prezinte un raport final cuprinzând descrierea vulnerabilității, informații despre eventualii actori rău-intenționați și detalii despre actualizarea de securitate furnizată.

Pe lângă vulnerabilități, CRA impune raportarea și a incidentelor grave care afectează securitatea produsului. Cele două noțiuni sunt distincte, deși se pot suprapune. Vulnerabilitatea exploatată activ privește o breșă în produs, adică o slăbiciune pentru care există dovezi că a fost exploatată de un actor rău-intenționat, chiar dacă nu s-au produs încă consecințe concrete pentru utilizatori. Incidentul grav privește consecințele efective, adică un eveniment care a afectat deja capacitatea produsului de a proteja confidențialitatea, integritatea sau disponibilitatea datelor, ori care a condus la introducerea unui cod dăunător în produs sau în sistemele utilizatorului, indiferent dacă la originea sa se află sau nu o vulnerabilitate a produsului. Termenele de raportare a incidentelor grave sunt similare: alertă timpurie în maximum 24 de ore, notificare în 72 de ore și raport final într-o lună de la notificarea incidentului.

Această obligație de raportare este relevantă nu doar pentru produsele care vor fi introduse pe piață după aplicarea generală a CRA, ci și pentru cele deja existente pe piață si care se vor pune pe piață in continuare.

Alte obligații în sarcina producătorilor ce vor intra în vigoare ulterior: securitatea cibernetică devine o obligație continuă

Producătorii vor trebui să se asigure că produsele au fost proiectate, dezvoltate și produse în conformitate cu cerințele esențiale de securitate cibernetică prevăzute de CRA, adică, printre altele, fără vulnerabilități exploatabile cunoscute, cu o configurație securizată implicită și cu mecanisme de protecție împotriva accesului neautorizat. Totodată, producătorii vor trebui să efectueze și să documenteze o evaluare a riscurilor de securitate cibernetică, ale cărei rezultate trebuie luate în considerare pe întregul ciclu de viață al produsului.

Mai mult, CRA schimbă abordarea tradițională, respectiv securitatea nu mai este tratată doar ca o caracteristică a produsului la momentul lansării. Producătorii sunt obligați să gestioneze în mod eficace vulnerabilitățile pe întreaga perioadă de asistență, inclusiv prin politici de divulgare coordonată a vulnerabilităților. Perioada de asistență, adică intervalul în care producătorul trebuie să identifice vulnerabilități și să emită actualizări de securitate, se stabilește în funcție de durata preconizată de utilizare a produsului. Ca regulă, aceasta trebuie să fie de cel puțin cinci ani de la introducerea produsului pe piață, dar poate fi mai scurtă dacă produsul în sine are o durată de viață mai redusă. Separat, fiecare actualizare de securitate emisă în această perioadă trebuie să rămână accesibilă utilizatorilor pentru cel puțin 10 ani de la publicarea ei, sau pentru restul perioadei de asistență dacă aceasta este mai lungă, astfel încât utilizatorii să o poată descărca și instala ulterior.

Când devin aplicabile obligațiile?

CRA prevede o aplicare graduală: dispozițiile privind organismele de evaluare a conformității se aplică de la 11 iunie 2026, obligațiile de raportare de la 11 septembrie 2026, iar aplicarea generală de la 11 decembrie 2027.

Produsele introduse pe piață înainte de 11 decembrie 2027 fac obiectul noilor cerințe numai dacă sunt supuse ulterior unei modificări substanțiale. Obligațiile de raportare constituie însă o excepție importantă, întrucât acestea se aplică, prin derogare, tuturor produselor din domeniul de aplicare al CRA, inclusiv celor deja existente pe piață.

Un material Legal Marketing