UE pune reguli mai stricte pentru securitatea produselor digitale
Telefonul, ceasul inteligent, camera de supraveghere, sistemul de acces într-o clădire sau pur și simplu o aplicație instalată pe computer au ceva în comun: toate pot deveni, în anumite condiții, ținte ale uni atac cibernetic. Iar pe măsură ce tot mai multe obiecte din jurul nostru sunt conectate, o vulnerabilitate de securitate nu mai este doar o problemă tehnică a producătorului.
Uniunea Europeană încearcă să schimbe această abordare prin Cyber Resilience Act – Actul privind reziliența cibernetică, regulamentul european care introduce cerințe obligatorii de securitate pentru produsele cu elemente digitale. Regulamentul este în vigoare din decembrie 2024, însă aplicarea sa se face etapizat.
O etapă importantă a început chiar acum. Din 11 septembrie 2026, producătorii sunt obligați să raporteze vulnerabilitățile despre care află că sunt exploatate activ, precum și incidentele grave care afectează securitatea produselor lor.
Și nu au foarte mult timp la dispoziție. Prima avertizare trebuie transmisă în cel mult 24 de ore de la momentul în care producătorul ia cunoștință de problemă, iar notificarea mai detaliată trebuie făcută în maximum 72 de ore. Ulterior este necesar și un raport final: în cazul unei vulnerabilități exploatate activ, acesta trebuie transmis cel târziu la 14 zile după ce există o măsură de remediere sau de limitare a problemei; pentru un incident grav, termenul este de o lună de la notificarea de 72 de ore.
O singură raportare, la nivel european
Pentru aceste notificări, ENISA – Agenția Uniunii Europene pentru Securitate Cibernetică – a lansat CRA Single Reporting Platform, o platformă unică de raportare. Practic, producătorul transmite informația printr-un singur sistem, iar aceasta ajunge apoi la autoritățile competente.
Platforma a devenit operațională tot pe 11 septembrie 2026, odată cu intrarea în aplicare a obligațiilor de raportare. Scopul este simplu: vulnerabilitățile serioase să poată fi cunoscute și gestionate mai repede, fără ca aceeași companie să fie nevoită să facă notificări separate către numeroase autorități din statele în care își comercializează produsul.
Regulile nu se referă doar la produsele care vor apărea de acum înainte. Obligațiile de raportare se aplică și produselor cu elemente digitale aflate deja pe piața europeană, dacă acestea intră în domeniul de aplicare al regulamentului.
Securitatea nu se termină în momentul vânzării
Aici este, de fapt, schimbarea importantă adusă de noua legislație europeană. Până acum, pentru utilizator era relativ ușor să afle câtă memorie are un telefon, ce autonomie are un smartwatch sau ce funcții oferă un program. Mult mai greu era să știe cât timp va fi acel produs actualizat și cât de serios tratează producătorul eventualele vulnerabilități.
CRA încearcă să transforme securitatea cibernetică într-o parte normală a produsului. Producătorii trebuie să evalueze riscurile, să gestioneze vulnerabilitățile și să asigure suportul de securitate pe perioada declarată pentru produs. La introducerea pe piață, această perioadă de suport trebuie comunicată utilizatorului.
Principalele cerințe ale regulamentului vor deveni aplicabile de la 11 decembrie 2027. Produsele conforme cu cerințele CRA vor purta marcajul CE, iar autoritățile naționale de supraveghere a pieței vor avea responsabilitatea de a verifica respectarea regulilor.
Pentru companii, obligațiile nu sunt deloc simbolice. Încălcarea cerințelor esențiale de securitate cibernetică și a unor obligații importante prevăzute de regulament poate atrage amenzi de până la 15 milioane de euro sau 2,5% din cifra de afaceri anuală mondială, fiind luată în calcul valoarea mai mare.
Comisia Europeană a publicat în iulie 2026 și un set de orientări practice pentru producători, dezvoltatori și întreprinderi, inclusiv explicații despre produsele cărora li se aplică regulamentul, evaluarea riscurilor, perioadele de suport și obligațiile de raportare. O atenție specială este acordată întreprinderilor mici, pentru care adaptarea la noile cerințe poate fi mai dificilă.
Pentru utilizatorul obișnuit, toate aceste articole, termene și notificări se traduc într-o idee mult mai simplă: un produs digital nu ar trebui să fie considerat sigur doar în ziua în care este cumpărat. Producătorul trebuie să rămână responsabil și după vânzare, să urmărească vulnerabilitățile, să le remedieze și, atunci când apare o problemă serioasă, să reacționeze rapid.
Într-o lume în care același laptop sau telefon poate fi folosit atât pentru viața personală, cât și pentru muncă, aceasta nu mai este doar o discuție pentru specialiștii IT. Este, din ce în ce mai mult, o chestiune de siguranță a fiecăruia dintre noi.
Surse:
- Comisia Europeană – Shaping Europe’s Digital Future, Cyber Resilience Act și CRA – Reporting obligations, actualizate în septembrie 2026.
- Regulamentul (UE) 2024/2847 – Cyber Resilience Act, EUR-Lex, textul oficial al regulamentului.
- ENISA – European Union Agency for Cybersecurity, CRA Single Reporting Platform și comunicatul din 11 septembrie 2026 privind lansarea platformei.
- Comisia Europeană, orientările pentru implementarea Cyber Resilience Act, publicate la 27 iulie 2026.
