Noile obligații privind securitatea cibernetică pentru companiile care dezvoltă produse digitale conform Cyber Resilience Act

Pe scurt:

• Cyber Resilience Act impune raportarea vulnerabilităților și incidentelor grave pentru produsele digitale începând cu 11 septembrie 2026.
• Regulamentul clasifică produsele digitale în trei niveluri de risc, cu proceduri diferite de evaluare și excluderi pentru anumite sectoare.
• Producătorii trebuie să notifice CSIRT și ENISA în 24 de ore despre vulnerabilitățile exploatate activ și să asigure securitatea pe toată durata de viață a produsului.
• Aplicarea CRA începe gradual din iunie 2026, cu obligații de raportare pentru toate produsele, inclusiv cele existente, dacă suferă modificări substanțiale.

Noile obligații privind raportarea vulnerabilităților în Cyber Resilience Act

Cyber Resilience Act introduce un cadru unitar la nivelul Uniunii Europene pentru securitatea cibernetică a produselor digitale. Obligațiile privind raportarea vulnerabilităților și a incidentelor grave devin aplicabile începând cu 11 septembrie 2026 pentru companiile care dezvoltă sau comercializează astfel de produse.

CRA definește produsul cu elemente digitale ca orice software sau hardware, inclusiv componentele vândute separat și serviciile cloud aferente, care se conectează la un dispozitiv sau rețea. Sunt vizate aplicații, sisteme de operare, soluții software, dispozitive IoT și altele.

Clasificarea produselor și excluderi

Regulamentul stabilește trei niveluri de risc pentru produse: general, important și critic. Produsele importante includ browsere, routere, software antimalware sau dispozitive IoT, iar cele critice vizează echipamente pentru prelucrarea criptografică sau carduri inteligente. Nivelul de risc determină procedura de evaluare a conformității, cu implicarea unor organisme terțe pentru produsele cu risc ridicat.

CRA nu se aplică produselor reglementate prin legislație europeană sectorială, cum ar fi dispozitivele medicale, vehiculele sau echipamentele maritime, nici produselor dezvoltate exclusiv pentru securitate națională sau apărare.

Obligațiile de raportare vulnerabilități și securitate cibernetică produse digitale

De la 11 septembrie 2026, producătorii trebuie să notifice simultan CSIRT-ul național și Agenția Europeană pentru Securitate Cibernetică (ENISA) despre vulnerabilitățile exploatate activ. Notificarea timpurie trebuie transmisă în 24 de ore, urmată de o notificare detaliată în 72 de ore și un raport final în maximum 14 zile după lansarea unei remedieri.

Raportarea se aplică și incidentelor grave care afectează securitatea produsului, cu termene similare: alertă în 24 de ore, notificare în 72 de ore și raport final într-o lună. Obligațiile vizează atât produsele noi, cât și cele deja existente pe piață.

Obligații suplimentare privind securitatea cibernetică

Producătorii trebuie să asigure că produsele sunt proiectate și dezvoltate conform cerințelor esențiale de securitate, fără vulnerabilități exploatabile cunoscute și cu protecție împotriva accesului neautorizat. Evaluarea riscurilor trebuie documentată și actualizată pe întreaga durată de viață a produsului.

CRA impune o abordare continuă a securității, cu politici de divulgare coordonată a vulnerabilităților și actualizări de securitate pe o perioadă minimă de cinci ani. Fiecare actualizare trebuie să rămână disponibilă utilizatorilor cel puțin zece ani după publicare.

Aplicarea graduală a CRA începe cu organismele de evaluare a conformității din iunie 2026, urmată de obligațiile de raportare în septembrie 2026 și aplicarea generală în decembrie 2027. Produsele existente sunt supuse noilor cerințe doar dacă suferă modificări substanțiale, cu excepția obligațiilor de raportare care se aplică tuturor produselor din domeniul CRA.

Sursa originală a acestui articol este https://www.profit.ro/legal/filip-company-obligatii-noi-privind-securitatea-cibernetica-ce-trebuie-sa-stie-companiile-care-dezvolta-produse-cu-elemente-digitale-22736921?utm_source=Rss&utm_medium=Referral&utm_campaign=Cross (link)