Uniunea Europeană impune raportarea breșelor de securitate în 24 de ore pentru producători conform Cyber Resilience Act

Pe scurt:

• Cyber Resilience Act obligă producătorii să raporteze breșele de securitate exploatate în 24 de ore, aplicabil din 11 septembrie 2026 în UE.
• Regulamentul se aplică tuturor produselor digitale vândute în UE, inclusiv celor din afara blocului comunitar, pentru a combate atacurile cibernetice.
• Raportările se fac prin platforma ENISA, cu notificări suplimentare în 72 de ore și rapoarte finale în 14 zile sau o lună pentru incidente grave.
• Amenzile pot ajunge până la 15 milioane euro sau 2,5% din cifra de afaceri globală, cu excepții pentru microîntreprinderi și software open-source.

Noile reguli de raportare breșe securitate din Cyber Resilience Act

Cyber Resilience Act impune producătorilor de produse digitale să raporteze breșele de securitate exploatate activ în maximum 24 de ore de la descoperire. Măsura, valabilă din 11 septembrie 2026, se aplică tuturor produselor cu componente digitale disponibile pe piața Uniunii Europene, indiferent de proveniența producătorului.

Regulamentul vizează atât companiile europene, cât și pe cele din afara UE, dacă produsele lor sunt comercializate în spațiul comunitar. Această etapă marchează o schimbare importantă în legislația europeană privind securitatea produselor digitale, în contextul creșterii rapide a atacurilor cibernetice asupra dispozitivelor conectate.

Raportarea breșelor securitate prin platforma ENISA

Cyber Resilience Act stabilește un sistem etapizat de raportare. Producătorii trebuie să transmită o primă notificare în 24 de ore, urmată de un raport detaliat în 72 de ore, care include o evaluare preliminară a incidentului. Raportul final trebuie trimis în cel mult 14 zile de la disponibilitatea unei soluții pentru vulnerabilitate sau în termen de o lună pentru incidente grave.

Toate notificările se fac prin Single Reporting Platform, administrată de Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA). Această platformă unifică raportările către autoritățile europene, evitând dublarea eforturilor și facilitând distribuirea informațiilor către echipele CSIRT competente din statele membre.

Impactul Cyber Resilience Act asupra securității produselor digitale

Regulamentul vizează reducerea riscurilor generate de dispozitivele conectate, precum camerele de supraveghere, routerele și gadgeturile smart, care pot deveni puncte de acces pentru atacatori. Producătorii trebuie să informeze utilizatorii afectați fără întârzieri nejustificate, oferind detalii despre măsurile disponibile pentru remedierea vulnerabilităților.

În caz de nerespectare a obligațiilor, amenzile pot ajunge până la 15 milioane de euro sau 2,5% din cifra de afaceri anuală globală, în funcție de valoarea mai mare. Excepții există pentru microîntreprinderi, întreprinderi mici și administratorii de software open-source, care beneficiază de un regim sancționator distinct.

Viitorul aplicării Cyber Resilience Act și rolul ENISA

Pe lângă raportarea breșelor securitate, Cyber Resilience Act va introduce din 11 decembrie 2027 cerințe extinse privind securitatea produselor încă din faza de proiectare, gestionarea vulnerabilităților și actualizările de securitate. ENISA va continua să joace un rol central în coordonarea și monitorizarea respectării acestor norme.

Prin aceste măsuri, Uniunea Europeană urmărește să responsabilizeze producătorii pe întregul ciclu de viață al produselor digitale, reducând astfel impactul incidentelor de securitate asupra utilizatorilor și companiilor, inclusiv IMM-urilor, tot mai expuse atacurilor cibernetice.

Sursa originală a acestui articol este https://playtech.ro/2026/ue-porneste-cronometrul-pentru-bresele-de-securitate-producatorii-au-doar-24-de-ore-sa-raporteze-vulnerabilitatile/ (link)