O nouă obligație europeană în domeniul securității cibernetice se aplică începând de vineri, 11 septembrie. Producătorii de produse cu elemente digitale trebuie să raporteze vulnerabilitățile exploatate activ și incidentele grave care afectează securitatea produselor, potrivit Regulamentului european privind reziliența cibernetică.
Noile reguli se aplică la nivelul Uniunii Europene și vizează inclusiv companiile din România care produc produse hardware sau software încadrate în domeniul de aplicare al regulamentului.
Pentru o vulnerabilitate exploatată activ sau un incident grav, producătorul trebuie să transmită o avertizare timpurie fără întârzieri nejustificate și, cel târziu, în termen de 24 de ore de la momentul în care a luat cunoștință de problemă.
Ulterior, trebuie transmisă o notificare mai detaliată în cel mult 72 de ore.
În cazul unei vulnerabilități exploatate activ, raportul final trebuie transmis în cel mult 14 zile de la momentul în care devine disponibilă o măsură corectivă sau de atenuare. Pentru incidentele grave, raportul final trebuie transmis în termen de o lună de la notificarea incidentului.
Raportările se realizează prin platforma unică instituită la nivel european și sunt direcționate către echipa CSIRT competentă, informațiile fiind puse și la dispoziția Agenției Uniunii Europene pentru Securitate Cibernetică – ENISA.
Regulamentul privind reziliența cibernetică a intrat în vigoare în decembrie 2024, însă aplicarea sa este etapizată. Obligațiile de raportare intră în vigoare din 11 septembrie 2026, în timp ce principalele cerințe generale ale regulamentului vor deveni obligatorii de la 11 decembrie 2027.
Actul european urmărește introducerea unor cerințe obligatorii de securitate cibernetică pentru produsele care conțin componente digitale, precum și gestionarea vulnerabilităților pe întregul ciclu de viață al acestora.
Comisia Europeană a publicat în iulie 2026 și orientări practice pentru producători, dezvoltatori și companii, prin care explică tipurile de produse vizate, obligațiile de raportare, perioadele de sprijin și modul în care trebuie realizată evaluarea riscurilor.
