Începând cu data de 11 septembrie 2026, producătorii au obligații stricte de raportare a vulnerabilităților și incidentelor conform Regulamentului (UE) 2024/2847 al Parlamentului European și al Consiliului din 23 octombrie 2024 privind cerințele orizontale în materie de securitate cibernetică pentru produsele cu elemente digitale și de modificare a Regulamentelor (UE) nr. 168/2013 și (UE) 2019/1020, precum și a Directivei (UE) 2020/1828 („Regulamentul privind reziliența cibernetică” sau „Regulamentul”)[1] . Această aplicare anticipată reprezintă o excepție notabilă, având în vedere că, în mod general, dispozițiile Regulamentului devin aplicabile abia de la 11 decembrie 2027.
Potrivit dispozițiilor Regulamentului privind reziliența cibernetică, obligația de raportare prevăzută la articolul 14 se concentrează pe două scenarii majore de risc:
- Vulnerabilitatea exploatată activ: Raportarea nu este declanșată de simpla descoperire a unei slăbiciuni, a unui defect de proiectare sau a unei erori de cod în produsul cu elemente digitale. Producătorul are obligația notificării exclusiv în momentul în care obține dovezi fiabile că acea vulnerabilitate este folosită în mod practic de un actor rău-intenționat într-un sistem, fără permisiunea proprietarului.
- Incidentul grav cu impact asupra securității: Conform art. 14 alin. (5) din Regulament, un incident atinge pragul de severitate care necesită raportare dacă afectează (real sau potențial) funcțiile esențiale ale produsului privind protejarea disponibilității, autenticității, integrității ori confidențialității datelor, sau dacă facilitează direct ori indirect executarea de cod malițios. Scenariul compromiterii canalului de actualizări software se încadrează perfect în această definiție legală, deoarece creează un risc critic de distribuire a unui cod dăunător în rețeaua utilizatorilor, motiv pentru care obligația de raportare se activează înainte ca vreun client să resimtă efectele atacului.
I. Cine este vizat de obligația de raportare?
Obligația prevăzută de art. 14 revine producătorului produsului cu elemente digitale. Potrivit art. 3 pct. 13, producătorul este persoana fizică sau juridică ce dezvoltă sau fabrică un produs cu elemente digitale ori pentru care acesta este proiectat, dezvoltat sau fabricat și care îl comercializează sub numele sau marca sa, contra cost, pentru monetizare sau gratuit.
De exemplu, o societate care achiziționează de la un dezvoltator extern o aplicație mobilă și o distribuie sub propria marcă are calitatea de producător și îi revin direct obligațiile de raportare, deși nu a fost implicată în mod direct în dezvoltarea aplicației.
Importatorul sau distribuitorul este considerat producător, în sensul art. 14 din Regulament, atunci când introduce produsul cu elemente digitale pe piață sub numele sau marca sa ori efectuează o modificare substanțială a unui produs cu elemente digitale deja introdus pe piață.
II. Ce produse intră în domeniul de aplicare?
Obligația de raportare vizează produsele software sau hardware al căror scop preconizat ori a căror utilizare previzibilă în mod rezonabil include o conexiune de date logică sau fizică directă sau indirectă la un dispozitiv sau la o rețea. Printre acestea se numără:
- Produse hardware și dispozitive conectate (IoT): electronice de consum (Smart TV-uri, ceasuri inteligente, brățări de fitness, boxe inteligente), electrocasnice inteligente (aspiratoare robot, mașini de spălat, frigidere cu Wi-Fi), echipamente de rețea (routere Wi-Fi casnice, switch-uri, camere IP, interfoane video) și componente hardware de bază (plăci de bază, plăci de rețea, microcontrolere, HDD/SSD-uri).
- Produse software: aplicații de utilizare zilnică (aplicații de mesagerie, mobile banking, clienți de e-mail), software profesional (sisteme de baze de date, aplicații CRM sau ERP, programe de editare care necesită conexiune), soluții de securitate (antivirus/antimalware, VPN-uri) și jocuri video (PC, console, mobile) care dispun de o componentă multiplayer online.
Regulamentul nu se aplică, potrivit art. 2 alin. (2)-(7), anumitor produse supuse unor regimuri sectoriale speciale, precum dispozitive medicale (de exemplu: pompe de insulină inteligente, stimulatoare cardiace cu monitorizare la distanță, scannere RMN sau CT, software medical de diagnostic), vehicule omologate (autoturisme, inclusiv sistemele lor complexe de navigație și conducere autonomă), echipamente de aviație civilă și maritimă (computere de bord ale aeronavelor, sisteme de navigație radar pentru nave, drone utilitare grele cu regim special de zbor), anumitor piese de schimb, precum și produselor dezvoltate sau modificate exclusiv în scopuri de securitate națională ori apărare (cum ar fi sistemele de comunicații criptate destinate exclusiv armatei sau software-ul de analiză dezvoltat strict pentru serviciile de informații) sau proiectate în mod specific pentru prelucrarea informațiilor clasificate.
III. Ce se întâmplă cu produsele aflate deja pe piață?
Obligațiile de raportare a vulnerabilităților și incidentelor se aplică tuturor produselor cu elemente digitale ce intră sub incidența Regulamentului și au fost introduse pe piață înainte de data de 11 decembrie 2027. În cazul obligațiilor prevăzute de art. 14, Regulamentul nu distinge între produse ce au suferit modificări substanțiale și produse ce au rămas nemodificate de la momentul introducerii pe piață. Astfel, un producător care introduce un produs pe piața Uniunii trebuie să țină cont de obligațiile instituite de art. 14 al Regulamentului, indiferent dacă produsul este sau nu modificat ulterior.
IV. Care sunt termenele de raportare?
Raportarea se realizează în trei etape, în condițiile și termenele prevăzute de art. 14 alin. (2) în cazul vulnerabilităților exploatate activ și în condițiile și termenele prevăzute de art. 14 alin. (4) în cazul incidentelor grave. Raportările aferente etapelor a doua și a treia nu mai sunt necesare în măsura în care informațiile relevante au fost furnizate încă din prima etapă.
1. Notificarea de alertă timpurie – 24 de ore de la data la care producătorul a luat cunoștință
- Vulnerabilitate exploatată activ: producătorul transmite, fără întârzieri nejustificate și, în orice caz, în termen de 24 de ore de la data la care a luat cunoștință de vulnerabilitate, o notificare de alertă timpurie și indică, după caz, statele membre în care are cunoștință că produsul afectat a fost pus la dispoziție;
- Incident grav: producătorul transmite, fără întârzieri nejustificate și, în orice caz, în termen de 24 de ore de la data la care a luat cunoștință de incident, o notificare de alertă timpurie care indică cel puțin dacă se suspectează că incidentul a fost cauzat de acte ilegale sau răuvoitoare și, după caz, statele membre în care are cunoștință că produsul afectat a fost pus la dispoziție;
2. Notificarea propriu-zisă – 72 de ore de la data la care producătorul a luat cunoștință
- Vulnerabilitate exploatată activ: producătorul transmite, fără întârzieri nejustificate și, în orice caz, în termen de 72 de ore de la data la care ia cunoștință de vulnerabilitate, o notificare a vulnerabilității, cuprinzând informații generale privind produsul afectat, natura generală a exploatării și a vulnerabilității în cauză, măsurile corective sau de atenuare deja adoptate și cele pe care le pot lua utilizatorii și, dacă este cazul, indică gradul de sensibilitate atribuit informațiilor notificate;
- Incident grav: producătorul transmite, fără întârzieri nejustificate și, în orice caz, în termen de 72 de ore de la data la care ia cunoștință de incident, o notificare a incidentului ce va cuprinde informațiile disponibile privind natura incidentului și o evaluare inițială a acestuia, precum și măsurile corective sau de atenuare adoptate și cele pe care le pot lua utilizatorii. Dacă este cazul, producătorul indică și gradul de sensibilitate atribuit informațiilor notificate;
3. Raportul final
- Vulnerabilitate exploatată activ: producătorul transmite raportul final în termen de cel mult 14 zile de la data la care este disponibilă o măsură corectivă sau de atenuare. Acest moment poate interveni înaintea notificării vulnerabilității (i.e. înainte de împlinirea termenului de 72 de ore stabilit pentru transmiterea notificării propriu-zise) sau la un moment ulterior acesteia. Raportul trebuie să descrie vulnerabilitatea, inclusiv gravitatea și impactul acesteia, să includă, dacă sunt disponibile, informații privind actorul rău-intenționat care a exploatat sau exploatează vulnerabilitatea și să prezinte detaliile actualizării de securitate sau ale altor măsuri corective puse la dispoziție pentru a remedia vulnerabilitatea;
- Incident grav: producătorul transmite raportul final în termen de o lună de la transmiterea notificării făcute în termenul de 72 de ore de la luarea la cunoștință. Raportul trebuie să includă o descriere detaliată a incidentului, inclusiv gravitatea și impactul acestuia, tipul de amenințare sau cauza principală care este probabil că a declanșat incidentul, precum și măsurile de atenuare aplicate și cele aflate în curs.
Între aceste etape, se poate solicita producătorului un raport intermediar privind evoluția situației, atât în cazul vulnerabilităților exploatate activ, cât și în cazul incidentelor grave.
V. Momentul de la care curg termenele
Termenele pentru primele două etape curg de la momentul în care producătorul „ia cunoștință” de eveniment. Conform Orientărilor Comisiei Europene[2], acest moment nu reprezintă primul semnal de alarmă, ci încheierea evaluării inițiale prin care se obține un grad rezonabil de certitudine privind existența incidentului sau exploatarea activă a vulnerabilității.
Prelungirea investigației pentru o confirmare absolută nu justifică amânarea notificării și depășirea termenului de 24 de ore. În practică, producătorilor li se recomandă să documenteze intern, în mod riguros, data și ora exactă la care au finalizat această evaluare inițială.
VI. Către cine și prin ce canal se transmit notificările?
Notificările aferente celor trei etape ale raportării – alerta timpurie, notificarea vulnerabilității sau a incidentului și raportul final – se transmit prin intermediul platformei unice de raportare instituită în temeiul art. 16, operată de Agenția Uniunii Europene pentru Securitate Cibernetică („ENISA”), funcțională din data de 11 septembrie 2026. [3] Notificările se transmit utilizând punctul terminal de notificare electronică al echipei naționale de răspuns la incidente de securitate informatică desemnate drept coordonator („CSIRT”) din statul membru în care producătorul își are sediul principal în Uniune și sunt accesibile simultan ENISA.
CSIRT competentă este cea din statul membru în care producătorul își are sediul principal în Uniunea Europeană, mai exact statul membru în care se iau în mod preponderent deciziile privind securitatea cibernetică a produselor sale cu elemente digitale. Dacă un astfel de stat membru nu poate fi stabilit, sediul principal este considerat a fi în statul membru în care producătorul în cauză are sediul cu cel mai mare număr de angajați din Uniune. Pentru producătorii care nu au sediul principal în Uniunea Europeană, art. 14 alin. (7) stabilește o ordine a criteriilor de determinare după cum urmează:
- statul membru în care este stabilit reprezentantul autorizat care acționează în numele producătorului pentru cel mai mare număr de produse cu elemente digitale ale producătorului respectiv;
- statul membru în care este stabilit importatorul care introduce pe piață cel mai mare număr de produse cu elemente digitale ale producătorului respectiv;
- statul membru în care este stabilit distribuitorul care pune la dispoziție pe piață cel mai mare număr de produse cu elemente digitale ale producătorului respectiv;
- statul membru în care se află cel mai mare număr de utilizatori de produse cu elemente digitale ale producătorului respectiv.
Pentru producătorii cu sediul principal în România, CSIRT desemnată drept coordonator este Directoratul Național de Securitate Cibernetică („DNSC”).
VII. Informarea utilizatorilor
Pe lângă notificarea către autorități, art. 14 alin. (8) impune producătorului să informeze utilizatorii afectați și, după caz, pe toți utilizatorii cu privire la vulnerabilitate sau la incident și la măsurile pe care aceștia le pot aplica pentru a atenua impactul vulnerabilității sau al incidentului respectiv, după caz, într-un format structurat și care poate fi citit automat. În lipsa informării în timp util realizate de producător, CSIRT poate furniza ea însăși informațiile utilizatorilor, atunci când acest lucru este proporțional și necesar pentru prevenirea sau atenuarea impactului incidentului sau al vulnerabilității respective.
VIII. Sancțiuni aplicabile potrivit Regulamentului
Art. 64 plasează încălcarea obligațiilor de raportare la pragul cel mai ridicat din Regulament: amenzi administrative de până la 15.000.000 EUR (aproximativ 78.955.000 RON) sau, în cazul întreprinderilor, până la 2,5% din cifra de afaceri anuală totală la nivel mondial înregistrată în exercițiul financiar precedent, luându-se în considerare valoarea cea mai mare dintre acestea.
Prin derogare, microîntreprinderilor și întreprinderilor mici nu li se aplică amenzi administrative pentru nerespectarea termenului de 24 de ore aferent notificării de alertă timpurie. Excepția privește exclusiv depășirea acestui termen și nu înlătură obligația de raportare sau răspunderea pentru nerespectarea celorlalte obligații prevăzute de Regulament.
———————
[1]Regulamentul (UE) 2024/2847 al Parlamentului European și al Consiliului din 23 octombrie 2024 privind cerințele orizontale în materie de securitate cibernetică pentru produsele cu elemente digitale și de modificare a Regulamentelor (UE) nr. 168/2013 și (UE) 2019/1020, precum și a Directivei (UE) 2020/1828 (Regulamentul privind reziliența cibernetică) este disponibil la: https://eur-lex.europa.eu/legal-content/RO/TXT/?uri=CELEX:32024R2847.
[2]Orientările Comisiei Europene privind punerea în aplicare a Regulamentului, punctul 213, accesibile la: https://digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation.
[3]Platforma unică de raportare, operată de ENISA, este accesibilă la următoarea adresă: https://portal.cra-srp.enisa.europa.eu/.
