Un incident cibernetic care afectează un produs software sau un echipament conectat și compromite date personale poate genera mai multe obligații de raportare. În funcție de produs, de organizațiile implicate și de gravitatea incidentului, acesta poate intra sub incidența Cyber Resilience Act (CRA), GDPR și NIS 2 sau, pentru entitățile din sectorul financiar, DORA – fiecare cu propriile termene și autorități competente. Obligațiile pot reveni unor actori diferiți: producătorului produsului vulnerabil și organizațiilor care îl folosesc. De la 11 septembrie 2026, odată cu aplicarea obligațiilor de raportare prevăzute de CRA, s-a adăugat un nou set de notificări.
Într-un asemenea scenariu, primele ore nu se câștigă prin viteză, ci prin pregătire. Organizațiile care au stabilit dinainte cine califică incidentul, pe ce criterii și în ce ordine se notifică autoritățile pot face față tuturor termenelor.
CRA, Regulamentul (UE) 2024/2847, obligă producătorii de software și de echipamente conectate – de la sisteme de operare și aplicații până la routere, camere de supraveghere sau electrocasnice inteligente – să raporteze vulnerabilitățile exploatate activ și incidentele grave care afectează securitatea produselor lor, indiferent de unde provine informația. Fac excepție categoriile reglementate separat, precum dispozitivele medicale sau autovehiculele.
Raportarea se face printr-o platformă unică la nivel european, Single Reporting Platform, operată de Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA) și lansată pe 11 septembrie. Notificarea ajunge simultan la ENISA și la echipa de răspuns la incidente de securitate cibernetică (CSIRT) desemnată drept coordonator – de regulă, cea din statul membru în care producătorul își are sediul principal –, care o transmite apoi CSIRT-urilor din celelalte state membre în care produsul este disponibil.
24 de ore pentru prima notificare
Pentru vulnerabilitățile exploatate activ și pentru incidentele grave, CRA prevede trei etape de raportare:
- avertizare timpurie – în cel mult 24 de ore de la luarea la cunoștință, cu statele membre în care produsul a fost pus la dispoziție și, pentru incidente, eventuala suspiciune de acțiuni ilicite sau rău intenționate;
- notificare – în cel mult 72 de ore, cu detalii despre produs, natura exploatării sau a incidentului și măsurile luate, inclusiv cele pe care le pot aplica utilizatorii;
- raport final – în cel mult 14 zile de la punerea la dispoziție a unei măsuri corective sau de atenuare, pentru vulnerabilități, respectiv în termen de o lună de la notificarea de 72 de ore, pentru incidente.
Obligațiile vizează și produsele introduse pe piață înainte de 11 decembrie 2027, însă, potrivit Comisiei Europene, nu și exploatările de care producătorii aflaseră înainte de 11 septembrie 2026. Pentru administratorii de software open source, raportarea devine obligatorie de la 11 decembrie 2027.
Unde se suprapun regimurile
O breșă de securitate care afectează date cu caracter personal trebuie notificată de operatorul datelor autorității de supraveghere – în România, ANSPDCP – fără întârzieri nejustificate și, de regulă, în cel mult 72 de ore, cu excepția cazului în care este puțin probabil să genereze un risc pentru persoanele vizate. Dacă entitatea afectată intră sub incidența NIS 2 sau, în sectorul financiar, sub DORA, se adaugă alte notificări. Și pragurile diferă: CRA vizează incidentele „grave”, NIS 2 pe cele „semnificative”, iar DORA pe cele „majore”.
Iar termenul de 24 de ore din CRA nu este nici măcar cel mai strâns. NIS 2 cere și el o avertizare timpurie în cel mult 24 de ore pentru incidentele semnificative, însă DORA merge mai departe: entitățile financiare trebuie să transmită notificarea inițială în cel mult 4 ore de la clasificarea incidentului ca major și nu mai târziu de 24 de ore de la momentul în care au aflat de el.
Consecința practică este că deciziile trebuie luate în primele ore, când informația despre incident este încă incompletă. De aceea, este nevoie de o abordare integrată: calificarea timpurie a evenimentului (ce obligații se declanșează și sub ce regim), un răspuns inițial coordonat între echipele de securitate IT, protecția datelor, conformitate și juridic, documentarea unitară a incidentelor și a măsurilor luate, pentru a evita redundanțele, precum și revizuirea periodică a procedurilor, pe măsură ce cadrul de reglementare evoluează.
Pregătirea nu ține pasul
Datele arată că multe organizații au încă de lucru la pregătirea pentru incidente. Potrivit studiului PwC Global Digital Trust Insights 2027, realizat pe un eșantion de 3.934 de lideri din business și tehnologie din 71 de țări și teritorii, doar 39% dintre responsabilii de securitate, risc și operațiuni spun că organizația lor are un plan de continuitate operațională complet formalizat și integrat, care tratează explicit riscurile cibernetice. Există însă și semne de ajustare: aproape jumătate (49%) fac modificări în asigurările cibernetice, în procedurile de răspuns la incidente și în managementul crizelor, pentru a face față amenințărilor geopolitice.
Între timp, calendarul CRA continuă. Până la 11 decembrie 2026, statele membre trebuie să depună eforturi pentru ca în Uniune să existe suficiente organisme notificate care să evalueze conformitatea produselor. De la 11 decembrie 2027, regulamentul se aplică integral: produsele cu elemente digitale introduse pe piață vor trebui să respecte cerințele esențiale de securitate cibernetică, iar producătorii vor trebui să evalueze riscurile, să întocmească documentația tehnică, să parcurgă procedura de evaluare a conformității și să aplice marcajul CE.
