Un incident cibernetic care afectează un echipament conectat sau un produs software și compromite datele personale poate genera o serie complexă de obligații de raportare. În funcție de tipul de produs, de organizațiile implicate și de gravitatea evenimentului, acesta poate intra sub incidența reglementărilor Cyber Resilience Act (CRA), GDPR, NIS 2 sau DORA. Fiecare dintre aceste cadre juridice impune termene specifice și comunicarea către autorități diferite, iar responsabilitatea poate reveni fie producătorului produsului vulnerabil, fie organizațiilor care utilizează acesta.
Regulamentul (UE) 2024/2847, cunoscut sub numele de CRA, introduce noi obligații pentru producătorii de software și echipamente conectate, inclusiv sisteme de operare, aplicații, routere sau camere de supraveghere. De la 11 septembrie 2026, aceștia trebuie să raporteze vulnerabilitățile exploatate activ și incidentele grave prin intermediul platformei Single Reporting Platform, operată de ENISA. Notificarea este transmisă simultan către ENISA și către echipa de răspuns la incidente (CSIRT) desemnată, care coordonează comunicarea către celelalte state membre.
Procesul de raportare conform CRA este structurat în trei etape obligatorii pentru a asigura monitorizarea incidentelor. Prima etapă, avertizarea timpurie, trebuie realizată în maximum 24 de ore de la cunoașterea vulnerabilității sau a incidentului. Urmează notificarea detaliată, care trebuie trimisă în termen de 72 de ore, incluzând natura exploatării și măsurile luate. Etapa finală presupune transmiterea unui raport complet în termen de 14 zile pentru vulnerabilități sau într-o lună pentru incidente, după aplicarea măsurilor corective.
Există o suprapunere semnificativă între regimurile de raportare, ceea ce impune decizii rapide în primele ore ale unui atac. În timp ce GDPR impune notificarea autorității ANSPDCP în 72 de ore pentru breșele de date, NIS 2 solicită o avertizare timpurie în 24 de ore pentru incidente semnificative. Sectorul financiar este supus regulamentului DORA, care este și mai strict, cerând notificarea inițială în maximum 4 ore de la clasificarea incidentului ca major și nu mai târziu de 24 de ore de la aflarea acestuia.
Pregătirea organizațiilor pentru aceste scenarii rămâne o provocare majoră în contextul noilor reglementări europene. Conform studiului PwC Global Digital Trust Insights 2027, realizat pe un eșantion de 3.934 de lideri din 71 de țări, doar 39% dintre responsabilii de securitate și risc afirmă că organizația lor dispune de un plan de continuitate operațională complet formalizat. Totuși, aproximativ 49% dintre companii fac deja ajustări în procedurile de management al crizelor și în asigurările cibernetice pentru a răspunde mai bine amenințărilor geopolitice.
Evoluția cadrelui de reglementare european în domeniul securității digitale marchează o tranziție către standarde de conformitate mult mai riguroase pentru producătorii de tehnologie. Până la 11 decembrie 2026, statele membre trebuie să asigure existența unor organisme notificate capabile să evalueze conformitatea produselor. Implementarea integrală a CRA va avea loc la 11 decembrie 2027, moment în care produsele cu elemente digitale vor trebui să respecte cerințele de securitate și să poarte marcajul CE pentru a fi introduse pe piață.