Producătorii de software și de echipamente conectate vor intra sub un regim strict de monitorizare și raportare a incidentelor de securitate. Conform noilor reguli privind reziliența cibernetică, aceștia vor avea la dispoziție maximum 24 de ore pentru a alerta autoritățile de când află despre o vulnerabilitate exploatată activ sau un incident grav. Această obligație va fi în vigoare începând cu data de 11 septembrie 2026, prin intermediul unei platforme gestionate de ENISA.
Procesul de raportare este structurat în etape precise pentru a asigura viteza de reacție. După prima alertă, producătorii trebuie să transmită o notificare mai detaliată în termen de 72 de ore de la momentul luării la cunoștință. Pentru vulnerabilitățile care au fost exploatate, raportul final trebuie trimis în maximum 14 zile de la disponibilitatea unei măsuri de atenuare. În cazul incidentelor grave, termenul pentru raportul final este de o lună de la notificarea inițială.
Notificările vor fi transmise către echipa națională de răspuns la incidente de securitate cibernetică, cunoscută sub numele de CSIRT. În mod obișnuit, echipa competentă este cea din statul unde producătorul are sediul principal în Uniunea Europeană, în timp ce ENISA primește informațiile în mod simultan. Platforma permite raportarea chiar și atunci când analiza tehnică este încă în curs de desfășurare, oferind detalii despre produs și versiunea afectată.
Regulamentul vizează produsele hardware și software care permit o conexiune de date, directă sau indirectă, cu un dispozitiv sau o rețea. O vulnerabilitate exploatată presupune existența dovedilor că un actor rău-intenționat a folosit eroarea fără permisiunea proprietarului. Obligația de raportare include și produsele care au fost deja introduse pe piața europeană înainte de data de 11 decembrie 2027, fără a impune raportarea retroactivă a unor erori deja cunoscute.
Pe lângă notificarea autorităților, producătorii au obligația de a informa utilizatorii despre incident și de a le oferi măsuri pentru reducerea impactului. Dacă informațiile nu sunt transmise la timp, echipele CSIRT pot interveni pentru a difuza informațiile către utilizatori, dacă acest lucru este necesar pentru limitarea riscurilor. Această măsură este luată atunci când intervenția este considerată proporțională și necesară pentru siguranța utilizatorilor afectați.
Regulamentul privind reziliența cibernetică face parte dintr-un cadru de securitate digitală tot mai riguros în Uniunea Europeană. Acesta pune accent pe protejarea infrastructurii critice și a datelor prin standardizarea modului în care companiile de tehnologie interacționează cu autoritățile de reglementare. Obiectivul principal este de a reduce timpul de răspuns în fața atacurilor cibernetice care pot afecta funcțiile sensibile ale produselor digitale.