Regulamentul Cyber Resilience Act (CRA) stabilește un nou cadru juridic la nivelul Uniunii Europene pentru securitatea produselor cu elemente digitale. Deși aplicarea generală a acestui regulament este programată pentru 11 decembrie 2027, anumite obligații specifice vor intra în vigoare mult mai devreme, pe 11 septembrie 2026. Acest nou set de reguli vizează companiile care dezvoltă sau comercializează produse software sau hardware care au o conexiune de date la un dispozitiv sau la o rețea.
Definiția produsului cu elemente digitale cuprinde o gamă largă de tehnologii, de la aplicații și sistime de operare, până la soluții de tip cloud și dispozitive IoT. Regulamentul CRA clasifică aceste produse în trei categorii de risc: o categorie generală, produse importante, precum browserele, routerele sau jucăriile conectate la internet, și produse critice, cum sunt dispozitivele pentru procesarea criptografică. Cu cât nivelul de risc este mai ridicat, cu atât procedurile de evaluare a conformității sunt mai riguroase și implică organisme terțe.
O schimbare majoră survine în ceea ce privește obligația de raportare a vulnerabilităților și a incidentelor grave, care devine obligatorie de la 11 septembrie 2026. În cazul unei vulnerabilități exploatate activ, producătorul trebuie să trimită o alertă timpurie în maximum 24 de ore către două entități: echipa națională de răspuns la incidente (CSIRT) și Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA). Ulterior, în 72 de ore, trebuie transmisă o notificare detaliată, iar un raport final trebuie prezentat în cel mult 14 zile de la remediere.
Diferența dintre o vulnerabilitate și un incident grav este esențială pentru companii. O vulnerabilitate reprezintă o slăbiciune care a fost exploatată, în timp ce un incident grav implică consecințe concrete, precum afectarea integrității datelor sau introducerea unui cod dăunător. Pentru incidentele grave, termenele de raportare sunt similare: o alertă în 24 de ore, o notificare în 72 de ore și un raport final într-o lună. Aceste obligații de raportare se aplică și produselor care se află deja pe piață.
Securitatea cibernetică va deveni o responsabilitate continuă pe tot parcursul ciclului de viață al produsului. Producătorii trebuie să asigure o configurație securizată implicită și să gestioneze vulnerabilitățile pe întreaga perioadă de asistență, care este de cel puțin cinci ani. În plus, fiecare actualizare de securitate emisă trebuie să rămână accesibilă utilizatorilor pentru cel puțin 10 ani de la publicarea sa, pentru a permite descărcarea și instalarea ulterioară a actualizărilor necesare.
Implementarea acestui regulament european se încadrează într-un context de transformare a reglementărilor tehnologice în Uniune. În timp ce structurile juridice precum CRA vin să reglementeze securitatea digitală, alte inițiative europene vizează consolidarea industriei de pe continent. Această abordare este parte din eforturile de a asigura un cadru de reglementare unitar, protejând atât infrastructura digitală, cât și utilizatorii finali de riscurile tot mai prezente în mediul online.