Publicat pe 1 septembrie 2026 · Echipa mitza.es
Regulamentul (UE) 2024/2847, cunoscut drept Cyber Resilience Act sau Regulamentul privind reziliența cibernetică, a intrat în vigoare pe 10 decembrie 2024, cu o perioadă de tranziție de 36 de luni înainte ca majoritatea obligațiilor să devină pe deplin aplicabile. Această perioadă de tranziție nu înseamnă că nu se întâmplă nimic până la final: activează obligații concrete pe faze, iar următoarea fază cade pe 11 septembrie 2026, când devine obligatorie notificarea vulnerabilităților și a incidentelor de securitate.
Ce se întâmplă exact pe 11 septembrie 2026
Începând cu această dată, producătorii de produse cu elemente digitale au obligația de a notifica autoritățile competente cu privire la orice vulnerabilitate exploatată activ și la orice incident grav care afectează produsele lor. Această obligație nu se aplică doar produselor lansate după septembrie: se aplică și produselor deja aflate pe piață. Este data care confirmă că CRA nu mai este o normă "pentru mai târziu", ci o obligație operațională activă.
Este a doua etapă relevantă din calendarul regulamentului. Prima, pe 11 iunie 2026, a activat obligațiile pentru organismele de evaluare a conformității. Următoarea dată majoră, 11 decembrie 2027, va marca conformitatea deplină: de atunci, niciun produs cu elemente digitale nu va putea fi comercializat în UE fără marcaj CE conform cu CRA.
Cine este cu adevărat afectat (și de ce nu este doar despre "cei mari")
Regulamentul se adresează producătorilor, importatorilor și distribuitorilor de produse cu elemente digitale care se conectează, direct sau indirect, la un alt dispozitiv sau la o rețea. Aceasta include dispozitive IoT, aplicații și produse software, precum și sisteme industriale conectate. E ușor să citești "producător" și să te gândești la o multinațională de hardware, dar sfera reală de aplicare este mult mai largă: orice companie care dezvoltă sau distribuie o aplicație, un serviciu SaaS, un dispozitiv conectat sau un sistem cu componente software intră sub incidența regulamentului, inclusiv multe IMM-uri care nu s-au gândit niciodată la ele însele ca la "producători de tehnologie".
Dacă firma ta dezvoltă software care se vinde sau se distribuie, sau produce ori comercializează hardware conectat (de la o cameră IP până la un sistem de gestiune pentru un anumit sector), este momentul să verifici unde te situezi în acest lanț și ce obligații îți corespund rolului tău.
Termenul de notificare: 24 de ore, apoi 72 de ore
CRA stabilește o schemă de notificare pe etape, cu termene foarte strânse:
- Notificare inițială în 24 de ore de la momentul în care producătorul ia cunoștință de o vulnerabilitate exploatată activ sau de un incident sever care afectează produsul său.
- Notificare completă în 72 de ore, cu o descriere detaliată a incidentului sau a vulnerabilității, metoda de exploatare, măsurile corective deja aplicate și recomandările pentru utilizatorii afectați.
Respectarea acestor termene presupune să ai deja implementat, înainte ca incidentul să aibă loc, un proces intern de detectare și escaladare. Improvizarea unui protocol de notificare în primele 24 de ore ale unei vulnerabilități active este cel mai prost moment pentru a începe să îl definești.
Obligațiile de fond ale CRA, dincolo de septembrie
Notificarea incidentelor este doar o piesă. Regulamentul cere, în mod continuu pe parcursul ciclului de viață al produsului:
- Securitate încă din faza de proiectare ("security by design"), de la dezvoltare până la retragerea produsului.
- Gestionarea vulnerabilităților pe tot parcursul ciclului de viață al produsului, nu doar la lansare.
- Documentarea evaluării riscurilor, păstrată minimum 10 ani.
- Implementarea actualizărilor de securitate atunci când se detectează vulnerabilități.
- Respectarea termenelor de notificare de 24 și 72 de ore descrise mai sus.
CRA și NIS2: regulamente complementare, nu identice
E ușor să confunzi CRA cu NIS2, dar cele două reglementează lucruri diferite și complementare. NIS2 obligă organizațiile să gestioneze riscul de securitate cibernetică al propriilor sisteme și procese: analiza de risc, gestionarea incidentelor, continuitatea afacerii. CRA, în schimb, reglementează securitatea produsului în sine: software-ul sau dispozitivul fabricat, vândut sau distribuit trebuie să respecte cerințe minime de securitate, iar producătorul său trebuie să gestioneze vulnerabilitățile apărute după vânzare. O companie poate fi supusă ambelor în același timp: ca organizație (NIS2) și ca producător sau distribuitor al unui produs conectat (CRA).
La fel ca în cazul NIS2, CRA este un regulament european de aplicare directă: nu are nevoie de o lege spaniolă specifică de transpunere pentru ca obligațiile să existe și să devină executorii la datele stabilite chiar în text.
De unde să începi dacă nu ești sigur că te afectează
- Identifică dacă firma ta dezvoltă, produce, importă sau distribuie vreun produs conectat: software, o aplicație, un serviciu SaaS, un dispozitiv IoT sau un sistem conectat.
- Verifică dacă ai deja un canal și un proces intern pentru a detecta și escalada vulnerabilitățile din produsele tale.
- Evaluează dacă ai putea respecta termenul de notificare inițială de 24 de ore dacă astăzi ar fi detectată o vulnerabilitate activă.
- Începe să documentezi evaluarea riscurilor produselor tale, ținând cont de obligația de a o păstra 10 ani.
- Dacă gestionezi și date și procese interne supuse NIS2, analizează ambele cadre împreună: au multe în comun din punctul de vedere al logicii de gestionare a riscului.
Reducerea riscului cât timp te aliniezi
Conformarea cu CRA nu este doar un exercițiu de birocrație: presupune procese reale de detectare și răspuns, care te protejează și împotriva unor incidente precum ransomware, tot mai frecvente împotriva companiilor de orice dimensiune din Spania. Dacă vrei să acoperi și impactul financiar al unui incident în timp ce îți finalizezi adaptarea proceselor, merită să verifici cât costă astăzi o asigurare cibernetică pentru IMM-uri. Iar dacă nu știi de unde să începi evaluarea produselor și proceselor tale, un audit personalizat îți oferă un punct de plecare clar înainte ca termenele de notificare să devină o problemă reală.
Vezi toate termenele în calendarul nostru de obligații digitale pentru IMM-uri.