Semnal de alarmă pentru produsele digitale. Noua regulă se aplică de vineri

Produsele hardware și software sunt tot mai expuse atacurilor cibernetice, pe măsură ce tehnologiile digitale devin parte din viața de zi cu zi. De la monitoare pentru bebeluși și ceasuri inteligente până la aplicații și programe de calculator, numeroase produse utilizate de consumatori și întreprinderi includ componente digitale.

Dispozitivele conectate intră sub reguli mai stricte. Schimbarea începe de astăzi

Legea privind reziliența cibernetică (CRA) introduce reguli menite să consolideze securitatea acestor produse și să ofere o protecție mai bună împotriva amenințărilor cibernetice. Mai exact, începând cu 11 septembrie 2026, producătorii au obligația de a raporta vulnerabilitățile exploatate activ și incidentele severe care afectează securitatea produselor lor.

Prima notificare, o avertizare timpurie, trebuie transmisă în cel mult 24 de ore de la momentul în care producătorul află despre situație. Aceasta trebuie urmată de o notificare completă, care trebuie transmisă în termen de 72 de ore.

Pentru vulnerabilitățile exploatate activ, raportul final trebuie transmis în cel mult 14 zile de la data la care este disponibilă o măsură corectivă sau de atenuare. În cazul unui incident sever, termenul pentru raportul final este de cel mult o lună. Noile obligații stabilesc astfel o succesiune precisă de notificări și raportări pentru situațiile care pot afecta securitatea produselor digitale, transmite commission.europa.eu

Notificări mai rapide pentru utilizatorii produselor conectate

Pentru utilizatori, noile cerințe de raportare înseamnă acces la informații mai rapide în situațiile în care produsele conectate sunt afectate de probleme de securitate. Printre dispozitivele vizate se numără și sisteme precum cele de închidere a ușilor, care pot avea un rol în securitatea locuințelor. Notificarea rapidă a vulnerabilităților și incidentelor urmărește să contribuie la o protecție mai puternică a acestor dispozitive în cazul unui atac cibernetic.

Obligațiile de raportare se aplică tuturor produselor cu elemente digitale puse la dispoziție în Uniunea Europeană. Regulile vizează inclusiv produsele care se află deja pe piață, astfel încât cerințele nu se limitează doar la dispozitivele și programele lansate după intrarea în vigoare a acestor obligații.

Producătorii trebuie să transmită notificările prin Platforma unică de raportare a agențiilor de rating de credit. Platforma este înființată și gestionată de Agenția Uniunii Europene pentru Securitate Cibernetică. Prin utilizarea unei platforme comune, notificările privind vulnerabilitățile exploatate activ și incidentele severe sunt transmise autorităților responsabile.

Comisia Europeană a publicat, de asemenea, îndrumări practice destinate producătorilor, dezvoltatorilor și întreprinderilor, pentru a-i ajuta să își îndeplinească obligațiile prevăzute de noile norme. Aplicarea regulilor va fi urmărită de autoritățile naționale de supraveghere a pieței, care vor avea responsabilitatea de a asigura respectarea cerințelor.

Cerințe pentru proiectarea și întreținerea produselor

Legea privind reziliența cibernetică se bazează pe strategia UE în materie de securitate cibernetică și pe strategia UE privind uniunea securității. Noile reguli fac parte din abordarea Uniunii Europene privind consolidarea securității cibernetice și stabilesc cerințe pentru produsele care includ elemente digitale.

Potrivit noilor norme, produsele cu elemente digitale trebuie să fie proiectate astfel încât să protejeze utilizatorii de riscurile de securitate. Cerințele nu se referă doar la etapa de proiectare, ci și la actualizarea și întreținerea produselor, astfel încât protecția împotriva riscurilor de securitate să fie menținută.

Marcajul CE va permite utilizatorilor să identifice produsele care respectă cerințele stabilite de autoritățile de rating de credit. Acesta reprezintă un element prin care produsele conforme cu cerințele aplicabile pot fi recunoscute.

Calendarul de aplicare a Legii privind reziliența cibernetică prevede două momente importante. Obligațiile de raportare privind vulnerabilitățile exploatate activ și incidentele severe se aplică începând cu 11 septembrie 2026, iar principalele obligații introduse de lege vor deveni aplicabile de la 11 decembrie 2027.