De vineri, 11 septembrie 2026, devine aplicabilă prima tranșă de obligații din Regulamentul (UE) 2024/2847, cunoscut în piață drept Cyber Resilience Act (CRA). Actul a intrat în vigoare pe 10 decembrie 2024, însă aplicarea lui a fost eșalonată pe trei ani, iar termenul care se împlinește acum este cel mai vizibil în activitatea de zi cu zi: raportarea, în maximum 24 de ore, a vulnerabilităților exploatate activ și a incidentelor grave de securitate care afectează produse cu elemente digitale puse pe piața europeană.
Pentru companiile din România care scriu software, asamblează echipamente conectate, importă dispozitive din Asia sau le vând sub marcă proprie, schimbarea nu este una declarativă. Ea pornește un cronometru din momentul în care firma ia cunoștință de problemă, iar cronometrul nu se oprește în weekend și nici în perioada concediilor.
Ce intră efectiv în aplicare pe 11 septembrie 2026
Articolul 14 din regulament introduce un mecanism de raportare în trei trepte, cu termene fixe. Nu este vorba despre orice defect de securitate, ci despre două categorii clar delimitate: vulnerabilitățile pentru care există dovezi credibile că sunt deja exploatate de atacatori și incidentele grave care afectează securitatea produsului.
- 24 de ore de la momentul luării la cunoștință: o avertizare timpurie, cu date minime — ce produs este afectat și, dacă se cunoaște, statul membru unde a fost identificată exploatarea.
- 72 de ore: notificarea propriu-zisă, cu informații generale despre natura vulnerabilității sau a incidentului, o evaluare a impactului și, dacă există, măsurile corective ori de atenuare disponibile.
- 14 zile pentru raportul final în cazul unei vulnerabilități exploatate activ, respectiv o lună pentru un incident grav — cu descrierea problemei, a modului de exploatare și a remedierii aplicate.
Destinatarii nu sunt la alegere. Raportul merge simultan către CSIRT-ul desemnat drept coordonator și către ENISA, printr-o platformă unică de raportare operată la nivel european. În paralel, fabricantul are obligația de a informa utilizatorii afectați și, acolo unde este cazul, de a le indica măsurile pe care le pot lua singuri până la publicarea unei corecții.
Cine este vizat: de la routere la aplicații mobile
Sfera de aplicare este mai largă decât sugerează numele. „Produs cu elemente digitale” înseamnă orice produs software sau hardware, împreună cu soluțiile de prelucrare a datelor la distanță aferente, care se conectează direct sau indirect la un alt dispozitiv ori la o rețea. Practic, în categorie intră routere și modemuri, camere IP, termostate inteligente, sisteme de alarmă, brățări fitness și terminale de plată, dar și sisteme de operare, aplicații mobile, firmware și biblioteci software comercializate separat.
Obligațiile se distribuie de-a lungul lanțului: fabricantul poartă greul, însă importatorii și distribuitorii au propriile îndatoriri de verificare. Detaliul care surprinde multe firme românești este că un distribuitor care pune un produs pe piață sub marcă proprie — practică obișnuită la echipamentele aduse din Asia și rebranduite — devine, juridic, fabricant.
Există și excepții. Software-ul liber și open-source dezvoltat în afara unei activități comerciale rămâne neatins, iar regulamentul creează un rol nou, cel de administrator de software open-source, cu obligații mult mai ușoare. Produsele acoperite deja de legislație sectorială — dispozitive medicale, componente auto, echipamente de aviație — sunt excluse.
Calendarul complet, până în decembrie 2027
Aplicarea eșalonată este ușor de pierdut din vedere, mai ales că cele mai grele cerințe vin ultimele. Reperele sunt următoarele:
- 10 decembrie 2024 — intrarea în vigoare a regulamentului;
- 11 iunie 2026 — devin aplicabile regulile privind notificarea organismelor de evaluare a conformității, pentru ca infrastructura de certificare să fie pregătită la timp;
- 11 septembrie 2026 — obligațiile de raportare a vulnerabilităților exploatate activ și a incidentelor grave;
- 11 decembrie 2027 — aplicarea integrală: cerințe esențiale de securitate, documentație tehnică, evaluare a conformității, marcaj CE, perioadă de suport declarată.
Un punct sensibil rămâne setul de standarde armonizate elaborate de CEN și CENELEC, care ar urma să ofere prezumția de conformitate. Întârzierile de aici ar împinge multe firme spre evaluări mai costisitoare, prin organisme notificate, în locul autoevaluării.
Ce se schimbă pentru cumpărători și pentru piața second-hand
Din decembrie 2027, marcajul CE — familiar de pe electrocasnice — va apărea și pe produse pur software. Efectul practic pentru cumpărător este însă altul: fabricantul va trebui să declare o perioadă de suport de cel puțin cinci ani, sau egală cu durata de viață preconizată a produsului dacă aceasta este mai scurtă, și să livreze actualizări de securitate în acest interval. Pentru produsele destinate consumatorilor, actualizările automate devin regula implicită, cu posibilitatea de dezactivare.
Regulamentul nu atinge, în schimb, tranzacțiile dintre persoane fizice. Un telefon, un router sau o cameră de supraveghere vândute de un particular altui particular nu reprezintă o punere pe piață în cadrul unei activități comerciale, deci nu vin cu obligații de suport sau de raportare. Pe platformele de anunțuri rămân valabile aceleași reguli de precauție ca până acum, iar un ghid despre cum eviți escrocheriile la vânzările online între persoane este în continuare mai util decât orice marcaj de pe cutie. Un dispozitiv ieșit din suport, cumpărat la mâna a doua, rămâne un dispozitiv vulnerabil, indiferent ce reguli respectă producătorul pentru modelele noi.
Costuri orientative pentru o firmă din România în 2026
Efortul depinde masiv de tipul produsului, dar câteva ordine de mărime observate în piața locală ajută la construirea unui buget. Cifrele de mai jos sunt orientative, la nivelul anului 2026, și nu includ costul remedierii propriu-zise a defectelor descoperite.
- Politică de divulgare coordonată a vulnerabilităților, fișier security.txt și procedură internă de triaj: 3.000–8.000 de lei, efort unic, în principal juridic și de proces.
- Generarea automată a listei de componente software în lanțul de build: instrumentele open-source sunt gratuite; licențele comerciale de analiză a componentelor terțe pornesc de la 30–90 de euro pe dezvoltator pe lună, adică 4.000–11.000 de euro pe an pentru o echipă de zece oameni.
- Test de penetrare pe firmware, pentru un dispozitiv conectat: 8.000–25.000 de euro, în funcție de complexitate. Pentru o aplicație web sau mobilă, intervalul uzual este 4.000–12.000 de euro.
- Documentație tehnică și analiză de risc pentru primul produs: 25–60 de zile-om, ceea ce, la un cost intern de 800–1.500 de lei pe zi, înseamnă 20.000–90.000 de lei.
- Capacitatea de a răspunde în 24 de ore: fie o rotație internă de gardă, cu sporuri de 1.500–3.000 de lei lunar pe persoană, fie un contract de monitorizare externalizată, de la circa 1.500 de euro pe lună pentru firmele mici.
- Menținerea suportului timp de cinci ani: un cost recurent estimat, în practica dezvoltatorilor, la 10–20% anual din efortul inițial de dezvoltare.
Tehnologiile care devin standard de facto
Regulamentul nu impune tehnologii anume, dar cerințele lui împing piața în direcții previzibile. Prima este lista de componente software, cunoscută ca SBOM, în formate precum CycloneDX sau SPDX, obligatorie cel puțin pentru dependențele de nivel superior. A doua este documentul VEX, prin care producătorul declară dacă o vulnerabilitate cunoscută dintr-o componentă este sau nu exploatabilă în produsul său; fără el, orice scanare automată generează sute de alerte irelevante și blochează echipele în triaj.
În paralel, semnarea criptografică a actualizărilor și a artefactelor de build a devenit practică uzuală, iar migrarea componentelor critice către limbaje cu gestiune sigură a memoriei este argumentată tot mai des în fața auditorilor. Un element de infrastructură apărut recent este baza europeană de date privind vulnerabilitățile, lansată de ENISA în mai 2025, care oferă o sursă publică suplimentară față de sistemul CVE — utilă mai ales după incertitudinea privind finanțarea acestuia, din primăvara lui 2025.
Amenzi, autorități și zonele încă neclare
Sancțiunile sunt calibrate pe trei paliere: până la 15 milioane de euro sau 2,5% din cifra de afaceri mondială anuală pentru încălcarea cerințelor esențiale de securitate și a obligațiilor de raportare, până la 10 milioane de euro sau 2% pentru celelalte obligații și până la 5 milioane de euro sau 1% pentru informații incorecte furnizate autorităților. Se aplică valoarea mai mare dintre sumă și procent.
În România, Directoratul Național de Securitate Cibernetică este CSIRT-ul național și candidatul natural pentru rolul de coordonator, însă desemnarea formală, ca și stabilirea autorității de supraveghere a pieței, se fac prin legislație națională de punere în aplicare. Este un detaliu de verificat înainte de finalizarea procedurilor interne, pentru că el determină cui se trimite efectiv avertizarea de 24 de ore.
Rămâne, în plan practic, problema suprapunerii obligațiilor. O companie care intră și sub incidența legislației care transpune Directiva NIS2 poate ajunge ca, pentru același eveniment, să raporteze în paralel către CSIRT-ul coordonator, către autoritatea competentă din regimul NIS2 și, dacă sunt afectate date cu caracter personal, către Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, în termenul separat de 72 de ore. Cea mai utilă măsură pentru lunile următoare nu este achiziția unui instrument, ci o singură procedură care acoperă toate cele trei fluxuri, cu roluri numite și cu un canal de contact funcțional în afara programului de lucru.
