Cyber Resilience Act: raportarea se aplică, restul în 2027

Publicat 19 octombrie 2026 · De Dazr

Din 11 septembrie 2026 producătorii raportează vulnerabilitățile exploatate și incidentele grave pe platforma ENISA. CRA integral din decembrie 2027.

Cyber Resilience Act (Regulamentul (UE) 2024/2847) stabilește cerințe de securitate pentru hardware-ul și software-ul vândute în UE. Prima sa obligație cu greutate reală se aplică acum, iar cerințele principale urmează peste puțin mai mult de un an.

Ce se aplică din 11 septembrie 2026

Producătorii de produse cu elemente digitale trebuie să raporteze două tipuri de evenimente prin platforma unică de raportare a ENISA, lansată la 11 septembrie 2026:

Vulnerabilități exploatate activ în produsele lor: o avertizare timpurie în 24 de ore de la momentul în care au aflat, o notificare în 72 de ore și un raport final în 14 zile după ce este disponibilă o măsură corectivă sau de atenuare.
Incidente grave care afectează securitatea produselor lor: o avertizare timpurie în 24 de ore, o notificare în 72 de ore și un raport final în termen de o lună de la notificare.

Raportul ajunge la CSIRT-ul statului membru al producătorului, care are rol de coordonator, și în același timp la ENISA. Producătorul trebuie să informeze și utilizatorii produsului, la nevoie cu măsurile pe care le pot lua.

Obligațiile se aplică și produselor deja introduse pe piață, nu doar celor noi (articolul 69 alineatul (3)). Sunt vizați și producătorii micro și mici, care însă nu pot fi amendați doar pentru că au ratat avertizarea timpurie de 24 de ore.

Ce urmează

11 decembrie 2027: CRA se aplică integral: securitate din faza de proiectare, gestionarea vulnerabilităților pe durata perioadei de asistență, documentație tehnică, evaluarea conformității și marcajul CE. De la aceeași dată încep și obligațiile de raportare ale administratorilor de software open source (open-source stewards).
Din 11 iunie 2026 se aplică regulile privind notificarea organismelor de evaluare a conformității, pentru ca organismele notificate să fie pregătite înainte de 2027.

Ce puteți face acum

Stabiliți cine din organizație poate raporta în 24 de ore, inclusiv în weekend, și testați accesul la platformă.
Păstrați o singură înregistrare pentru fiecare eveniment, cu momentul în care ați aflat, pentru că toate termenele curg de atunci.
Pregătiți un text-model scurt pentru informarea utilizatorilor.
Folosiți timpul până în decembrie 2027 pentru cerințele de proiectare și documentare: un inventar al produselor vizate, o listă a componentelor software (SBOM) și un proces de gestionare a vulnerabilităților.

Articolul 14 în detaliu în ghidul nostru: raportarea în Cyber Resilience Act.

Surse

Doar cu titlu informativ, nu constituie consultanță juridică. Ultima actualizare: 19 octombrie 2026.

Subiecte: Cyber Resilience Act, ENISA, UE

Disponibil și în: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål