Ghiduri
Cyber Resilience Act: din 11 septembrie 2026 raportezi în 24 de ore. Cine intră sub incidență, inclusiv agenții web și firme de software
Pe 11 septembrie 2026 intră în aplicare obligațiile de raportare din Cyber Resilience Act: 24 de ore pentru o vulnerabilitate exploatată activ. Mulți cred că îi privește doar pe producătorii de dispozitive. Îi privește și pe cei care vând software în UE, inclusiv pluginuri și aplicații.
Pe 11 septembrie 2026 intră în aplicare o obligație despre care majoritatea firmelor mici din România nu au auzit: dacă pui pe piața europeană un produs cu elemente digitale și afli că o vulnerabilitate din el este exploatată activ, ai 24 de ore să anunți autoritățile. Nu 24 de ore ca să o repari, ci ca să o raportezi. Mulți antreprenori cred că Cyber Resilience Act îi privește doar pe producătorii de dispozitive. Textul spune altceva, iar dacă vinzi software în Uniunea Europeană, merită să citești mai departe.
Pe scurt
- Data este 11 septembrie 2026. Restul obligațiilor din regulament devin aplicabile de la 11 decembrie 2027.
- Se raportează două lucruri: vulnerabilitățile exploatate activ și incidentele severe care afectează securitatea produsului.
- Termene: notificare timpurie în 24 de ore, notificare completă în 72 de ore, raport final în 14 zile pentru vulnerabilități, o lună pentru incidente severe.
- Raportarea se face o singură dată, printr-o platformă unică operată de ENISA, către echipa națională de răspuns la incidente.
- Amenzile pentru încălcarea obligațiilor de raportare pot ajunge la 15 milioane de euro sau 2,5% din cifra de afaceri mondială.
Ce este, de fapt, un „produs cu elemente digitale”
Aici se pierde majoritatea. Sintagma sună a fabrică de electronice, dar acoperă mult mai mult. Intră sub incidență, potrivit analizelor juridice publicate în iunie și iulie 2026:
Hardware conectat
Orice dispozitiv care se conectează, direct sau indirect, la o rețea sau la alt dispozitiv. Inclusiv echipamente pe care le rebranduiești și le vinzi sub numele tău.
Software distribuit în Uniunea Europeană
Aici e partea care surprinde. Nu contează că nu fabrici nimic fizic. Un plugin sau o temă vândute comercial, o aplicație cu componentă instalabilă, un modul livrat clienților intră în discuție.
Soluții de prelucrare la distanță
Serviciile care susțin funcționarea unui produs conectat, adică partea din cloud fără de care dispozitivul sau aplicația nu funcționează.
Componente open source integrate comercial
Software-ul open source care nu este furnizat în cadrul unei activități comerciale este exclus. Dar dacă integrezi componente open source într-un produs pe care îl vinzi, obligațiile se declanșează pentru tine, ca producător al produsului final.
Pentru o agenție web din România care vinde o temă premium sau un plugin pe piața europeană, sau pentru o firmă de software care livrează o aplicație instalabilă, întrebarea nu mai este dacă regulamentul le privește, ci de când și cu ce proces.
Cele trei termene, exact
24 de ore: notificarea timpurie
De la momentul în care ai luat cunoștință de o vulnerabilitate exploatată activ în produsul tău sau de un incident sever. Este o alertă, nu un raport complet. Nu ai nevoie să știi tot, ai nevoie să anunți.
72 de ore: notificarea completă
Informațiile detaliate despre problemă: ce este, ce produse și versiuni sunt afectate, ce măsuri corective sau de atenuare există.
14 zile sau o lună: raportul final
Pentru o vulnerabilitate exploatată activ, în maximum 14 zile de la momentul în care există o măsură corectivă disponibilă. Pentru un incident sever, în maximum o lună.
Raportarea se face către echipa națională de răspuns la incidente de securitate cibernetică, CSIRT, din statul unde producătorul are sediul principal, iar informația este pusă simultan la dispoziția ENISA. Practic, totul trece printr-un singur punct: Single Reporting Platform, operată de ENISA, care trebuie să fie funcțională la data de 11 septembrie 2026. Raportezi o dată, nu în cinci locuri.
De ce 24 de ore schimbă modul în care lucrezi
Termenul în sine nu e greu de respectat. Ce e greu e să afli la timp. Ca să poți raporta în 24 de ore de la momentul în care ai luat cunoștință, ai nevoie de un mecanism prin care să iei cunoștință. Astăzi, multe firme mici află despre o problemă din reclamația unui client, la două săptămâni după ce a apărut.
Al doilea efect, mai subtil: „am luat cunoștință” este un moment care va trebui documentat. Dacă un cercetător îți scrie pe o adresă de email pe care nu o citește nimeni, iar peste zece zile problema devine publică, întrebarea „când ai aflat?” devine incomodă. Nu e o problemă tehnică, e una de proces.
Ce pregătești până în septembrie
Patru lucruri. Niciunul nu costă bani mulți, toate cer o decizie și o oră de scris.
Inventarul produselor și al versiunilor
Ce pui efectiv pe piață, în ce versiuni, ce componente terțe conține fiecare. Fără această listă nu poți răspunde nici la întrebarea „ce este afectat”, care apare în notificarea de 72 de ore.
Un canal real de raportare a vulnerabilităților
O adresă de email dedicată, publicată vizibil, pe care o citește cineva anume, plus un răspuns automat care confirmă primirea și marchează ora. Este cea mai ieftină dovadă a momentului în care ai luat cunoștință.
Loguri păstrate suficient timp
Ca să poți spune ce s-a întâmplat și când, ai nevoie de jurnale care încă există la momentul întrebării. Dacă furnizorul tău de găzduire păstrează logurile șapte zile, termenul de 14 zile pentru raportul final devine imposibil de respectat onest.
O procedură scrisă, de o pagină
Cine primește sesizarea, cine decide dacă este o vulnerabilitate exploatată activ, cine scrie notificarea, cine o trimite, în cât timp, și cine îl înlocuiește pe fiecare când e în concediu. O pagină, semnată și datată.
Ce nu spunem, ca să nu exagerăm
Câteva precizări oneste, pentru că în jurul termenelor de conformare se vinde multă frică:
- Nu, nu intră orice firmă. Dacă doar folosești software și nu pui niciun produs pe piață, nu ești producător în sensul regulamentului. Un magazin online care vinde pantofi nu are obligații CRA pentru faptul că are un site.
- Nu, open source-ul necomercial nu intră. Textul exclude explicit software-ul open source care nu este furnizat în cadrul unei activități comerciale. Situația se schimbă când acele componente ajung într-un produs pe care îl vinzi.
- Nu putem spune cât vei fi amendat. Plafonul de 15 milioane de euro sau 2,5% din cifra de afaceri mondială este maximul din regulament, nu tariful pentru o firmă de zece oameni. Cum se aplică efectiv în România ține de autoritatea națională desemnată, iar practica nu există încă.
- Nu confunda CRA cu NIS2. Sunt două lucruri diferite care se aplică la momente diferite. NIS2 privește securitatea organizației tale ca operator de servicii, iar criteriile sunt explicate în articolul despre NIS2 pentru IMM-uri. CRA privește securitatea produsului pe care îl pui pe piață. Poți intra sub ambele, sub unul singur sau sub niciunul.
Cum se leagă de ce faci deja
Vestea bună este că dacă ai deja o disciplină minimă de securitate, mare parte din efort e făcut. Un proces de raportare a incidentelor există deja pentru cazurile de date cu caracter personal, cu termen de 72 de ore, așa cum am descris în ghidul despre raportarea incidentelor. Diferența este că acolo raportezi ce ți s-a întâmplat ție, iar aici raportezi ce se întâmplă în produsul pe care l-ai vândut altora. Documentele se pot scrie împreună, ca un singur set.
La fel, dacă ai pornit deja pe drumul unui sistem de management al securității informației, de tipul ISO 27001, inventarul de active și procedura de tratare a incidentelor sunt aceleași documente, cu un capitol în plus.
Surse
- Pagina oficială a Comisiei Europene privind obligațiile de raportare din CRA, cu termenele și rolul ENISA: digital-strategy.ec.europa.eu.
- Analize juridice privind sfera de aplicare și sancțiunile: Jones Day, 27 iulie 2026 și Crowell & Moring, 12 iunie 2026.
Concluzie
Dacă vinzi software sau hardware conectat pe piața europeană, 11 septembrie 2026 este o dată care merită pusă în calendar acum, nu în septembrie. Nu pentru că vine cineva să te amendeze pe 12, ci pentru că singurul lucru care face termenul de 24 de ore realist este pregătirea făcută înainte: inventarul, canalul de sesizare, logurile și pagina de procedură. Toate se pot face într-o zi de lucru. Panica de la final de august nu se poate.
Acest articol explică obligațiile așa cum reies din sursele oficiale și din analizele publicate. Nu este consultanță juridică și nu stabilește dacă o anumită firmă intră sau nu sub incidența regulamentului.
Întrebări frecvente
Ce se schimbă pe 11 septembrie 2026?
Intră în aplicare obligațiile de raportare din Cyber Resilience Act. De la acea dată, producătorii de produse cu elemente digitale trebuie să notifice orice vulnerabilitate exploatată activ în produsul lor și orice incident sever care afectează securitatea produsului. Restul obligațiilor din regulament devin aplicabile mai târziu, de la 11 decembrie 2027.
Care sunt termenele exacte?
Trei trepte. Notificare timpurie în 24 de ore de la momentul în care ai luat cunoștință. Notificare completă în 72 de ore. Raport final în maximum 14 zile pentru o vulnerabilitate exploatată activ, respectiv o lună pentru un incident sever. Raportarea se face către echipa națională de răspuns la incidente, CSIRT, iar informația ajunge simultan și la ENISA.
Mă privește dacă nu fabric dispozitive?
Foarte probabil da. „Produs cu elemente digitale” acoperă și software distribuit în Uniunea Europeană, nu doar hardware. Intră aici pluginuri și teme vândute comercial, aplicații cu componentă instalabilă, echipamente rebranduite și soluții de prelucrare la distanță care susțin un produs conectat. Software-ul open source care nu este furnizat în cadrul unei activități comerciale este exclus, dar componentele open source integrate într-un produs comercial declanșează obligații.
Cum se face raportarea?
Printr-o platformă unică, Single Reporting Platform, operată de ENISA. Se raportează o singură dată, iar informația este distribuită mai departe. Platforma trebuie să fie operațională la data de 11 septembrie 2026.
Ce amenzi sunt prevăzute?
Pentru încălcarea obligațiilor de raportare, amenzi administrative de până la 15 milioane de euro sau 2,5% din cifra de afaceri anuală mondială, reținându-se valoarea mai mare. Cum se aplică efectiv în România ține de autoritatea națională desemnată, iar nivelul concret al sancțiunilor pentru o firmă mică nu poate fi anticipat din text.
Ce pregătesc practic până în septembrie?
Patru lucruri, toate ieftine: o listă cu produsele pe care le pui pe piață și versiunile lor, un canal prin care oricine îți poate semnala o vulnerabilitate și pe care chiar îl citește cineva, loguri păstrate suficient timp cât să poți spune ce s-a întâmplat și când, plus o procedură scrisă de o pagină cu cine decide, cine scrie notificarea și în cât timp. Fără loguri utilizabile, termenul de 24 de ore este imposibil de respectat onest.
Citește și
GhiduriNIS2 pentru IMM: ești obligat? Test rapid și ce faci
Toată lumea vorbește despre NIS2, dar nimeni nu îți spune clar dacă te aplică pe tine. Vezi un test rapid pentru IMM și furnizori, ce obligații ai și de unde începi, fără jargon juridic.
GhiduriRaportare incident cibernetic firmă: cui și când
Când firma ta a fost atacată, primul reflex e panica. Iată ghidul clar despre cine trebuie anunțat, în ce termen și în ce ordine, ca să nu pierzi nici timpul, nici termenele legale.
GhiduriISO 27001 pentru IMM: ce e, cât costă, cum obții
Un client îți cere certificarea ISO 27001 și nu știi de unde începi. Vezi ce înseamnă standardul în versiunea 2022, cele 93 de controale, cum decurge certificarea prin organism acreditat și la ce buget să te aștepți, fără jargon.