Producătorii de software, aplicații și echipamente conectate au, începând de astăzi, 11 septembrie 2026, noi obligații de raportare a problemelor de securitate. Dacă află că o vulnerabilitate a produsului lor este deja folosită de hackeri în atacuri, trebuie să transmită o primă avertizare în maximum 24 de ore, iar în cel mult 72 de ore, o notificare mai detaliată. Nerespectarea obligațiilor prevăzute de Cyber Resilience Act (CRA) poate atrage amenzi de până la 15 milioane EUR sau 2,5% din cifra de afaceri anuală mondială. Pentru microîntreprinderi și întreprinderile mici există însă o excepție importantă: acestea nu pot fi amendate pentru simpla nerespectare a termenului inițial de 24 de ore.

Obligațiile de raportare sunt în vigoare de astăzi, 11 septembrie 2026.

Cyber Resilience Act se va aplica integral de la 11 decembrie 2027, dar legiuitorul european a stabilit un calendar mai rapid pentru raportarea vulnerabilităților și incidentelor de securitate. Articolul 14 al regulamentului se aplică începând cu 11 septembrie 2026.

În România, aproape 35.000 de companii sunt înregistrate pentru activități de realizare a software-ului la comandă, potrivit datelor citate de cyber_Folks. Nu toate intră automat sub incidența CRA, dar noile reguli sunt relevante pentru o parte importantă a ecosistemului care dezvoltă și comercializează produse software și digitale.

Ce trebuie, de fapt, să raporteze firmele în 24 de ore

Formularea juridică folosită de regulament este „vulnerabilitate exploatată activ”.

Concret, este vorba despre o problemă de securitate a produsului despre care există dovezi că a început deja să fie folosită de atacatori.

Nu trebuie, așadar, raportată în 24 de ore orice eroare, vulnerabilitate teoretică sau problemă de securitate descoperită într-un produs.

CRA obligă producătorii să raporteze:

  • vulnerabilitățile despre care află că sunt exploatate activ;
  • incidentele severe care afectează securitatea produsului digital.

De la momentul în care producătorul ia cunoștință de situație începe să curgă termenul.

În maximum 24 de ore trebuie transmisă avertizarea inițială.

În maximum 72 de ore trebuie transmisă notificarea principală, cu mai multe informații despre problemă.

Pentru vulnerabilitățile exploatate activ urmează și un raport final, cel târziu la 14 zile după ce devine disponibilă o măsură de remediere sau de reducere a riscului. Pentru incidentele severe, raportul final trebuie transmis în termen de o lună de la notificarea de 72 de ore.

Amenzile pot ajunge la 15 milioane EUR

Miza nu este doar tehnică.

Cyber Resilience Act prevede pentru nerespectarea obligațiilor din articolele 13 și 14 amenzi administrative de până la 15 milioane EUR sau, dacă cel sancționat este o companie, până la 2,5% din cifra de afaceri anuală totală la nivel mondial din exercițiul financiar precedent, fiind luată în calcul valoarea mai mare.

Există însă o excepție importantă.

Microîntreprinderile și întreprinderile mici nu pot primi amendă pentru simplul fapt că nu au respectat termenul de 24 de ore pentru avertizarea inițială privind o vulnerabilitate exploatată activ sau un incident sever.

Excepția nu înseamnă însă că firmele mici sunt scoase din sistemul de raportare. Obligația există; regulamentul le protejează în mod expres de sancțiunea pecuniară pentru ratarea acestui termen inițial.

Problema reală: cum afli suficient de repede că hackerii folosesc vulnerabilitatea

Termenul de 24 de ore poate părea relativ generos dacă îl privim doar ca pe timpul necesar completării unei notificări.

Problema apare înainte.

Firma trebuie mai întâi să afle că există vulnerabilitatea, să stabilească dacă produsul său este afectat și dacă problema este deja exploatată, să identifice produsele și versiunile afectate și să mobilizeze persoanele care trebuie să ia o decizie.

Ionuț Ariton, co-CEO cyber_Folks România

„Un termen de 24 de ore poate părea suficient dacă îl privim doar ca pe un termen administrativ. În realitate, provocarea începe înainte de raportare: compania trebuie să afle că există o vulnerabilitate exploatată sau un incident, să înțeleagă ce produs este afectat și să poată mobiliza rapid oamenii care trebuie să ia o decizie. Dacă informația ajunge prea târziu, raportarea în termen devine dificilă. De aceea, monitorizarea constantă a surselor relevante și existența unor responsabilități clare sunt esențiale”, spune Ionuț Ariton, co-CEO cyber_Folks România.

Practic, pentru un producător de software apare de astăzi o întrebare foarte simplă: cine din companie urmărește dacă produsele sale au vulnerabilități care au început să fie folosite de hackeri?

cyber_Folks: 1-2 vulnerabilități critice pe săptămână

Experiența cyber_Folks arată că asemenea probleme nu apar doar ocazional.

În ultimele aproximativ trei luni, echipa tehnică a companiei spune că a identificat, în medie, una-două vulnerabilități critice pe săptămână pentru care a fost nevoie de patch-uri de securitate sau, în unele situații, de măsuri temporare de protecție până când furnizorul ori dezvoltatorul a publicat remedierea oficială.

Compania urmărește alerte de securitate și liste de vulnerabilități și primește notificări privind problemele cu risc ridicat inclusiv de la furnizori și parteneri tehnologici, precum cPanel și CloudLinux.

Uneori, vulnerabilitatea este anunțată înainte ca patch-ul oficial să existe. În această situație trebuie aplicate măsuri temporare de protecție până când dezvoltatorul poate oferi remedierea.

Și mai relevant este modul în care sunt descoperite aceste probleme.

În ultimele 90 de zile, cyber_Folks spune că nu a avut niciun caz în care un utilizator să semnaleze o vulnerabilitate înainte ca aceasta să fie identificată prin fluxurile de informații monitorizate de echipa tehnică.

Cu alte cuvinte, a aștepta până când un client observă că ceva nu funcționează sau semnalează un atac poate fi prea târziu.

Vulnerabilitatea poate să nu fie în codul scris de firma ta

Pentru producătorii de software, lucrurile se complică și prin faptul că un produs poate conține numeroase componente realizate de alte companii sau de alți dezvoltatori.

Biblioteci software, module, pluginuri și alte componente third-party pot avea propriile vulnerabilități.

Dacă o astfel de problemă afectează produsul final, producătorul trebuie să poată identifica rapid componenta și să evalueze dacă produsul său este vulnerabil.

Asta transformă inventarul componentelor software într-o problemă foarte practică.

Dacă mâine apare informația că versiunea X a unei biblioteci este exploatată de atacatori, compania trebuie să poată răspunde rapid la câteva întrebări:

O folosim? În ce produs? În ce versiune? Ce clienți sunt afectați? Există un patch? Dacă nu, putem aplica o măsură temporară? Trebuie făcută raportarea CRA?

Obligația privește și produse care sunt deja pe piață

O altă posibilă confuzie este că firmele ar avea timp până în decembrie 2027 pentru produsele actuale.

Nu este așa.

Obligațiile de raportare se aplică și produselor cu elemente digitale deja puse pe piața UE, inclusiv celor introduse pe piață înainte de 11 decembrie 2027, dacă intră în domeniul de aplicare al regulamentului.

Prin urmare, o companie care comercializează deja un produs software vizat de CRA nu poate amâna organizarea sistemului de raportare până la intrarea în vigoare a celorlalte prevederi.

Unde se face raportarea

Producătorii nu trebuie să construiască un circuit separat pentru fiecare stat european în care au clienți.

Raportarea se face prin CRA Single Reporting Platform, sistem administrat de Agenția Uniunii Europene pentru Securitate Cibernetică – ENISA.

Platforma devine operațională tot astăzi, 11 septembrie 2026, odată cu aplicarea obligațiilor din articolul 14. Producătorul transmite o singură raportare, iar aceasta ajunge prin sistem la CSIRT-ul relevant și, potrivit regulilor europene, la ENISA.

Ce ar trebui să aibă firmele pregătit de azi

Pentru o companie care produce software sau echipamente conectate, conformarea nu începe în momentul în care hackerii atacă.

cyber_Folks recomandă inventarierea produselor și componentelor folosite, stabilirea unui mecanism prin care vulnerabilitățile pot fi identificate și evaluate, monitorizarea surselor relevante de securitate și desemnarea persoanelor responsabile.

La nivel practic, firma ar trebui să poată răspunde deja la câteva întrebări:

Cine monitorizează alertele? Cine verifică dacă vulnerabilitatea afectează produsul nostru? Cine decide măsurile tehnice? Cine face raportarea? Cine îl înlocuiește dacă persoana respectivă nu este disponibilă?

„Vulnerabilitățile apar suficient de frecvent încât urmărirea lor nu mai poate fi tratată ca o activitate ocazională. Uneori există un patch imediat, alteori problema este confirmată înainte ca remedierea să fie disponibilă și trebuie evaluat ce măsură temporară va fi aplicată. Pentru companiile care intră sub incidența CRA, este important să existe un circuit clar: cine urmărește informațiile, cine stabilește dacă produsul este afectat, cine decide intervenția și cine gestionează obligația de raportare”, spune Ionuț Ariton.

Pentru producătorii vizați, diferența esențială este că, de la 11 septembrie 2026, acest circuit nu mai este doar o bună practică de securitate IT.

A devenit parte dintr-o obligație legală europeană de raportare.