Companiile care se confruntă cu incidente cibernetice pot avea obligații de raportare în baza mai multor reglementări europene, inclusiv Cyber Resilience Act (CRA), GDPR, NIS 2 și DORA. În sectorul financiar, notificarea inițială poate fi necesară în cel mult patru ore de la clasificarea incidentului drept major, potrivit lui Robert Gîrdoc, director PwC România.

De la 11 septembrie 2026, au intrat în aplicare obligațiile de raportare prevăzute de CRA pentru vulnerabilitățile exploatate activ și incidentele grave care afectează securitatea produselor cu elemente digitale. Producătorii trebuie să transmită o avertizare timpurie în maximum 24 de ore, o notificare în 72 de ore și un raport final în termenele prevăzute de regulament.

În paralel, GDPR impune notificarea autorității de supraveghere în cel mult 72 de ore de la constatarea unei încălcări a securității datelor personale, în condițiile prevăzute de regulament. NIS 2 și DORA introduc obligații suplimentare pentru organizațiile care intră sub incidența acestor acte normative.

„Într-un asemenea scenariu, primele ore nu se câștigă prin viteză, ci prin pregătire”, afirmă Robert Gîrdoc. Acesta recomandă proceduri clare pentru identificarea obligațiilor de raportare, coordonarea echipelor IT, juridice și de conformitate și documentarea unitară a incidentelor.

Doar 39% dintre organizații au planuri complete de continuitate

Pregătirea companiilor rămâne o provocare. Potrivit studiului PwC Global Digital Trust Insights 2027, realizat în rândul a 3.934 de lideri din 71 de țări și teritorii, doar 39% dintre respondenții responsabili de securitate, risc și operațiuni spun că organizațiile lor au un plan de continuitate operațională complet formalizat și integrat, care tratează explicit riscurile cibernetice.

Calendarul CRA continuă în următorii ani. Din 11 decembrie 2027, regulamentul se va aplica integral, iar produsele cu elemente digitale introduse pe piața europeană vor trebui să respecte cerințele de securitate cibernetică prevăzute de acesta.