Cyber Resilience Act.
Dezvoltați în siguranță produse cu elemente digitale, gestionați vulnerabilitățile și pregătiți dovada corespunzătoare a conformității.
- Regulamentul (UE) 2024/2847
- De Derya Altinay
- Actualizat la: 22.10.2026
- Timp de lectură: 8 min.
Răspuns pe scurt.
Cyber Resilience Act este regulamentul UE privind securitatea cibernetică a produselor vizate cu elemente digitale. Producătorii răspund de securitate pe parcursul dezvoltării, punerii la dispoziție și asistenței. Obligațiile de raportare ale producătorilor se aplică din 11 septembrie 2026; obligațiile generale privind produsele, din 11 decembrie 2027. Baza este Regulamentul (UE) 2024/2847.
Cyber Resilience Act și termenele CRA.
Cyber Resilience Act, pe scurt CRA sau Regulamentul privind reziliența cibernetică, reglementează securitatea cibernetică a produselor. Regulamentul (UE) 2024/2847 combină cerințe de proiectare cu obligații pe parcursul ciclului de viață al produsului. Obiectul analizei este produsul concret, inclusiv componentele relevante și prelucrarea datelor la distanță aferentă. Un program de securitate la nivelul întreprinderii poate sprijini această activitate, dar nu răspunde singur întrebărilor specifice produsului.
Termenele CRA se aplică etapizat. Conform art. 71 alin. 2 CRA, cerințele generale încep la 11 decembrie 2027; raportările producătorilor conform art. 14 se aplică deja din 11 septembrie 2026. Capitolul IV privind notificarea organismelor de evaluare a conformității se aplică din 11 iunie 2026. Această dată instituțională nu reprezintă un termen CE general anticipat pentru toate produsele software.
Produsele mai vechi nu sunt scutite în mod general de raportările producătorilor. Art. 69 alin. 2 și 3 CRA distinge regulile tranzitorii privind conformitatea produsului de cele privind raportările. Orientările Comisiei C(2026) 5252, secțiunea 9.1, explică această distincție și pentru produsele introduse pe piață înainte de decembrie 2027. Orientările sunt un instrument de interpretare fără caracter juridic obligatoriu; regulamentul rămâne decisiv.
Ce produse și întreprinderi sunt vizate de CRA.
CRA vizează produsele hardware și software incluse în domeniul său, puse la dispoziție pe piața UE, care prevăd o conexiune de date directă sau indirectă la un dispozitiv ori o rețea. Art. 2 și 3 CRA stabilesc domeniul de aplicare și definițiile. Pot fi incluse componente oferite separat. Verificați funcția efectivă și excepțiile prevăzute de lege înainte de a clasifica întregul portofoliu în același mod.
Rolul întreprinderii îi determină obligațiile. Producătorii, importatorii și distribuitorii au sarcini diferite; rolul de producător poate fi relevant și la comercializarea sub marcă proprie. Pentru software-ul cu sursă deschisă, trebuie distinse punerea la dispoziție comercială, contribuțiile persoanelor individuale și rolul special al administratorului de software cu sursă deschisă. O licență liberă nu scutește în mod general producătorul unui produs comercial de responsabilitatea sa.
Un serviciu SaaS nu intră și nu iese din domeniul CRA doar prin denumirea comercială. Decisive sunt limitele produsului și prelucrarea datelor la distanță aferentă. Orientările Comisiei, secțiunile 2 și 8, disting produsele software de serviciile furnizate de la distanță. Consemnați justificarea pentru arhitectura concretă; o afirmație generală despre toate ofertele cloud ar fi prea amplă.
Principalele domenii ale cerințelor CRA.
Cerințele CRA combină securitatea produsului bazată pe riscuri cu responsabilitatea continuă. Art. 13 și anexa I CRA constituie baza obligațiilor privind produsele; art. 14 reglementează raportările producătorilor aplicabile anticipat. Domeniile următoare oferă orientare, fără a înlocui cerințele legale individuale.
Înțelegeți produsul și riscurile.
O evaluare a riscurilor de securitate cibernetică fundamentează deciziile de securitate pe întregul ciclu de viață. Producătorii iau în considerare utilizarea prevăzută și utilizarea previzibilă în mod rezonabil. Descrieți practic funcțiile, interfețele și dependențele produsului și efectele pe care o problemă de securitate le poate avea asupra utilizatorilor săi.
Integrați securitatea în produs.
Proiectarea sigură și setările implicite sigure merg împreună. Anexa I CRA cuprinde caracteristici ale produsului precum protecția accesului, protecția datelor și limitarea suprafețelor de atac. O politică redactată ulterior nu poate înlocui caracteristicile tehnice; deciziile de dezvoltare și verificarea lor trebuie să corespundă evaluării riscurilor.
Integrați componentele în mod responsabil.
Componentele integrate rămân parte a analizei produsului. Producătorii au nevoie de informații trasabile despre ceea ce livrează și despre modul în care vulnerabilitățile din dependențe afectează produsul. Comisia descrie explicit diligența necesară față de componentele terților; simpla transmitere a unei informații de la furnizor nu răspunde fiecărei întrebări privind produsul.
Gestionați vulnerabilitățile și actualizările.
Gestionarea vulnerabilităților este o sarcină continuă pe durata perioadei de asistență relevante. Include canale de raportare accesibile, evaluare, remediere și furnizarea sigură a actualizărilor de securitate. Separați tratarea tehnică a unei constatări de evaluarea juridică a obligației de raportare pentru o vulnerabilitate exploatată activ sau un incident grav.
Stabiliți asistența și informațiile pentru utilizatori.
Perioada de asistență depinde de criteriile art. 13 alin. 8 CRA și de utilizarea preconizată. În principiu, este prevăzut un minim de cinci ani; pentru o utilizare preconizată mai scurtă se aplică durata acesteia, iar pentru una mai lungă poate fi necesară o perioadă mai lungă. Orientările Comisiei, secțiunea 5, explică explicit că cinci ani nu reprezintă un plafon general.
Asigurați raportările producătorilor.
Art. 14 CRA distinge vulnerabilitățile exploatate activ de incidentele grave de securitate. Pentru producători se aplică raportări etapizate: fără întârziere, cel târziu în 24 de ore, o avertizare timpurie, iar în 72 de ore de la luarea la cunoștință, informații suplimentare. Termenele finale diferă în funcție de factorul declanșator. Prin urmare, o constatare a unui scanner nu este automat nici o raportare obligatorie, nici un motiv suficient pentru închiderea evenimentului.
Pregătiți conformitatea și documentația.
Documentația tehnică și evaluarea conformității trebuie să explice produsul oferit. Art. 32 CRA și categoria produsului determină procedura permisă. Consemnați baza de evaluare aleasă împreună cu versiunea produsului; o colecție generală de documente fără legătură trasabilă cu varianta verificată nu este suficientă ca strategie practică de demonstrare.
Implementarea CRA ca proces de produs.
Delimitați portofoliul și rolurile.
Ca prim pas practic, identificați produsele oferite, funcțiile lor relevante, entitatea juridică responsabilă și rolul în fiecare canal de distribuție.
Distingeți etapele de aplicare.
Separați pregătirea pentru raportările producătorilor deja aplicabile de pregătirea conformității generale a produsului și verificați tranzițiile pentru produsele existente.
Transformați riscurile în decizii privind produsul.
Corelați evaluarea riscurilor cu proiectarea, alegerea componentelor și criterii de securitate verificabile pentru dezvoltare și aprobare.
Testați canalele de raportare.
Desemnați responsabili și înlocuitori și exersați evaluarea, escaladarea și transmiterea cu informații incomplete, în termenele aplicabile.
Stabiliți asistența și parcursul demonstrării conformității.
Planificați întreținerea versiunilor de produs susținute și clarificați, pe baza categoriei, ce evaluare a conformității și documentație tehnică vor fi necesare.
Marcajul CE pentru software și dovada privind produsul.
Dovada CRA este o evaluare a conformității legată de produs. În explicațiile privind art. 32 CRA, Comisia arată că o evaluare internă este posibilă pentru categoria standard. Pentru anumite produse importante sau critice se aplică proceduri mai stricte, cu un organism notificat sau alte căi de demonstrare permise în fiecare caz. Funcția efectivă a produsului determină categoria; o denumire publicitară nu este suficientă.
Declarația UE de conformitate și marcajul CE urmează procedura aplicabilă. Ele nu reprezintă un certificat general pentru întreaga întreprindere și nici promisiunea că produsul nu va avea niciodată o vulnerabilitate. Prin urmare, o durată unică de valabilitate a certificatului nu descrie adecvat CRA: documentația, gestionarea vulnerabilităților și obligațiile aplicabile trebuie analizate pe parcursul ciclului de viață relevant.
Alte cadre de referință și obligații distincte.
ISO 27001 organizează un sistem de management al securității informației; un certificat corespunzător nu confirmă singur conformitatea CRA a unui produs. NIS2 privește entitățile vizate și organizarea securității acestora. RGPD protejează datele cu caracter personal, motiv pentru care un eveniment privind produsul poate ridica întrebări suplimentare de protecție a datelor. Procesele înrudite pot fi coordonate, însă factorii juridici declanșatori și dovezile lor trebuie verificate separat.
În Secani.
Secani conține un catalog propriu de lucru CRA, cu surse, întrebări de verificare și exemple de dovezi. Profilul întreprinderii înregistrează, printre altele, rolurile și data evaluării; condițiile neclarificate rămân vizibile ca aspecte de verificat. Instrumentul sprijină organizarea verificării, dar nu confirmă nici încadrarea juridică, nici conformitatea unui produs.
Începeți cu un produs delimitat.
Alegeți un produs concret și clarificați mai întâi limitele sale, entitatea juridică responsabilă și persoanele competente pentru raportările de securitate. Verificați apoi ce obligații actuale și viitoare privesc acest produs. Acest punct de plecare face pregătirea gestionabilă și împiedică un proiect general de conformitate să ascundă pregătirea pentru raportare deja necesară.
Surse.
- Regulamentul (UE) 2024/2847 – Cyber Resilience Act
- Comisia Europeană: Cyber Resilience Act și datele de aplicare
- Comisia Europeană: sinteza actului juridic
- Comisia Europeană: obligațiile producătorilor
- Comisia Europeană: evaluarea conformității
- Comisia Europeană: CRA și sursa deschisă
- Comisia Europeană: Orientările C(2026) 5252 cu anexă
Întrebări frecvente.
Da, pentru producătorii vizați, raportările conform art. 14 CRA se aplică din 11 septembrie 2026. Obligațiile generale privind produsele încep la 11 decembrie 2027; rolurile speciale și tranzițiile trebuie verificate separat.
Nu, denumirea SaaS nu decide domeniul de aplicare. Verificați produsul software, funcțiile sale și prelucrarea datelor la distanță aferentă pe baza arhitecturii concrete.
Nu, tratamentul special al contribuțiilor anterioare cu sursă deschisă nu scutește în mod general producătorul comercial al produsului de obligațiile sale. Rolul de producător și posibilul rol de administrator trebuie distinse.
Nu, un certificat ISO 27001 privește un sistem de management delimitat. CRA cere o analiză separată a produsului și dovada de conformitate aplicabilă fiecărui caz.
Organizați securitatea produsului în mod trasabil.
Gestionați structurat cerințele CRA și verificarea lor cu Secani.
Această pagină explică Cyber Resilience Act în termeni generali și nu înlocuiește o analiză juridică a fiecărui produs. Actele juridice în vigoare sunt decisive.