Din 11 septembrie 2026, producătorii care vând produse digitale în UE raportează breșele în 24 de ore

Din 11 septembrie 2026, producătorii de produse cu elemente digitale disponibile în Uniunea Europeană trebuie să raporteze vulnerabilitățile exploatate activ și incidentele grave de securitate în cel mult 24 de ore de când află despre ele, potrivit Playtech. Regula se aplică și companiilor din afara UE care își vând produsele pe piața comunitară.

Nerespectarea obligațiilor esențiale, inclusiv a celor privind raportarea, poate atrage o amendă de până la 15 milioane de euro sau de până la 2,5% din cifra de afaceri anuală globală din exercițiul financiar precedent. Se ia în calcul valoarea mai mare.

Raportarea are mai multe etape

Producătorul trebuie să transmită avertizarea timpurie fără întârzieri nejustificate și, în orice caz, în maximum 24 de ore de când află despre o vulnerabilitate exploatată activ sau despre un incident grav care afectează securitatea produsului.

• În cel mult 72 de ore de la aflarea problemei, trebuie trimisă o notificare mai detaliată, cu informații generale și o evaluare inițială a situației.
• Pentru o vulnerabilitate exploatată activ, raportul final trebuie transmis în cel mult 14 zile după ce devine disponibilă o măsură de corectare sau diminuare, cum ar fi un patch, adică o actualizare de securitate.
• Pentru un incident grav, raportul final trebuie transmis în termen de o lună de la notificarea făcută la 72 de ore.

Producătorii nu trebuie să aștepte o imagine completă asupra atacului pentru a transmite prima notificare. Acolo unde situația o impune, ei trebuie să informeze și utilizatorii afectați despre măsurile disponibile pentru corectarea sau reducerea vulnerabilității.

Notificările sunt transmise prin Single Reporting Platform

Obligațiile fac parte din Cyber Resilience Act, iar raportarea se face prin Single Reporting Platform. Platforma a devenit operațională la 11 septembrie 2026 și este administrată de Agenția Uniunii Europene pentru Securitate Cibernetică, ENISA.

Producătorul transmite notificarea printr-o singură platformă și selectează echipa CSIRT competentă, adică echipa relevantă de răspuns la incidente de securitate cibernetică. Informația ajunge și la ENISA și poate fi distribuită ulterior autorităților relevante din statele membre.

Regulamentul prevede excepții pentru firmele mici

Microîntreprinderile și întreprinderile mici nu pot fi amendate pentru simpla depășire a termenului de 24 de ore în cazurile menționate de actul european. Administratorii de software open-source beneficiază de un regim distinct în ceea ce privește sancțiunile.

Cerințele mai ample se aplică din decembrie 2027

Regulile de raportare sunt doar o etapă a Cyber Resilience Act. Cea mai mare parte a regulamentului va deveni aplicabilă din 11 decembrie 2027, când intră în prim-plan cerințele privind securitatea încă din etapa de proiectare, administrarea vulnerabilităților, actualizările de securitate și evaluarea conformității produselor.

Regulile vizează produsele cu elemente digitale disponibile pe piața UE, inclusiv camere de supraveghere, gadgeturi smart, routere și alte dispozitive conectate. Potrivit Playtech, un atac recent asupra unor routere ASUS a compromis zeci de mii de dispozitive și a exploatat inclusiv probleme de securitate cunoscute de mai mult timp.

Parteneri

Articole recomandate din rețeaua noastră

GetPonyDrumurile publice. Despăgubiri pentru avarii și scutirea de taxe pentru competiții sportiveBravonetPoliția l-a reținut pe Ian 24 de ore în cazul incidentului în care ar fi urinat în fața publiculuiLylaCum porți părul lung după 50 de ani cu straturi care încadrează fața și onduleuri care adaugă volumRevista IoanaCând să mergi la medic pentru probleme digestive. 5 semne de urmărit, de la sângerare la înghițire dificilăNews24Nobelul pentru Medicină 2026 recompensează metoda care activează și oprește celule nervoase cu luminăDolce SportDjokovic îl înfruntă pe De Minaur pentru trofeul de la Beijing după descalificarea lui Medvedev