Securitate cibernetică: Cum se suprapun raportările din Cyber Resilience Act, NIS 2, GDPR şi DORA. De ce primele ore contează cel mai mult

Un incident cibernetic care afectează un produs software sau un echipament conectat şi compromite date personale poate genera mai multe obligaţii de raportare. În funcţie de produs, de organizaţiile implicate şi de gravitatea incidentului, acesta poate intra sub incidenţa Cyber Resilience Act (CRA), GDPR şi NIS 2 sau, pentru entităţile din sectorul financiar, DORA - fiecare cu propriile termene şi autorităţi competente. Obligaţiile pot reveni unor actori diferiţi: producătorului produsului vulnerabil şi organizaţiilor care îl folosesc. De la 11 septembrie 2026, odată cu aplicarea obligaţiilor de raportare prevăzute de CRA, s-a adăugat un nou set de notificări.

Într-un asemenea scenariu, primele ore nu se câştigă prin viteză, ci prin pregătire. Organizaţiile care au stabilit dinainte cine califică incidentul, pe ce criterii şi în ce ordine se notifică autorităţile pot face faţă tuturor termenelor.

CRA, Regulamentul (UE) 2024/2847, obligă producătorii de software şi de echipamente conectate - de la sisteme de operare şi aplicaţii până la routere, camere de supraveghere sau electrocasnice inteligente - să raporteze vulnerabilităţile exploatate activ şi incidentele grave care afectează securitatea produselor lor, indiferent de unde provine informaţia. Fac excepţie categoriile reglementate separat, precum dispozitivele medicale sau autovehiculele.

Raportarea se face printr-o platformă unică la nivel european, Single Reporting Platform, operată de Agenţia Uniunii Europene pentru Securitate Cibernetică (ENISA) şi lansată pe 11 septembrie. Notificarea ajunge simultan la ENISA şi la echipa de răspuns la incidente de securitate cibernetică (CSIRT) desemnată drept coordonator, de regulă, cea din statul membru în care producătorul îşi are sediul principal, care o transmite apoi CSIRT-urilor din celelalte state membre în care produsul este disponibil.

24 de ore pentru prima notificare

Pentru vulnerabilităţile exploatate activ şi pentru incidentele grave, CRA prevede trei etape de raportare:

avertizare timpurie - în cel mult 24 de ore de la luarea la cunoştinţă, cu statele membre în care produsul a fost pus la dispoziţie şi, pentru incidente, eventuala suspiciune de acţiuni ilicite sau rău intenţionate;

notificare - în cel mult 72 de ore, cu detalii despre produs, natura exploatării sau a incidentului şi măsurile luate, inclusiv cele pe care le pot aplica utilizatorii;

raport final - în cel mult 14 zile de la punerea la dispoziţie a unei măsuri corective sau de atenuare, pentru vulnerabilităţi, respectiv în termen de o lună de la notificarea de 72 de ore, pentru incidente.

Obligaţiile vizează şi produsele introduse pe piaţă înainte de 11 decembrie 2027, însă, potrivit Comisiei Europene, nu şi exploatările de care producătorii aflaseră înainte de 11 septembrie 2026. Pentru administratorii de software open source, raportarea devine obligatorie de la 11 decembrie 2027.

Unde se suprapun regimurile

O breşă de securitate care afectează date cu caracter personal trebuie notificată de operatorul datelor autorităţii de supraveghere - în România, ANSPDCP - fără întârzieri nejustificate şi, de regulă, în cel mult 72 de ore, cu excepţia cazului în care este puţin probabil să genereze un risc pentru persoanele vizate. Dacă entitatea afectată intră sub incidenţa NIS 2 sau, în sectorul financiar, sub DORA, se adaugă alte notificări. Şi pragurile diferă: CRA vizează incidentele ”grave”, NIS 2 pe cele ”semnificative”, iar DORA pe cele ”majore”.

Iar termenul de 24 de ore din CRA nu este nici măcar cel mai strâns. NIS 2 cere şi el o avertizare timpurie în cel mult 24 de ore pentru incidentele semnificative, însă DORA merge mai departe: entităţile financiare trebuie să transmită notificarea iniţială în cel mult 4 ore de la clasificarea incidentului ca major şi nu mai târziu de 24 de ore de la momentul în care au aflat de el.

Consecinţa practică este că deciziile trebuie luate în primele ore, când informaţia despre incident este încă incompletă. De aceea, este nevoie de o abordare integrată: calificarea timpurie a evenimentului (ce obligaţii se declanşează şi sub ce regim), un răspuns iniţial coordonat între echipele de securitate IT, protecţia datelor, conformitate şi juridic, documentarea unitară a incidentelor şi a măsurilor luate, pentru a evita redundanţele, precum şi revizuirea periodică a procedurilor, pe măsură ce cadrul de reglementare evoluează.

Pregătirea nu ţine pasul

Datele arată că multe organizaţii au încă de lucru la pregătirea pentru incidente. Potrivit studiului PwC Global Digital Trust Insights 2027, realizat pe un eşantion de 3.934 de lideri din business şi tehnologie din 71 de ţări şi teritorii, doar 39% dintre responsabilii de securitate, risc şi operaţiuni spun că organizaţia lor are un plan de continuitate operaţională complet formalizat şi integrat, care tratează explicit riscurile cibernetice. Există însă şi semne de ajustare: aproape jumătate (49%) fac modificări în asigurările cibernetice, în procedurile de răspuns la incidente şi în managementul crizelor, pentru a face faţă ameninţărilor geopolitice.

Între timp, calendarul CRA continuă. Până la 11 decembrie 2026, statele membre trebuie să depună eforturi pentru ca în Uniune să existe suficiente organisme notificate care să evalueze conformitatea produselor. De la 11 decembrie 2027, regulamentul se aplică integral: produsele cu elemente digitale introduse pe piaţă vor trebui să respecte cerinţele esenţiale de securitate cibernetică, iar producătorii vor trebui să evalueze riscurile, să întocmească documentaţia tehnică, să parcurgă procedura de evaluare a conformităţii şi să aplice marcajul CE.