Companiile care gestionează incidente cibernetice se confruntă cu un set complex de obligații de raportare impuse de reglementările europene. Acestea includ Cyber Resilience Act (CRA), GDPR, NIS 2 și DORA, fiecare având propriile cerințe specifice. În sectorul financiar, presiunea este extremă, deoarece notificarea inițială poate fi necesară în cel mult patru ore de la momentul în care un incident este clasificat drept major, conform informațiilor furnizate de Robert Gîrdoc, director PwC România.
Regulamentul Cyber Resilience Act (CRA) a introdus deja obligații de raportare pentru vulnerabilitățile exploatate activ și incidentele grave care afectează securitatea produselor digitale. Începând cu data de 11 septembrie 2026, producătorilor le este impusă transmiterea unei avertizări timpurii în maximum 24 de ore. Ulterior, aceștia trebuie să trimită o notificare în termen de 72 de ore și un raport final, respectând cronologia stabilită de acest regulament european.
Pe lângă cerințele CRA, cadrul legislativ include și GDPR, care obligă notificarea autorității de supraveghere în maximum 72 de ore de la constatarea unei încălcări a securității datelor personale. În același timp, actele normative NIS 2 și DORA aduc și alte obligații suplimentare pentru organizațiile care se încadrează în sfera lor de aplicare. Robert Gîrdoc subliniază că, în astfel de situații, succesul nu depinde de viteză, ci de nivelul de pregătire prealabilă a organizației.
Pentru a gestiona aceste termene critice, expertul recomandă implementarea unor proceduri clare pentru identificarea obligațiilor de raportare. Este esențială coordonarea atentă între echipele de IT, cele juridice și departamentele de conformitate, precum și utilizarea unei documentări unitare pentru toate incidentele. Pregătirea eficientă este singura metodă prin care companiile pot răspunde prompt cerințelor legislative fără a intra în conflict cu reglementările europene de securitate cibernetică.
Pregătirea organizațiilor rămâne însă o provocare majoră la nivel global. Conform studiului PwC Global Digital Trust Insights 2027, realizat în rândul a 3.934 de lideri din 71 de țări și teritorii, doar 39% dintre respondenții responsabili de securitate, risc și operațiuni afirmă că organizațiile lor posedă un plan de continuitate operațională complet formalizat și integrat. Aceste planuri trebuie să trateze în mod explicit riscurile cibernetice pentru a asigura funcționarea continuă.
Implementarea reglementărilor europene urmează un calendar etapizat pe parcursul următorilor ani. Din 11 decembrie 2027, regulamentul CRA se va aplica integral în întreaga Uniune Europeană. De la această dată, toate produsele care conțin elemente digitale și care sunt introduse pe piața europeană vor fi obligate să respecte standardele de securitate cibernetică prevăzute de acest act legislativ, consolidând astfel protecția digitală a consumatorilor.