Un incident cibernetic care afectează un echipament conectat sau un produs software și compromite date personale poate genera o serie de obligații de raportare multiple. În funcție de tipul de organizație implicată și de gravitatea evenimentului, acesta poate intra sub incidența reglementărilor Cyber Resilience Act (CRA), GDPR, NIS 2 sau DORA. Aceste regulamente impun termene și autorități diferite, iar responsabilitatea poate reveni fie producătorului produsului vulnerabil, fie organizațiilor care utilizează respectivul echipament sau software.
Regulamentul (UE) 2024/2847, cunoscut sub numele de CRA, introduce noi obligații de raportare începând cu data de 11 septembrie 2026. Această normă obligă producătorii de software și de echipamente conectate, precum routere, camere de supraveghere sau electrocasnice inteligente, să notifice vulnerabilitățile exploatate activ și incidentele grave. Raportarea se va face printr-o platformă europeană unică, Single Reporting Platform, operată de ENISA. Notificarea ajunge la ENISA și la echipa CSIRT desemnată ca coordonator, care transmite apoi informația către celelalte state membre.
Pentru incidentele grave vizate de CRA, procesul de notificare este structurat în trei etape obligatorii. Prima etapă, avertizarea timpurie, trebuie realizată în maximum 24 de ore de la cunoașterea evenimentului. Urmează notificarea propriu-zisă, care trebuie trimisă în termen de 72 de ore, conținând detalii despre natură și măsurile luate. Etapa finală, raportul final, este obligatorie în termen de 14 zile de la aplicarea unei măsuri corective pentru vulnerabilități sau în termen de o lună pentru incidente. Obligațiile vizează și produsele lansate înainte de 11 decembrie 2027.
Suprapoverile între regimurile de raportare creează provocări majore pentru companii, deoarece pragurile de severitate diferă între CRA, NIS 2 și DORA. În timp ce CRA vizează incidentele grave, NIS 2 se concentrează pe cele semnificative, iar DORA pe cele majore. Termenele de notificare variază drastic: DORA impune entităților financiare să transmită notificarea inițială în maximum 4 ore de la clasificarea incidentului ca major. Această presiune temporală obligă organizațiile să ia decizii critice chiar și atunci când informațiile despre atac sunt încă incomplete.
Pregătirea organizațiilor pentru aceste scenarii rămâne o problemă majoră, conform datelor din studiul PwC Global Digital Trust Insights 2027. Din eșantionul de 3.934 lideri din business și tehnologie, doar 39% afirmă că organizația lor dispune de un plan de continuitate operațională complet formalizat. Totuși, aproximativ 49% dintre companii fac deja ajustări în procedurile de management al crizelor și în asigurările cibernetice pentru a răspunde mai bine amenințărilor geopolitice. Este esențial ca echipele de securitate IT, juridice și de conformitate să colaboreze pentru a evita redundanțele.
Cadrul de reglementare european în domeniul securității cibernetice este într-o continuă evoluție, cu termene de aplicare etapizate pentru a permite adaptarea pieței. Până la 11 decembrie 2026, statele membre trebuie să asigure existența unor organisme notificate capabile să evalueze conformitatea produselor. Aplicarea integrală a CRA va avea loc de la 11 decembrie 2027, moment în care produsele cu elemente digitale vor trebui să respecte cerințe esențiale de securitate și să poarte marcajul CE pentru a fi introduse pe piața Uniunii Europene.