Cui i se aplică CRA: produsul și punerea pe piață
Articolul 2 vizează produsele puse la dispoziție pe piață a căror utilizare preconizată sau previzibilă în mod rezonabil include o conexiune de date, directă ori indirectă, la un dispozitiv sau la o rețea. Analizezi și excluderile sectoriale sau cele legate de scop; nu deduci încadrarea numai din faptul că firma dezvoltă software.
Definiția produsului poate include software, hardware, componente introduse separat pe piață și soluțiile sale de prelucrare de date la distanță. De aceea, eticheta „cloud” sau „SaaS” nu justifică singură o excludere: verifică dacă serviciul face parte din produs și dacă absența lui ar împiedica o funcție a acestuia, în condițiile definiției legale.
Sursă: CRA, art. 2 și art. 3 pct. 1–2, 21–24; forma din EUR-Lex, 20 noiembrie 2024.
| Situație exemplificativă | Ce rezultă pentru analiză |
|---|---|
| O firmă comercializează sub marca sa un dispozitiv conectat, fără o excludere aplicabilă. | Produsul și rolul de producător trebuie analizate potrivit CRA. Categoria și procedura de evaluare cer verificări suplimentare. |
| O companie cumpără și folosește intern un program, fără să îl furnizeze pe piață. | Simpla utilizare nu o transformă în producătorul programului. Alte obligații legale sau contractuale se verifică separat. |
| Echipa spune numai că oferă „o soluție cloud”. | Încadrarea este nedeterminabilă din datele furnizate. Sunt necesare funcțiile, arhitectura, modul de furnizare și rolul companiei. |
Sursă: CRA, art. 2, art. 3 pct. 1–2, 12–17 și 22; art. 21–22.
Producător, importator sau distribuitor: rolul contează
Producătorul răspunde de cerințele privind produsul și procesele sale, în condițiile art. 13–14. Importatorii și distribuitorii au obligații proprii în art. 19–20. Introducerea sub nume propriu sau modificarea substanțială poate atrage obligațiile producătorului în situațiile din art. 21–22.
Open source nu înseamnă automat exclus. Verifici activitatea comercială și rolul concret, inclusiv categoria distinctă de administrator de software cu sursă deschisă. Integrarea unei componente open source într-un produs nu înlătură diligența producătorului prevăzută la art. 13 alin. (5).
Sursă: CRA, art. 3 pct. 13–17 și 22, art. 13 alin. (5), art. 19–22 și 24.
Calendar CRA: raportare din 2026, aplicare generală din 2027
| Etapă | Dată și sens |
|---|---|
| Capitolul IV, art. 35–51 | 11 iunie 2026: dispozițiile privind notificarea organismelor de evaluare a conformității. |
| Articolul 14 | 11 septembrie 2026: obligațiile de raportare ale producătorilor. |
| Aplicarea generală | 11 decembrie 2027, cu regulile tranzitorii din art. 69. |
Pentru produsele introduse pe piață înainte de 11 decembrie 2027, art. 69 alin. (2) leagă aplicarea cerințelor de o modificare substanțială ulterioară acestei date. Raportarea din art. 14 are însă o derogare expresă: potrivit alin. (3), ea privește și produsele din domeniul CRA introduse pe piață înainte de acea dată.
Sursă: CRA, art. 69 alin. (2)–(3) și art. 71.
Ce declanșează raportarea unei vulnerabilități sau a unui incident
Raportarea obligatorie distinge vulnerabilitatea exploatată activ de incidentul sever care afectează securitatea produsului. O constatare dintr-o scanare nu dovedește singură exploatarea activă. Aceasta presupune dovezi fiabile ale exploatării de către un actor rău-intenționat, fără permisiunea proprietarului sistemului. Pentru incidente se verifică separat criteriile art. 14 alin. (5).
| Situație | Repere ale raportării |
|---|---|
| Vulnerabilitate exploatată activ | Alertă timpurie în cel mult 24 de ore și notificare în cel mult 72 de ore de la luarea la cunoștință, fără întârzieri nejustificate. Raport final în cel mult 14 zile de la disponibilitatea unei măsuri corective sau de atenuare. |
| Incident sever | Alertă timpurie în cel mult 24 de ore și notificare în cel mult 72 de ore de la luarea la cunoștință, fără întârzieri nejustificate. Raport final în cel mult o lună de la notificarea incidentului prevăzută la art. 14 alin. (4) lit. b). |
Pentru etapele ulterioare alertei, textul ține cont de informațiile relevante deja furnizate. Notificarea se face prin platforma unică, către CSIRT desemnată drept coordonator și ENISA; alegerea punctului de raportare și informarea utilizatorilor se verifică potrivit art. 14 alin. (7)–(8). Un tabel intern nu înlocuiește transmiterea oficială.
Sursă: CRA, art. 3 pct. 42 și art. 14 alin. (1)–(8).
Ce organizezi pentru produs și documentația tehnică
Pentru aplicarea generală, leagă evaluarea riscurilor de cerințele relevante, componente, testele efectuate și tratarea vulnerabilităților. Documentația tehnică se pregătește înainte de introducerea pe piață și se actualizează în condițiile art. 31. Un dosar completat nu dovedește singur că măsurile funcționează.
| Punct de lucru | Exemplu de evidență |
|---|---|
| Produs și versiuni | Funcțiile, arhitectura, componentele și versiunile relevante. |
| Riscuri și cerințe | Evaluarea, justificarea aplicabilității și soluțiile alese. |
| Vulnerabilități | Sesizarea, analiza, versiunile afectate, remedierea și rezultatul testului. |
| Perioada de asistență | Durata justificată, factorii luați în calcul și informația oferită utilizatorilor. |
| Evaluarea conformității | Procedura potrivită categoriei produsului și dovezile cerute pentru aceasta. |
Sursă: CRA, art. 13, 31–32 și anexele I și VII; aplicarea în timp: art. 69 și 71.
Perioada de asistență se stabilește potrivit duratei de utilizare preconizate și criteriilor art. 13 alin. (8). Regula este de cel puțin cinci ani; dacă utilizarea preconizată este mai scurtă, perioada trebuie să îi corespundă. Cinci ani nu reprezintă un plafon universal și nici un termen ales fără justificare.
Sursă: CRA, art. 13 alin. (8); cerință din regimul de aplicare generală.
Exemplu: de la constatare la versiunea remediată
Într-un caz fictiv, o eroare de validare afectează versiunea 2.4. Echipa consemnează componenta, impactul și informațiile despre exploatare. Remedierea intră în versiunea 2.4.1, iar testul verifică exact problema raportată. Evaluarea necesității raportării se face imediat, în paralel cu remedierea; nu așteaptă închiderea activității tehnice.
Surse și limite
- CRA — Regulamentul (UE) 2024/2847, text consolidat EUR-Lex
- Comisia Europeană — Cyber Resilience Act, calendar și resurse de aplicare
Surse consultate pentru revizia din 15 octombrie 2026. Articolele și versiunile relevante sunt indicate lângă explicații. Exemplele de organizare sunt orientative; analiza obligațiilor unei companii depinde de faptele sale și de forma aplicabilă a normelor.