Raportarea se aplică înaintea majorității cerințelor CRA
Articolul 14 din Regulamentul (UE) 2024/2847 se aplică din 11 septembrie 2026. Data generală de aplicare a CRA este 11 decembrie 2027, cu etapele prevăzute la articolul 71. Prin urmare, o companie nu poate folosi data generală din 2027 pentru a amâna analiza obligațiilor de raportare.
Sursă: CRA, art. 71 — calendarul aplicării; forma în vigoare verificată la 15 octombrie 2026.
Începe cu produsul și rolul companiei
Verifică produsul cu elemente digitale, conectarea sa și excluderile din articolul 2. Identifică producătorul în sensul regulamentului, nu doar firma care scrie cod. Distribuirea sub nume propriu, modul în care produsul ajunge pe piață și rolul fiecărei organizații schimbă analiza.
Nu presupune că orice serviciu online intră automat în CRA. Pentru soluțiile care combină software, echipamente și prelucrare la distanță, descrie arhitectura și verifică definițiile aplicabile. Când lipsesc aceste informații, rezultatul corect este „încadrare de clarificat”, nu „nu se aplică”.
Sursă: CRA, art. 2 și art. 3 — domeniu de aplicare și definiții.
Două situații, două trasee de raportare
| Situație din art. 14 | Ce verifici înainte de încadrare |
|---|---|
| Vulnerabilitate exploatată activ | Există dovezi fiabile ale exploatării neautorizate de un actor rău intenționat? Produsul este afectat? |
| Incident grav care afectează securitatea produsului | Sunt îndeplinite criteriile de gravitate din art. 14 alin. (5)? Documentează efectul asupra securității și funcționării produsului. |
O vulnerabilitate potențială, fără dovezi de exploatare activă, nu se confundă cu primul caz. Nici orice alertă tehnică nu este automat un incident grav CRA. Consemnează însă rezultatele investigației și momentul la care apar faptele care pot schimba încadrarea.
Sursă: CRA, art. 3 pct. 42 și art. 14 alin. (1), (3), (5) — definiție și situații raportabile.
Raportul final nu are același termen în ambele situații
| Etapă | Vulnerabilitate exploatată activ | Incident grav |
|---|---|---|
| Avertizare timpurie | Fără întârziere nejustificată, cel mult 24 de ore de la luarea la cunoștință | Fără întârziere nejustificată, cel mult 24 de ore de la luarea la cunoștință |
| Notificare | Fără întârziere nejustificată, cel mult 72 de ore de la luarea la cunoștință | Fără întârziere nejustificată, cel mult 72 de ore de la luarea la cunoștință |
| Raport final | Cel mult 14 zile după disponibilitatea unei măsuri corective sau de atenuare | În termen de o lună de la notificarea incidentului prevăzută pentru etapa de 72 de ore |
Sursă: CRA, art. 14 alin. (2) și (4) — conținutul și succesiunea raportărilor.
Tabelul arată termenele maxime ale etapelor. Verifică și conținutul cerut pentru fiecare transmitere: articolul 14 ia în considerare informațiile deja furnizate. Pentru vulnerabilități, intervalul de 14 zile începe când devine disponibilă măsura corectivă sau de atenuare, nu automat la descoperirea vulnerabilității.
În evidența internă, separă momentul luării la cunoștință, data fiecărei transmiteri și momentul disponibilității remedierii. Notează fusul orar. Un singur câmp numit „data incidentului” nu ajunge pentru a urmări corect toate etapele.
Unde ajunge raportarea
Regulamentul prevede notificarea simultană către CSIRT-ul desemnat coordonator și ENISA, prin platforma unică de raportare. Determinarea coordonatorului urmează regulile din articolul 14; nu alege autoritatea numai după limba echipei sau adresa unui punct de lucru. Verifică accesul la canal înainte de apariția unui incident.
Sursă: CRA, art. 14 și art. 16; Comisia Europeană, pagina oficială privind raportarea CRA.
Ce poate pregăti echipa în această săptămână
- O listă a produselor și a versiunilor, cu rolul companiei și analiza domeniului CRA.
- Un responsabil pentru coordonarea raportării și un înlocuitor.
- Un traseu de escaladare de la suport, dezvoltare și securitate către persoana care decide.
- Un registru al faptelor cunoscute, cu ore, surse și schimbările de încadrare.
- Un proces pentru aprobarea raportului și păstrarea confirmărilor de transmitere.
- Un plan de informare a utilizatorilor afectați, adaptat obligațiilor și riscurilor cazului.
Acestea sunt măsuri practice de pregătire. Pentru informațiile comunicate utilizatorilor, verifică în mod distinct articolul 14 alin. (8). Nu publica detalii tehnice sensibile doar pentru a demonstra că ai reacționat.
Sursă: CRA, art. 14 alin. (8) — informarea utilizatorilor afectați.
Contează că produsul a fost lansat înainte de 2027?
Da, dar lansarea mai veche nu elimină automat raportarea: articolul 69 alin. (3) extinde obligațiile din articolul 14 și la produsele din domeniul CRA puse pe piață înainte de 11 decembrie 2027. În schimb, nu deduce din această regulă că toate cerințele de conformitate ale produsului au același calendar.
Sursă: CRA, art. 69 alin. (3), coroborat cu art. 71.
Fișă pentru analiza și urmărirea raportării
Surse și limite
- Regulamentul (UE) 2024/2847 — art. 2–3, 14, 16, 69 și 71
- Comisia Europeană — raportarea CRA, actualizare 11 septembrie 2026
Surse consultate pentru revizia din 15 octombrie 2026. Articolele și versiunile relevante sunt indicate lângă explicații. Exemplele de organizare sunt orientative; analiza obligațiilor unei companii depinde de faptele sale și de forma aplicabilă a normelor.