Amenzi de până la 15 milioane EUR pentru producătorii de software care nu raportează vulnerabilitățile exploat

Software-ul modern cu sute de componente crește riscul de breșe de securitate!

De astăzi, 11 septembrie 2026, intră în vigoare un set nou de obligații stricte pentru dezvoltatorii de software, aplicații și dispozitive conectate, impunând un regim de raportare rapidă a incidentelor de securitate. Nucleul acestor cerințe rezidă în detectarea și comunicarea problemelor de securitate care sunt deja exploatare activ de către atacanți cibernici.

Conform noilor norme, dacă un producător constată că o slăbiciune a produsului său este folosită în atacuri reale, acesta este obligat să emite o avertizare preliminară în termen de maximum 24 de ore de la constatare.

Ulterior, în cel mult 72 de ore, trebuie transmisă o notificare detaliată, care include informații suplimentare despre incident.

Nerespectarea acestor termene și a obligațiilor stipulate în cadrul Cyber Resilience Act (CRA) poate duce la sancțiuni financiare semnificative.

Amendamentele administrative pot atinge suma de 15 milioane de euro sau, în cazul entităților corporative, echivalentul a 2,5% din cifra de afaceri anuală globală din exercițiul financiar anterior, fiind aplicată valoarea cea mai mare dintre cele două.

Totuși, legislația europeană a inclus o clauză de protecție pentru sectorul IMM-urilor: microîntreprinderile și întreprinderile mici nu vor fi sancționate cu amendă exclusiv pentru depășirea termenului inițial de 24 de ore, deși obligația de raportare rămâne valabilă pentru ele.

Deși aplicarea integrală a Cyber Resilience Act este programată pentru data de 11 decembrie 2027, legislatorii din Uniunea Europeană au accelerat calendarul specific pentru raportarea vulnerabilităților și a incidentelor de securitate. Astfel, articolul 14 al regulamentului, care reglementează aceste aspecte, este aplicabil începând cu data de 11 septembrie 2026. Această măsura anticipată subliniază importanța acordată reacției rapide la amenințările cibernetice active.

În contextul pieței din România, datele furnizate de cyber_Folks indică faptul că aproximativ 35.000 de companii sunt înregistrate pentru activități de dezvoltare a software-ului la comandă. Deși nu fiecare dintre aceste entități intră automat sub incidența directă a CRA, noile reguli impactează o segment important al ecosistemului local și internațional, acoperind dezvoltatorii și comercianții de produse software și digitale.

Definiția juridică a termenului care declanșează obligația de raportare rapidă este cea de „vulnerabilitate exploatată activ”. Aceasta nu se referă la orice eroare de cod, la o slăbiciune teoretică neconfirmată sau la o problemă de securitate descoperită recent, ci specific la acele probleme pentru care există dovezi concrete că au început deja să fie utilizate de către atacatori în operațiuni cibernetice.

Prin urmare, CRA impune producătorilor să raporteze două categorii principale: vulnerabilitățile confirmate ca fiind exploatate activ și incidentele severe care compromit securitatea produsului digital.

Ceasul cronologic pentru îndeplinirea obligațiilor începe să curge de la momentul în care producătorul ia cunoștință de situație.

În primelor 24 de ore, este obligatorie transmiterea avertizării inițiale. Până la 72 de ore, trebuie finalizată și transmisă notificarea principală, care conține detalii extinse despre incident.

În cazul vulnerabilităților exploatate activ, se impune și redactarea unui raport final, care trebuie depus cel târziu la 14 zile după ce devine disponibilă o măsură de remediere sau o strategie de atenuare a riscurilor.

Pentru incidentele severe, termenul limită pentru raportul final este de o lună, calculat de la data notificării de 72 de ore.

Impactul financiar al nerespectării normelor din articolele 13 și 14 ale Cyber Resilience Act este considerabil, cu amenzi care pot atinge pragul de 15 milioane de euro. Totuși, există o nuanță importantă pentru sectorul mic: microîntreprinderile și întreprinderile mici sunt scutite de sancțiunea pecuniară dacă întârzie doar cu avertizarea inițială de 24 de ore.

Această excepție nu le elimină din sistemul de raportare, ci le oferă o marjă de manevră pentru gestionarea logistica inițială, protejându-le de penalizări financiare în faza critică a descoperirii incidentului.

Provocarea majoră cu care se confruntă companiile nu este doar completarea formularelor, ci capacitatea de a detecta rapid amenințarea. Termenul de 24 de ore pare suficient dacă este privit strict din perspectiva administrativă, dar dificultatea reală apare în fazele anterioare: identificarea existenței vulnerabilității, determinarea dacă produsul propriu este afectat, verificarea dacă problema este deja exploatată, identificarea versiunilor și a produselor specifice implicate și mobilizarea rapidă a echipei de decizie.

Ionuț Ariton, co-CEO al cyber_Folks România, subliniază această complexitate operativă.

El afirmă că, în practică, provocarea începe înainte de raportare: compania trebuie să afle despre vulnerabilitate, să înțeleagă impactul asupra produsului și să coordoneze acțiunile echipei.

Dacă informația ajunge cu întârziere, respectarea termenelor devine dificilă. De aceea, monitorizarea constantă a surselor de securitate și clarificarea responsabilităților interne sunt esențiale.

Întrebarea centrală pentru orice producător de software, de astăzi înainte, este simplă, dar crucială: cine din structură monitorizează activ dacă produsele companiei au slăbiciuni exploatate de hackeri?

De ce complexitatea software-ului modern complică raportarea incidentelor de

Experiența tehnică a cyber_Folks demonstrează că aceste incidente nu sunt rare. În ultimele trei luni, echipa a identificat, în medie, una sau două vulnerabilități critice pe săptămână, necesitând aplicarea de patch-uri de securitate sau a unor măsuri temporare de protecție până la publicarea remedierii oficiale de către dezvoltatorul componentei.

Compania urmărește alertele de securitate și listele de vulnerabilități, primind notificări de la parteneri tehnologici și furnizori, cum ar fi c Panel și CloudLinux.

Adesea, o vulnerabilitate este anunțată înainte ca patch-ul oficial să fie disponibil, ceea ce impune implementarea unor controale intermedii.

Un aspect remarcabil este că, în ultimele 90 de zile, cyber_Folks nu a înregistrat niciun caz în care un utilizator final să fi semnalat o vulnerabilitate înainte ca aceasta să fie identificată prin canalele de monitorizare tehnice.

Acest lucru sugerează că așteptarea ca un client să observe problema sau să raporteze un atac poate fi o strategie prea lentă și riscantă.

Complexitatea se mărește și prin structura modernă a software-ului, care integrează numeroase componente de la terți.

Bibliotecile, modulele și pluginurile externe pot avea propriile slăbiciuni. Dacă o astfel de problemă afectează produsul final, producătorul trebuie să identifice rapid componenta vinovată și să evalueze expunerea sa.

Transformarea inventarului de componente într-un instrument de management al riscului devine o necesitate practică.

În fața unei noi informații despre exploatarea unei versiuni a unei biblioteci, compania trebuie să Utilizăm această componentă?

În ce produse este integrată? Ce versiune este afectată? Care sunt clienții expuși?

Există un patch disponibil? Dacă nu, ce măsură temporară poate fi aplicată? Este necesară raportarea conform CRA?

O altă neînțelegere frecventă este ideea că firmele ar avea timp până în decembrie 2027 pentru a se adapta pentru produsele deja existente pe piață. Realitatea este că obligațiile de raportare se aplică și produselor cu elemente digitale vândute deja în Uniunea Europeană, inclusiv celor lansate înainte de 11 decembrie 2027, atâta timp cât intră în domeniul de aplicare al regulamentului.

Astfel, o companie care comercializează un software vizat de CRA nu poate amâna organizarea proceselor de raportare până la intrarea în vigoare a restului prevederilor legislative.

Procesul de raportare este centralizat, eliminând necesitatea creării unor circuite separate pentru fiecare stat membru. Producătorii utilizează platforma unică de raportare CRA, administrată de Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA). Această platformă devine operațională tot în 11 septembrie 2026, concomitent cu aplicarea articolului 14. O singură raportare transmisă de producător este distribuită automat către Centrul Național de Pentru a fi pregătiți de azi, producătorii de software și echipamente conectate trebuie să implementeze o serie de măsuri proactive, conform recomandărilor experților de la cyber_Folks.

Conformarea nu începe în momentul atacului, ci înainte de acesta.

Este necesară inventarierea exhaustivă a produselor și componentelor, stabilirea unui mecanism robust pentru identificarea și evaluarea vulnerabilităților, monitorizarea continuă a surselor de securitate și desemnarea clară a persoanelor responsabile.

La nivel operațional, firma trebuie să poată Cine monitorizează alertele? Cine verifică impactul asupra produsului? Cine ia deciziile tehnice? Cine efectuează raportarea?

Cine este persoana de rezervă dacă principalul responsabil este indisponibil?

Vulnerabilitățile apar cu o frecvență suficient de mare încât urmărirea lor nu mai poate fi tratată ca o activitate ocazională.

Uneori, soluția este un patch imediat, iar alteori, problema este confirmată înainte ca remedierea să fie disponibilă, necesitând evaluarea rapidă a măsurilor temporare.

Pentru companiile supuse reglementării CRA, este vital să existe un circuit clar de responsabilitate: cine urmărește informațiile, cine stabilește dacă produsul este afectat și cine coordonează Această structură organizatorică este cheia pentru a transforma obligațiile legale în o capacitate reală de apărare cibernetică.