Cyber Resilience Act până în decembrie 2027: cerințele esențiale, marcajul CE și rolul importatorului și al distribuitorului

Cyber Resilience Act 2027 înseamnă, pentru cine produce, importă sau distribuie produse cu elemente digitale, ziua de 11 decembrie 2027: de atunci Regulamentul (UE) 2024/2847 se aplică integral, cerințele esențiale din Anexa I devin obligatorii, iar un produs vizat nu mai poate fi pus pe piața Uniunii fără evaluarea conformității și marcajul CE prevăzute de regulament. Raportarea vulnerabilităților exploatate activ, din art. 14, este în aplicare din 11 septembrie 2026 și am tratat-o separat, în analiza despre raportarea CRA și platforma unică a ENISA. Textul de față se ocupă de etapa următoare: produsul, documentele lui și lanțul prin care ajunge la client.

Documentare: 27 octombrie 2026.

Scriu despre 2027 acum, cu paisprezece luni înainte, pentru că la raportare firmele au aflat de termen cu câteva săptămâni înainte și au improvizat. Cerințele esențiale nu se improvizează: un produs proiectat în 2026 fără gândul la Anexa I și introdus pentru prima dată pe piața Uniunii după 11 decembrie 2027 nu poate primi marcajul CE fără să fie refăcut. Pentru produsele introduse pe piață înainte de această dată, art. 69 alin. (2) spune altceva: cerințele regulamentului li se aplică numai dacă suferă, de atunci încolo, o modificare substanțială; raportarea din art. 14 li se aplică oricum, potrivit art. 69 alin. (3). Data primei introduceri pe piață și modificările ulterioare contează, nu anul în care a fost proiectat produsul. În opinia mea, aceasta este distincția care contează pentru un director de produs, și tocmai ea lipsește din prezentările pe care le-am văzut în România.

Care sunt cele trei date din Cyber Resilience Act și ce se aplică la fiecare?

Art. 71 din Regulamentul (UE) 2024/2847 stabilește trei date de aplicare: 11 iunie 2026 pentru Capitolul IV (art. 35-51), 11 septembrie 2026 pentru art. 14 și 11 decembrie 2027 pentru restul regulamentului. Capitolul IV privește notificarea organismelor de evaluare a conformității, cele care vor certifica produsele importante și critice; a fost pus primul în aplicare ca ele să existe înainte ca producătorii să aibă nevoie de ele.

Comisia Europeană a precizat, în comunicarea din 11 septembrie 2026, că obligațiile de raportare se aplică și produselor aflate deja pe piață, iar aplicarea revine autorităților naționale de supraveghere a pieței. Regimul tranzitoriu este în art. 69: produsele introduse pe piață înainte de 11 decembrie 2027 intră sub cerințele regulamentului numai dacă suferă, de la acea dată, o modificare substanțială, iar obligațiile de raportare din art. 14 se aplică tuturor produselor din sfera lui, inclusiv celor deja aflate pe piață. Punerea la dispoziție mai departe a unui produs introdus pe piață înainte de termen, fără modificare substanțială, nu este interzisă de această dată. Textul merită citit în regulamentul de pe EUR-Lex, nu în rezumatele consultanților. Statutul: regulament în vigoare, cu aplicare în etape.

Ce cer cerințele esențiale din Anexa I de la un produs cu elemente digitale?

Anexa I are două părți: prima descrie proprietățile de securitate pe care trebuie să le aibă produsul, a doua descrie procesele prin care producătorul tratează vulnerabilitățile pe durata de viață a produsului. Prima parte vizează produsul așa cum ajunge la client: proiectat și livrat cu un nivel de securitate potrivit riscurilor, cu o configurație implicită sigură, cu protecția datelor pe care le prelucrează, cu suprafața de atac limitată și cu posibilitatea de a primi actualizări de securitate. A doua parte vizează organizația: cum identifică și documentează vulnerabilitățile componentelor, cum le remediază, cum publică informații despre ele și cum distribuie corecțiile.

Exemplu fictiv: o firmă din Cluj vinde un controler pentru centrale termice, cu aplicație mobilă. Prima parte a Anexei I o obligă ca parola implicită să nu fie aceeași pe toate dispozitivele și ca actualizările să se poată instala. A doua parte o obligă să aibă pe cineva care urmărește bibliotecile din aplicație, le știe versiunile și poate scoate o corecție când apare o vulnerabilitate într-o componentă pe care nu a scris-o ea. Cele două sarcini cad pe oameni diferiți și se verifică cu dovezi diferite.

Ce înseamnă marcajul CE și evaluarea conformității pentru un produs digital?

Marcajul CE de pe un produs cu elemente digitale va însemna, din 11 decembrie 2027, că producătorul a parcurs o procedură de evaluare a conformității cu cerințele din Anexa I și și-a asumat, printr-o declarație, că produsul le respectă. Pentru majoritatea produselor, producătorul face singur această evaluare, pe baza documentației tehnice. Pentru categoriile pe care regulamentul le numește produse importante și produse critice, listate în anexele dedicate, procedurile sunt mai stricte și pot implica un organism notificat, exact organismele pentru care Capitolul IV se aplică din iunie 2026.

Aici văd cea mai mare confuzie din piață: multe firme românești de software cred că marcajul CE este o chestiune de hardware. Regulamentul privește produsele cu elemente digitale, iar un software vândut ca produs intră în sferă la fel ca un router. Clasificarea produsului dumneavoastră, între implicit, important și critic, este prima decizie documentată pe care o veți cere unui consultant sau unui auditor, pentru că de ea depinde dacă aveți nevoie de un organism notificat sau de propria declarație. Lista categoriilor o verificați în anexele regulamentului, pe categoria produsului, nu pe denumirea comercială.

Ce obligații au importatorul și distribuitorul potrivit art. 19 și art. 20?

Importatorul este firma care pune pe piața Uniunii un produs al unui producător din afara ei, iar distribuitorul este cel care îl pune la dispoziție mai departe, fără să îl modifice. Art. 19 și art. 20 le dau obligații de verificare: înainte de a pune produsul pe piață, importatorul se asigură că producătorul a parcurs evaluarea conformității, a întocmit documentația tehnică și a aplicat marcajul CE, iar distribuitorul verifică prezența marcajului și a informațiilor despre producător și importator. Niciunul nu poate pune pe piață un produs despre care știe sau are motive să creadă că nu respectă cerințele.

Importatorul sau distribuitorul care comercializează produsul sub marca proprie ori îl modifică substanțial preia obligațiile producătorului, în condițiile regulamentului. Clasificarea rolului trebuie stabilită înainte de punerea produsului pe piață.

Ce sancțiuni prevede art. 64?

Art. 64 prevede trei praguri de amenzi: până la 15.000.000 de euro sau 2,5% din cifra de afaceri mondială pentru nerespectarea cerințelor esențiale din Anexa I și a obligațiilor producătorului legate de ele; până la 10.000.000 de euro sau 2% pentru obligațiile din art. 18-23, 28, 30-33, 39, 41, 47, 49 și 53, unde intră și importatorii și distribuitorii; până la 5.000.000 de euro sau 1% pentru informații false, incomplete sau înșelătoare transmise autorităților. Art. 64 alin. (10) lit. (a) scoate de sub aceste amenzi producătorii care sunt microîntreprinderi sau întreprinderi mici, numai pentru depășirea termenului de 24 de ore la avertizarea timpurie din art. 14. Sumele sunt cele din regulament, exprimate în euro.

Ce verifică un auditor la un producător sau importator de produse digitale?

Un auditor verifică, la un producător, dacă există dovezi pentru fiecare dintre cele două părți ale Anexei I și pentru procedura de evaluare a conformității aleasă; la un importator, dacă documentele cerute de art. 19 au fost cerute și păstrate. Diferența față de un audit NIS2 este obiectul: acolo entitatea și serviciile ei, aici produsul și lanțul lui. Un auditor pregătit pe OUG nr. 155/2024 are metoda; lista de întrebări trebuie schimbată.

Lista mea de început, propusă ca model de pregătire, nu ca inventar legal: clasificarea produsului, cu argumentele scrise; documentația tehnică, cu versiunea produsului la care se referă; inventarul componentelor terțe și cine îl ține la zi; politica de divulgare coordonată a vulnerabilităților, publicată; canalul prin care clienții pot raporta o problemă; jurnalul ultimei vulnerabilități tratate, cu date și ore; conturile active în platforma ENISA. La importator: contractul cu producătorul din afara Uniunii, declarația de conformitate primită, dovada că marcajul a fost verificat înainte de prima livrare.

Ce pregătire are nevoie auditorul pentru o misiune pe produse digitale?

Metoda de audit, cadrul NIS2 și obiceiul de a cere dovezi. Cursul Auditor Securitate Cibernetică, autorizat DNSC, are în tematică piesele unei astfel de misiuni: managementul riscurilor și evaluarea controalelor (modulul 4), evaluarea politicilor și identificarea neconformităților (modulul 5), raportarea incidentelor și cooperarea cu echipele CSIRT (modulul 6), planificarea auditului cu domeniu, obiective și criterii (modulul 7) și redactarea raportului (modulul 8). Lectorii sunt Cătălin Opran și Sorin Mureșan; ce au scris cei 367 de participanți din primele zece serii este în analiza formularelor de evaluare ale cursului.

Cum citește CSIRT-ul coordonator o notificare CRA și ce face cu ea?

CSIRT-ul coordonator primește notificarea prin platforma unică a ENISA, simultan cu ENISA, și o citește invers față de producător: nu „ce am de trimis”, ci „ce înseamnă pentru ceilalți”. Avertizarea timpurie din 24 de ore îi spune dacă producătorul suspectează o faptă rău intenționată; notificarea din 72 de ore îi aduce descrierea produsului, a vulnerabilității și a măsurilor; raportul final închide dosarul. Potrivit întrebărilor frecvente publicate de ENISA, alegerea unui CSIRT greșit poate invalida notificarea, deci echipa care primește trebuie să recunoască rapid o notificare care nu îi aparține și să o redirecționeze.

Exemplu fictiv: un producător român de software pentru clinici notifică o vulnerabilitate exploatată activ în modulul de programări. Echipa clasifică alerta după prioritate, caută indicatori de compromitere de distribuit prin platformele de schimb de informații, estimează câte entități din România folosesc produsul și dacă unele sunt entități esențiale sau importante din OUG nr. 155/2024, caz în care același eveniment poate ajunge și prin PNRISC, ca incident NIS2. Termenii sunt explicați în dicționarul de securitate cibernetică, iar rolurile CSIRT din România, Uniune și SUA în analiza dedicată echipelor CSIRT.

Raportul anual al DNSC pe 2025 numără lipsa personalului pentru răspuns la incidente printre riscurile relevante, la 644 de decizii pentru entități esențiale și 34 pentru entități importante. Cursul Membri CSIRT, autorizat DNSC, acoperă alertele și fluxurile de notificare (modulul 2), coordonarea răspunsului la vulnerabilități (modulul 4), platformele de schimb de informații (modulul 10) și procesul de notificare a incidentelor (modulul 13), cu Crina Negoescu, auditor atestat DNSC, și Cătălin Opran.

De ce Centrul de Formare APSAP leagă CRA de două cursuri, nu de unul?

Pentru că regulamentul produce două meserii: cineva verifică produsul și lanțul lui, altcineva primește notificarea și răspunde. Centrul de Formare APSAP este furnizor autorizat DNSC pentru ambele, Auditor Securitate Cibernetică prin autorizația seria EFS nr. 7010 din 16.09.2024 și Membri CSIRT prin autorizația seria EFE nr. 9005 din 13.05.2026, cu examen în fața unei comisii din partea autorității. Alegerea depinde de rolul pe care îl aveți la 11 decembrie 2027, iar ghidul cu cele 12 puncte verificabile ale cursului de auditor este locul de pornire pentru prima variantă.

Echipa cu care lucrez predă din 2006, iar Fundația Centrul de Formare APSAP, înființată în 2014 pe experiența ei, are 27 de autorizări și recunoașteri oficiale și peste 250.000 de participanți; aproximativ 85% din activitate este pentru companii, organizații și persoane fizice. Platforma de e-learning are peste 500 de ore de conținut video, iar cele peste 15.500 de recenzii Google, cu media 5 din 5, sunt publice. Ce înseamnă un program autorizat am explicat în ghidul complet despre cursurile acreditate sau autorizate; motivele pentru care profesioniștii ne aleg, în pagina cu cele 12 lucruri verificabile despre Centrul de Formare APSAP. Istoricul este pe pagina Despre APSAP, întrebările despre o grupă se pun prin formularul de contact, iar celelalte analize semnate de mine sunt pe pagina de autor.

Întrebări frecvente despre Cyber Resilience Act 2027

Un distribuitor din România devine producător dacă vinde produsul sub marca proprie?

Da. Regulamentul definește producătorul, la art. 3 pct. 13, ca persoana care dezvoltă sau fabrică produse cu elemente digitale, ori le comandă altcuiva, și le comercializează sub numele sau marca proprie. Dacă firma dumneavoastră importă dispozitive și le vinde cu eticheta proprie, obligațiile nu mai sunt cele ale distribuitorului din art. 20, ci ale producătorului: conformitatea cu Anexa I, evaluarea conformității, documentația tehnică, marcajul CE și raportarea din art. 14. Decizia de a pune marca proprie pe un produs digital merită luată după ce ați calculat ce înseamnă asta la 11 decembrie 2027, nu înainte.

Ce diferență este între cerințele esențiale din Anexa I și raportarea din art. 14?

Raportarea din art. 14 se aplică din 11 septembrie 2026 și privește evenimente: o vulnerabilitate exploatată activ sau un incident grav, notificate prin platforma ENISA în 24 și 72 de ore. Cerințele esențiale din Anexa I se aplică din 11 decembrie 2027 și privesc produsul și organizația: cum este proiectat produsul și cum tratează producătorul vulnerabilitățile pe durata de viață. Puteți avea raportarea pusă la punct și Anexa I nerezolvată; dumneavoastră, ca producător, aveți nevoie de amândouă, iar un auditor le verifică cu dovezi diferite: jurnale și conturi pentru prima, documentație tehnică și procese pentru a doua.

Ce face un importator când află de o vulnerabilitate într-un produs pe care l-a adus pe piață?

Art. 19 îl obligă să nu pună pe piață un produs despre care știe sau are motive să creadă că nu respectă cerințele și să informeze producătorul și autoritățile de supraveghere atunci când produsul prezintă un risc. Dumneavoastră, ca importator, aveți nevoie de un canal stabilit cu producătorul din afara Uniunii, de evidența loturilor livrate și de o persoană care decide oprirea livrărilor. Raportarea din art. 14 rămâne a producătorului; importatorul nu o face în locul lui, dar poate fi primul care află de problemă de la clienții din România și nu are voie să o țină pentru el.

Ce primește CSIRT-ul coordonator și de ce contează alegerea lui corectă?

Primește, prin platforma unică a ENISA, avertizarea timpurie, notificarea și raportul final transmise de producător, simultan cu ENISA. CSIRT-ul competent este cel al statului membru în care producătorul are sediul principal, adică unde se iau deciziile privind securitatea produselor, nu neapărat sediul social. Potrivit întrebărilor frecvente publicate de ENISA, alegerea unui CSIRT greșit poate invalida notificarea, deci termenul de 24 de ore poate fi ratat printr-o selecție din listă. Dacă firma dumneavoastră are echipa de dezvoltare într-o țară și facturarea în alta, stabiliți răspunsul înainte de primul eveniment.

Microîntreprinderile sunt scutite de Cyber Resilience Act?

Nu. Cerințele esențiale, evaluarea conformității și marcajul CE se aplică indiferent de mărimea producătorului. Regulamentul prevede câteva facilități: art. 64 alin. (10) lit. (a) scutește microîntreprinderile și întreprinderile mici de amendă pentru depășirea termenului de 24 de ore la avertizarea timpurie, art. 33 alin. (5) le permite documentația tehnică într-un formular simplificat stabilit de Comisie, iar art. 32 alin. (6) cere ca tarifele evaluării conformității să fie reduse proporțional cu nevoile lor. Obligațiile de fond rămân. Dacă aveți o firmă de trei oameni care vinde o aplicație, dumneavoastră sunteți producător în sensul regulamentului, iar la 11 decembrie 2027 aplicația are nevoie de documentație tehnică și de declarație de conformitate, la o scară pe măsura ei.