Raportarea vulnerabilităților în 24 de ore conform Cyber Resilience Act: Furnizori și prețuri (2026)

• Articolul 14 din CRA impune raportarea în 24 de ore a vulnerabilităților exploatate către ENISA.
• Producătorii non-UE trebuie să numească un reprezentant autorizat cu sediul în UE pentru raportare.
• REP27 — Europe Services, SE percepe 490 €/an pentru mandatul din Articolul 18.
• Prețuri concurente: kadano (999 €/an), Euverify (590 £/an), alții la cerere.
• Consiliere juridică, generare SBOM și evaluare de conformitate nu sunt incluse de REP27.
• Nu este necesar pentru importatori, distribuitori sau produse plasate înainte de 11 septembrie 2026.

Actualizat 17 October 2026 · 8 surse verificate

Furnizori comparați

Prețuri publicate pe site-ul fiecărui furnizor la data de 17 October 2026, excluzând TVA-ul, cu excepția cazului în care se specifică altfel. Fiecare rând este legat de sursa sa.

Ce cere legea: Articolele 14 și 18 din CRA

Cyber Resilience Act (CRA) introduce un regim strict pentru producătorii care pun pe piața UE produse cu elemente digitale. Articolul 1 definește domeniul de aplicare: hardware și software cu elemente digitale, inclusiv dispozitive conectate, firmware și aplicații. Articolul 10 stabilește cerințe esențiale pentru măsurile de securitate cibernetică pe durata ciclului de viață al produsului, iar Articolul 11 detaliază obligațiile producătorilor, precum evaluarea riscurilor, gestionarea vulnerabilităților și evaluarea conformității.

Articolul 14 este central: impune producătorilor să raporteze orice vulnerabilitate exploatată activ sau incident grav care afectează securitatea produsului către ENISA prin platforma unică de raportare în termen de 24 de ore de la luarea la cunoștință. Obligația este declanșată de dovezi credibile de exploatare sau un eveniment semnificativ de securitate, nu doar de descoperirea unei vulnerabilități. Termenul de 24 de ore se calculează în ore calendaristice, inclusiv nopți, weekenduri și sărbători.

Pentru producătorii stabiliți în afara UE, Articolul 18 impune numirea unui reprezentant autorizat cu sediul în UE. Acest reprezentant gestionează procesul de raportare în 24 de ore și este punctul oficial de contact pentru autoritățile UE. Importatorii și distribuitorii au obligații proprii conform Articolului 12, dar responsabilitatea principală de raportare revine producătorului sau reprezentantului său autorizat.

Produsele plasate pe piața UE înainte de 11 septembrie 2026 sunt exceptate de la obligația raportării în 24 de ore, dar trebuie să respecte alte prevederi CRA. Nerespectarea poate atrage amenzi de până la 15 milioane € sau 2,5% din cifra de afaceri globală anuală, oricare este mai mare. Legea este clară: dacă sunteți producător non-UE care vinde produse digitale în UE după această dată, trebuie să aveți un reprezentant autorizat pregătit să acționeze în 24 de ore de la orice incident calificat.

Cum să alegi un reprezentant autorizat CRA

Alegerea reprezentantului autorizat potrivit este esențială pentru conformitate și eficiență operațională. Începe prin verificarea entității juridice a furnizorului, a sediului în UE și a experienței. De exemplu, REP27 — Europe Services, SE este înființată la Praga, Republica Cehă, activă din 2018, cu mandate semnate pentru companii din 24 de țări.

Criterii cheie de selecție:

• Preț transparent: Caută prețuri clare, publicate și condiții de reînnoire. REP27 afișează prețurile pentru primul an și pentru reînnoire. Alți furnizori, precum kadano și Euverify, publică prețuri, iar unii cer ofertă.
• Domeniul mandatului: Asigură-te că mandatul este limitat la obligațiile din Articolul 18. Mandatele prea largi pot pretinde acoperirea obligațiilor din Articolul 13, interzis de Articolul 18(2). REP27 limitează explicit mandatul la raportarea din Articolul 18.
• Disponibilitate: Biroul de raportare trebuie să fie disponibil 24/7, inclusiv în weekenduri și sărbători. REP27 garantează acoperire continuă, iar la alți furnizori detaliile trebuie confirmate.
• Verificarea certificatului: Un certificat verificabil (de ex. cod QR și verificare publică la REP27) oferă dovada numirii și poate fi verificat de autorități sau clienți.
• Excluderi: Clarifică ce nu este inclus, precum consiliere juridică, generare SBOM sau testare tehnică. REP27 listează clar excluderile; mulți concurenți nu fac acest lucru.

Serviciile integrate (de ex. scanare tehnică, generare SBOM) pot fi utile dacă nu aveți resurse interne, dar verifică costurile ascunse, prețurile de reînnoire neclare sau descrierile vagi ale serviciilor. Cere procesul în scris, inclusiv cum se gestionează cererile, în ce limbi și în ce interval orar.

În final, asigură-te că mandatul este verificabil și că procesul de redirecționare a cererilor către autorități este rapid și documentat. Nu este doar o formalitate – întârzierile sau comunicarea greșită pot avea consecințe legale și comerciale.

Ce include cu adevărat prețul: comparație furnizori

Este esențial să înțelegi ce este inclus în prețul publicat pentru a evita surprizele. Mai jos este o comparație detaliată a serviciilor oferite de fiecare furnizor, pe baza datelor disponibile:

Prețul REP27 (490 €/an, 440 € la reînnoire) acoperă doar mandatul Articol 18, cu excluderi clare. Kadano și Euverify afișează prețuri, dar nu detaliază ce includ sau exclud. Furnizori precum ResilienceWP și Seentrix oferă servicii tehnice suplimentare (SBOM, scanare, documentație), dar prețurile și detaliile sunt disponibile doar la cerere.

Cere întotdeauna o descriere detaliată a serviciilor și confirmarea prețurilor de reînnoire înainte de semnare. Cea mai costisitoare greșeală este să presupui că serviciile tehnice sau consilierea juridică sunt incluse când nu sunt.

Costuri ascunse și ce nu spun de obicei furnizorii

Deși prețul afișat este important, costurile ascunse și excluderile pot afecta semnificativ bugetul de conformitate și riscul operațional. Iată ce nu dezvăluie de obicei furnizorii:

• Excluderi: REP27 este explicit: nu include consiliere juridică, servicii DPO, evaluări tehnice de conformitate, generare SBOM sau testare. Mulți concurenți nu publică astfel de excluderi, deci întreabă mereu. Conformitatea tehnică (SBOM, evaluare conformitate, inginerie) nu este niciodată inclusă într-un mandat doar pentru reprezentant și trebuie bugetată separat.
• Prețuri de reînnoire: Unii furnizori oferă un preț mic pentru primul an, dar nu publică tarifele de reînnoire. REP27 le afișează pe ambele. Cere condițiile de reînnoire în scris pentru a evita creșteri neașteptate.
• Taxe per cerere: Unii reprezentanți pot percepe taxe suplimentare pentru fiecare solicitare de la autorități sau persoane vizate, sau pentru depuneri urgente. REP27 nu menționează astfel de taxe, dar nu este valabil peste tot. Clarifică înainte de semnare.
• Perioade de preaviz și reziliere: Procesul de încheiere a mandatului sau schimbare a furnizorului este rar detaliat. Întreabă despre perioadele de preaviz și eventualele taxe asociate.
• Limitări de răspundere: Majoritatea reprezentanților limitează răspunderea pentru termene ratate sau depuneri incorecte. Aceste limitări nu sunt întotdeauna publice.
• Servicii integrate: Furnizorii care oferă servicii tehnice (ex. SBOM, scanare) pot percepe taxe semnificative suplimentare sau pot impune contracte pe termen lung. Confirmă domeniul și prețurile în scris.

Pe scurt, costul real al conformității include nu doar taxa reprezentantului, ci și ingineria internă, conformitatea tehnică și costurile menținerii unui proces de răspuns la incidente 24/7. Cere întotdeauna o defalcare completă și confirmare scrisă a tuturor termenilor înainte de angajare.

Cum funcționează numirea: pas cu pas

Numirea unui reprezentant autorizat CRA este un proces care necesită planificare atentă și documentare. Iată un ghid practic pas cu pas, bazat pe bune practici și cerințele legale:

1. Evaluarea aplicabilității: Confirmă că produsul tău este un element digital (hardware/software) pus pe piața UE după 11 septembrie 2026. Dacă da, se aplică obligația raportării în 24 de ore.
2. Alegerea furnizorului: Compară furnizorii după preț publicat, domeniul mandatului, excluderi și reputație. Cere toate condițiile și prețurile de reînnoire în scris.
3. Contract și mandat: Semnează un mandat scris cu reprezentantul ales. REP27 emite un mandat semnat conform Articolului 18 și un certificat verificabil în 24 de ore. Asigură-te că entitatea juridică este în UE și înregistrată în registrul comercial.
4. Actualizarea documentației: Înregistrează datele reprezentantului în documentația de conformitate. Pregătește un proces clar de raportare, inclusiv cine poate declara un incident și cum se documentează dovezile.
5. Pregătirea internă: Numește cel puțin doi angajați ca submitenți pentru platforma ENISA, ideal în fusuri orare diferite. Pre-scrie șabloane de avertizare timpurie și desemnează responsabilul pentru notificarea în 72 de ore și comunicarea către utilizatori.
6. Răspuns la incidente: La detectarea unei vulnerabilități sau incidente calificate, notifică imediat reprezentantul. Acesta depune avertizarea timpurie la ENISA/CSIRT în 24 de ore, apoi urmează notificarea în 72 de ore și raportul final.
7. Înregistrarea evidențelor: Păstrează jurnale detaliate ale momentului luării la cunoștință, trimitere și comunicări. Acestea sunt critice dacă autoritățile verifică conformitatea.
8. Revizuire continuă: Revizuiește periodic procesele și actualizează datele de contact, șabloanele și responsabilitățile după nevoie.

Acest proces asigură respectarea termenelor stricte impuse de CRA și evitarea sancțiunilor. Cheia este pregătirea: definește declanșatorii, alocă roluri și exersează fluxul de lucru înainte ca legea să intre în vigoare.

Riscuri, amenzi și termene de conformitate

Cyber Resilience Act introduce riscuri legale și financiare semnificative pentru neconformitate. Articolul 15 detaliază procedurile de aplicare și sancțiunile. Cel mai imediat risc este depășirea termenului de 24 de ore pentru raportarea vulnerabilităților exploatate activ sau a incidentelor grave. Termenul începe de la momentul luării la cunoștință, nu de la finalizarea investigației. Întârzierile pot atrage amenzi de până la 15 milioane € sau 2,5% din cifra de afaceri globală, oricare este mai mare.

Alte riscuri includ:

• Întârzieri în accesul pe piață: Nenumirea unui reprezentant sau lipsa certificatului verificabil poate întârzia lansările de produse sau poate bloca achizițiile, mai ales în ciclurile de vânzări enterprise.
• Acțiuni de aplicare: Autoritățile pot iniția investigații, pot solicita documentație sau pot impune măsuri corective dacă obligațiile de raportare nu sunt respectate.
• Daune reputaționale: Eșecurile de raportare publică pot afecta brandul și încrederea clienților.
• Regimuri multiple de raportare: Un singur incident poate declanșa raportări conform CRA, NIS2, GDPR și GPSR, fiecare cu termene și autorități diferite. De exemplu, un atac ransomware care exploatează produsul poate necesita trei raportări separate.

Termenele de conformitate sunt stricte: obligația raportării în 24 de ore se aplică din 11 septembrie 2026 pentru produse noi. Produsele vechi plasate înainte de această dată sunt exceptate de raportarea în 24 de ore, dar trebuie să respecte alte prevederi CRA. Perioada de suport pentru actualizări de securitate — cel puțin cinci ani — este un alt cost ascuns ce trebuie planificat și bugetat ca linie de produs, nu ca proiect unic.

În concluzie, riscurile neconformității sunt substanțiale, iar costul nepregătirii este mult mai mare decât cel al numirii unui reprezentant calificat.

Matrice decizională: Ai nevoie de reprezentant autorizat CRA?

Folosește matricea de mai jos pentru a determina dacă ai nevoie de un reprezentant autorizat CRA:

Matricea acoperă majoritatea scenariilor. Dacă ai dubii, consultă un consilier juridic sau contactează un furnizor pentru clarificări. Reține, obligația revine producătorului sau reprezentantului său, nu importatorului sau distribuitorului, cu excepția cazului în care aceștia pun produsul sub propriul nume.

Lista de verificare: Pași pentru conformitatea cu raportarea CRA în 24 de ore

1. Cartografiază produsele: Listează toate produsele cu elemente digitale vândute în UE și datele lor de lansare.
2. Evaluează procesele interne: Revizuiește cum sunt detectate, escaladate și documentate vulnerabilitățile în organizația ta.
3. Alege un reprezentant: Compară furnizorii, cere confirmări scrise pentru toate taxele, prețurile de reînnoire și domeniul serviciilor.
4. Semnează mandatul: Obține un mandat semnat conform Articolului 18 și un certificat verificabil de la furnizorul ales.
5. Actualizează documentația: Adaugă datele reprezentantului în runbook-ul de conformitate. Pregătește șabloane pentru avertizare timpurie și notificare.
6. Alocă roluri de raportare: Numește cel puțin doi submitenți pentru platforma ENISA, ideal în fusuri orare diferite.
7. Testează fluxul de lucru: Realizează un exercițiu simulând o vulnerabilitate exploatată pentru a asigura că toți cunosc responsabilitățile și termenele.
8. Instruiește echipa: Educa angajații despre ce declanșează termenul de 24 de ore și cum să escaladeze incidentele.
9. Monitorizează actualizările reglementărilor: Fii la curent cu orice modificări ale cerințelor CRA sau ale platformelor de raportare înainte de septembrie 2026.
10. Revizuiește și actualizează regulat: Reanalizează procesele și documentația anual sau după orice incident major.

Urmarea acestei liste te va ajuta să fii pregătit să respecți obligațiile stricte de raportare CRA și să eviți amenzi costisitoare.

Scenarii realiste: Ce cale se aplică?

• Companie SaaS din SUA care vinde către afaceri din UE: Compania este producător non-UE care pune produse digitale pe piața UE. Trebuie să numească un reprezentant autorizat pentru raportarea din Articolul 18 (ex. REP27, kadano, Euverify). Echipa internă de securitate detectează vulnerabilități și notifică reprezentantul, care depune raportările ENISA/CSIRT în 24 de ore. Nu este implicat importator sau distribuitor, deci obligația este directă.
• Vânzător chinez pe Amazon care livrează dispozitive IoT consumatorilor din UE: Dacă vânzătorul este producător și stabilit în afara UE, trebuie să numească un reprezentant autorizat. Dacă Amazon acționează ca importator oficial, obligația de raportare poate reveni Amazon. Vânzătorul trebuie să clarifice cu platforma și, dacă este necesar, să numească un reprezentant și să actualizeze documentația produsului.
• Magazin online din Marea Britanie care vinde routere cu brand propriu în UE: Ca producător non-UE, firma britanică trebuie să numească un reprezentant autorizat pentru raportarea în 24 de ore. Datele reprezentantului trebuie incluse în documentația de conformitate, iar procesele interne trebuie pregătite pentru escaladarea rapidă a incidentelor. Dacă magazinul acționează și ca importator sau distribuitor sub propriul nume, pot apărea obligații suplimentare.

Aceste scenarii evidențiază importanța cartografierii lanțului de aprovizionare și clarificării rolurilor. Cea mai simplă cale conformă este să numești un reprezentant, să documentezi procesul și să te asiguri că echipa este instruită și pregătită pentru răspuns rapid.