Comparație furnizori raportare vulnerabilități Cyber Resilience Act (CRA)

• Raportarea vulnerabilităților CRA este obligatorie din 11 septembrie 2026
• Doar câțiva furnizori publică prețurile și detaliile incluse
• Reprezentarea acoperă transmiterea sesizărilor, nu evaluarea tehnică
• Compară excluderile, reînnoirile și procesele de verificare
• Amenzile pentru ne-raportare pot ajunge la €15 milioane sau 2,5% din cifra de afaceri
• Mandatul reprezentantului nu acoperă evaluare, SBOM sau suport tehnic

Actualizat 21 October 2026 · 12 surse verificate

Furnizori comparați

Prețuri publicate pe site-ul fiecărui furnizor la data de 21 October 2026, excluzând TVA-ul, cu excepția cazului în care se specifică altfel. Fiecare rând este legat de sursa sa.

Ce cere legea: obligații, articole și termene

Cyber Resilience Act (CRA), Regulamentul (UE) 2024/2847, introduce obligații stricte pentru cei care introduc pe piața UE produse cu componente digitale, hardware sau software, indiferent de locul stabilirii. Principalele obligații sunt:

• Numirea unui reprezentant autorizat (Art. 18): Dacă producătorul nu este stabilit în UE, trebuie să desemneze în scris un reprezentant în Uniune. Acest reprezentant răspunde de transmiterea sesizărilor de vulnerabilități și incidente grave către autoritățile competente (CSIRT, ENISA).
• Raportarea vulnerabilităților (Art. 14): Din 11 septembrie 2026, fiecare producător trebuie să raporteze în 24 de ore de la cunoașterea unei vulnerabilități exploatate activ sau a unui incident grav care afectează securitatea produsului. Raportarea se face prin platforma ENISA și este adresată CSIRT coordonator.
• Notificare completă și raport final: În 72 de ore de la raportarea inițială trebuie furnizată o notificare detaliată cu primele măsuri corective. În 14-30 zile se trimite raportul final cu detalii despre vulnerabilitate și soluția adoptată.
• Aplicare tuturor produselor digitale: Obligația vizează atât produse noi, cât și cele deja pe piață, acoperind întreg ciclul de viață, inclusiv actualizări și suport.
• Sancțiuni: Nerespectarea poate atrage amenzi de până la €15 milioane sau 2,5% din cifra globală de afaceri, în funcție de care este mai mare.

Este esențial să se distingă între raportarea CRA (vulnerabilități produs) și alte obligații precum GDPR (încălcări date personale) sau NIS2 (incidente de serviciu). Fiecare regim are destinatari, termene și platforme diferite.

Cum alegi furnizorul: criterii practice și riscuri

Alegerea furnizorului pentru raportarea vulnerabilităților CRA trebuie să se bazeze pe criterii practice și transparente. Iată punctele cheie de evaluat:

• Preț publicat și transparent: Preferă furnizori care declară clar prețul și costul de reînnoire. Evită ofertele cu prețuri „introductive” sau reînnoiri ascunse.
• Ce este inclus: Verifică dacă serviciul acoperă doar mandatul de reprezentant și transmiterea sesizărilor sau oferă și suport tehnic, documentație, SBOM sau workflow-uri avansate. Majoritatea furnizorilor se limitează la reprezentarea legală.
• Certificat verificabil: Un certificat cu cod QR și pagină publică de verificare reduce riscul de contestații în timpul auditului sau incidentelor.
• Desk activ 24/7: Raportarea trebuie să fie posibilă oricând, inclusiv noaptea, în weekend și sărbători. Întreabă explicit dacă desk-ul este operațional tot anul.
• Limbi și timpi de răspuns: Asigură-te că furnizorul poate gestiona cereri în engleză și, dacă e nevoie, în alte limbi UE. Timpii de transmitere peste 24 de ore pot pune în pericol conformitatea.
• Excluderi și limite: Niciun reprezentant nu acoperă evaluarea tehnică, testarea de securitate, generarea SBOM sau suportul inginerești: acestea rămân responsabilitatea producătorului sau a furnizorilor specializați.

Evaluarea clarității excluderilor este esențială: un furnizor care nu le specifică riscă să nu fi definit corect aria serviciului.

Ce include cu adevărat prețul: tabel comparativ și analiză

Majoritatea furnizorilor oferă mandatul reprezentant și transmiterea sesizărilor, dar puțini acoperă servicii tehnice suplimentare. Iată un tabel comparativ:

Diferența principală între furnizorii „clasici” (REP27, kadano, Euverify) și cei care oferă servicii mai largi (Attestra AI, Seentrix, Illicium) este că primii se limitează la obligațiile minime legale, în timp ce ceilalți propun și workflow-uri de securitate, SBOM automatizate sau pentesting. Totuși, pentru conformitatea cu Art. 18 și 14 CRA este suficient mandatul reprezentant și garanția transmiterii rapide a sesizărilor.

Atenție: prețul publicat acoperă doar ceea ce este explicit declarat. Serviciile tehnice suplimentare sunt adesea cotate separat și pot fi mult mai costisitoare.

Costuri ascunse, excluderi și ce nu spun furnizorii

Mulți furnizori nu publică prețul de reînnoire sau aplică taxe suplimentare pentru cereri în afara programului, eliberare certificate extra sau suport în limbi diferite de engleză. Iată ce trebuie să ții cont:

• Reînnoiri: Cere întotdeauna prețul de reînnoire scris înainte de semnare. REP27 îl publică clar (€440), alții îl comunică doar la cerere.
• Excluderi: Niciun furnizor nu acoperă evaluări de conformitate, testare de securitate, generare SBOM sau suport inginerești. Aceste servicii sunt separate și adesea mult mai scumpe decât mandatul reprezentant.
• Limitări de responsabilitate: Furnizorii nu își asumă responsabilitatea pentru erori tehnice, ne-raportarea de către client sau gestionarea vulnerabilităților în sine.
• Perioadă de notificare: Unii furnizori pot cere preaviz pentru încetarea serviciului sau schimbarea reprezentantului. Verifică întotdeauna condițiile contractuale.
• Taxe per cerere: Dacă nu există informații publice, întreabă dacă se aplică costuri pentru cereri suplimentare, eliberare certificate noi sau suport de urgență.

Tabel decizional:

În concluzie, claritatea asupra excluderilor și costurilor ascunse este esențială pentru a evita surprize și a asigura conformitatea deplină.

Cum funcționează numirea: pași și checklist practic

Numirea reprezentantului CRA urmează câțiva pași esențiali. Iată un ghid detaliat:

1. Verifică obligația: Ești producător de produse digitale (hardware/software) vândute în UE și nu ai sediu în Uniune? Dacă da, ești obligat.
2. Alege furnizorul: Compară prețuri, incluziuni, excluderi și procese de verificare. Preferă furnizori cu desk 24/7 și certificat public verificabil.
3. Semnează mandatul: Mandatul trebuie să fie scris, semnat de persoana juridică a furnizorului (ex. Europe Services, SE pentru REP27) și limitat la obligațiile Art. 18. Evită mandate care acoperă și Art. 13.
4. Primește certificatul: Furnizorul emite un certificat de numire, preferabil cu cod QR și pagină online de verificare.
5. Pregătește runbook-ul intern: Include datele reprezentantului, procedura de escaladare și contactele pentru raportare în documentația internă.
6. Configurează canalul de raportare: Pregătește un canal intern pentru colectarea sesizărilor de vulnerabilități și incidente, cu cel puțin două persoane desemnate ca submitteri pe platforma ENISA.
7. Formează echipa: Asigură-te că personalul știe ce și când să raporteze și că procedurile sunt testate prin simulări.

Checklist practic:

1. Ai identificat clasele de produs și destinația lor în UE?
2. Ai mapat toate canalele de vânzare și distribuție?
3. Ai ales un furnizor cu desk 24/7 și preț de reînnoire transparent?
4. Ai scris procedurile de escaladare și raportare?
5. Ai numit cel puțin doi submitteri pe platforma ENISA?
6. Ai testat fluxul de raportare prin simulare?

Urmând acești pași reduci riscul de neconformitate și sancțiuni.

Riscuri, amenzi și scenarii reale: ce se poate întâmpla în practică

Neraportarea unei vulnerabilități în 24 de ore poate atrage sancțiuni de până la €15 milioane sau 2,5% din cifra globală de afaceri, pe lângă daune reputaționale și blocarea vânzărilor în UE. Iată trei scenarii realiste pentru clarificarea obligațiilor:

• SaaS SUA: O companie SaaS americană care oferă servicii clienților UE trebuie să numească un reprezentant CRA, să activeze un canal de raportare 24/7 și să raporteze orice vulnerabilitate exploatată. Furnizorul reprezentant transmite sesizările prin ENISA și răspunde cererilor autorităților.
• Vânzător Amazon China: Dacă vânzătorul este și producător al produsului digital, trebuie să numească un reprezentant CRA și să respecte termenele de raportare. Dacă este doar revânzător, obligația revine producătorului. Canalul de raportare trebuie să fie funcțional din 11 septembrie 2026.
• Magazin online UK: Un magazin online britanic care vinde dispozitive cu firmware clienților UE trebuie să numească un reprezentant CRA. Dacă oferă doar servicii non-digitale, nu este obligat. În caz de incident, raportarea trebuie făcută în 24 de ore, chiar dacă sediul este în afara UE.

În toate cazurile, lipsa pregătirii (fără runbook, canal ne-testat, reprezentant ne-verificabil) poate încetini răspunsul și agrava consecințele legale și financiare.