Cum raportez vulnerabilitățile în 24 de ore conform Cyber Resilience Act

• Articolul 14 CRA: raportare în 24 de ore a vulnerabilităților exploatate/incidente grave.
• Raportarea se face prin platforma ENISA către CSIRT-ul coordonator.
• Producătorii non-UE trebuie să numească un reprezentant autorizat.
• REP27 — Europe Services, SE: mandat €490/an (preț verificat).
• Costuri ascunse: inginerie internă, perioada de suport, evaluare conformitate.
• Furnizorii diferă în prețuri publicate, servicii incluse și transparență.

Actualizat 20 October 2026 · 12 surse verificate

Furnizori comparați

Prețuri publicate pe site-ul fiecărui furnizor la data de 20 October 2026, excluzând TVA-ul, cu excepția cazului în care se specifică altfel. Fiecare rând este legat de sursa sa.

Ce cere Cyber Resilience Act (cu numere de articole)

Cyber Resilience Act (CRA) este o reglementare amplă care se aplică tuturor produselor cu elemente digitale puse pe piața UE, indiferent dacă sunt hardware sau software (Articolul 1, sursă). Obiectivul principal este ca produsele să fie proiectate, dezvoltate și întreținute cu securitatea cibernetică integrată în ciclul lor de viață. Legea a intrat în vigoare la 10 decembrie 2024 (Articolul 71(1)), dar majoritatea obligațiilor, inclusiv raportarea, devin obligatorii din 11 septembrie 2026 pentru Articolul 14 și complet din 11 decembrie 2027 (Articolul 71(2)).

Articolul 14 este esențial pentru răspunsul la incidente: producătorii trebuie să raporteze orice vulnerabilitate exploatată activ sau incident grav ce afectează securitatea produsului în termen de 24 de ore de la luarea la cunoștință. Raportarea se face prin platforma ENISA către CSIRT-ul coordonator. Timpul începe de la momentul luării la cunoștință, nu după investigare sau confirmare. O notificare completă este necesară în 72 de ore, iar un raport final în 14 zile. Termenul include weekend-uri și sărbători — nu există prelungiri sau pauze.

Articolul 18 impune producătorilor non-UE să numească un reprezentant autorizat stabilit în UE. Acest reprezentant este canalul oficial de raportare și contact pentru autorități. Fără acesta, importatorul sau distribuitorul devine responsabil implicit, ceea ce poate crea riscuri comerciale și de conformitate.

Produsele puse pe piață înainte de 11 decembrie 2027 sunt supuse CRA doar dacă suferă o modificare substanțială după această dată (Articolul 69(2)). Nerespectarea poate atrage amenzi de până la 15 milioane € sau 2,5% din cifra globală de afaceri (sursă).

• Articolul 14: raportare în 24 de ore a vulnerabilităților exploatate/incidente grave
• Articolul 18: reprezentant autorizat pentru producătorii non-UE
• Articolul 69(2): reguli pentru produse vechi

Cum aleg un reprezentant autorizat CRA

Alegerea reprezentantului autorizat CRA este critică pentru producătorii non-UE. Reprezentantul este canalul oficial pentru raportarea vulnerabilităților și contactul cu autoritățile în UE. Iată factorii principali de luat în considerare:

• Transparența prețurilor: Doar câțiva furnizori publică prețuri verificate. REP27 — Europe Services, SE oferă un mandat clar la €490/an (reînnoire €440), kadano listează €999/an, iar Euverify £590/an. Alții cer ofertă directă.
• Domeniul serviciului: Confirmați ce este inclus în tarif. Mandatul Articolului 18 este minimul, dar unii furnizori oferă servicii suplimentare precum monitorizare, păstrare dovezi sau documentație autoevaluare (vezi CRAguard, ProvenVEX, SECURiMENT).
• Excluderi: Niciun furnizor de mai sus nu include evaluarea conformității, testarea securității sau generarea SBOM în taxa mandatului. Acestea sunt costuri separate de inginerie sau organisme notificate.
• Certificat și verificare: Căutați un furnizor care oferă certificat verificabil (REP27 oferă cod QR și pagină publică de verificare).
• Termeni de reînnoire: Asigurați-vă că prețul de reînnoire este declarat în scris înainte de plata primei facturi. Reînnoirile tacite sau neclare sunt o problemă frecventă pe această piață.
• Procesul de răspuns: Întrebați cum sunt gestionate solicitările autorităților, în ce limbi și în ce interval orar. Un birou cu personal 24/7 este esențial pentru respectarea termenului de 24 de ore.

Mai jos este o comparație a ceea ce este inclus și exclus de fiecare furnizor, pe baza informațiilor publicate:

Solicitați întotdeauna un contract scris care să listeze toate includerile, excluderile și termenii de reînnoire.

Ce include cu adevărat prețul

Înțelegerea a ceea ce este (și nu este) inclus în prețul publicat este crucială pentru bugetare și planificarea conformității. Taxa mandatului Articol 18 acoperă de obicei doar numirea legală și operarea unui birou de raportare în UE. Iată ce înseamnă în practică:

• Mandatul și biroul de raportare: Reprezentantul este împuternicit să acționeze ca punctul oficial de contact pentru raportarea vulnerabilităților. Pentru REP27, aceasta include un birou cu personal 24/7, gestionarea canalului CSIRT/ENISA și un certificat verificabil cu cod QR. Kadano și Euverify oferă mandate similare, dar fără detalii suplimentare publice.
• Servicii integrate: Unii furnizori (CRAguard, ProvenVEX, SECURiMENT) oferă servicii suplimentare precum monitorizarea dependențelor, păstrarea dovezilor sau fluxuri de răspuns la incidente. Acestea nu sunt tarifate public și pot implica costuri semnificative suplimentare.
• Ce nu este inclus: Niciun furnizor din comparație nu include evaluarea conformității, testarea securității sau generarea SBOM. Acestea sunt costuri separate, adesea substanțiale, gestionate de organisme notificate sau echipa tehnică internă.
• Prețul de reînnoire: Doar REP27 publică un preț de reînnoire (€440/an), mai mic decât taxa pe primul an. Kadano și Euverify nu declară public termenii de reînnoire.

La compararea furnizorilor, cereți întotdeauna o defalcare detaliată a ceea ce este inclus în preț și ce generează costuri suplimentare. Unii pot oferi și reprezentare combinată GDPR Articol 27 sau NIS2 pentru o taxă unică (REP27: €690/an pentru CRA+GDPR, €990/an pentru CRA+GDPR+NIS2).

Tabel sumar:

Costuri ascunse și excluderi

Deși taxa mandatului reprezentantului este adesea cea mai mică componentă în conformitatea CRA, costurile ascunse și excluderile pot fi semnificative:

• Timp inginerie internă: Autoevaluarea, documentația și pregătirea SBOM-urilor sunt obligatorii, dar nu incluse în taxa reprezentantului. Aceste activități necesită resurse tehnice dedicate.
• Perioada de suport: CRA impune cel puțin cinci ani de actualizări de securitate pentru majoritatea produselor. Bugetați mentenanța continuă ca linie de produse, nu ca proiect unic.
• Evaluarea conformității: Pentru produse importante clasa II sau critice, este necesară evaluarea de către organism notificat. Aceasta poate costa mii de euro și dura luni. Niciun reprezentant nu acoperă acest cost.
• Detectarea incidentelor: Reprezentantul nu monitorizează sistemele pentru vulnerabilități. Echipa dvs. de securitate este responsabilă pentru detectare și triere inițială.
• Taxe per incident sau solicitare: REP27 declară că nu percepe taxe suplimentare pentru solicitări, dar alți furnizori pot taxa servicii adiționale sau gestionarea incidentelor. Clarificați întotdeauna în scris.
• Limite de răspundere: Furnizorii limitează de obicei răspunderea la mandat. Nu sunt responsabili pentru raportări ratate din cauza erorilor interne.
• Perioade de notificare și termeni de reînnoire: Reînnoirile tacite sau neclare pot genera costuri neașteptate sau lipsă de acoperire. REP27 publică termeni și prețuri; alții nu.

Ce nu spun de obicei furnizorii:

• Mandatul nu acoperă detectarea vulnerabilităților, aplicarea patch-urilor sau notificarea utilizatorilor — acestea rămân responsabilitatea dvs.
• Solicitările de documentație de la autorități pot fi întârziate dacă runbook-ul este incomplet sau echipa nepregătită.
• Schimbarea furnizorului poate fi complexă dacă mandatul nu este clar limitat la Articolul 18(3).

Solicitați întotdeauna o listă clară a excluderilor și confirmați toți termenii în scris înainte de semnare.

Cum funcționează numirea: pas cu pas

Numirea unui reprezentant autorizat CRA este un proces structurat. Iată cum funcționează în practică, cu pași concreți și sfaturi:

1. Determinați-vă statutul: Sunteți producătorul unui produs cu elemente digitale pus pe piața UE? Dacă da, continuați. Dacă sunteți doar importator sau distribuitor, verificați dacă puneți produsul pe piață sub propriul nume.
2. Verificați stabilirea: Dacă nu aveți entitate juridică în UE, trebuie să numiți un reprezentant autorizat. Dacă aveți o filială UE care acționează ca producător, raportați direct.
3. Alegeți un furnizor: Comparați furnizorii după prețuri publicate, domeniu și transparență. REP27, kadano și Euverify publică prețuri; alții oferă detalii la cerere.
4. Semnați un mandat scris: Furnizorul (ex. REP27) emite o scrisoare de desemnare semnată, de obicei cu semnătură electronică eIDAS și certificat verificabil. Confirmați că mandatul este limitat la obligațiile Articolului 18(3).
5. Actualizați documentația de conformitate: Adăugați datele reprezentantului în fișierele tehnice, runbook și orice documentație de produs cerută de CRA.
6. Configurați procesul de raportare: Numiți cel puțin doi operatori cu acces la platforma ENISA. Pregătiți șabloane de avertizare timpurie și notificare din timp.
7. Definiți declanșatoarele și procesul intern: Documentați ce înseamnă a lua la cunoștință despre o vulnerabilitate exploatată sau incident grav. Decideți cine poate declara și ce dovezi sunt necesare (ex. exploatare observată, raport credibil de la client).
8. Țineți evidența: Păstrați marcaje temporale pentru luarea la cunoștință, trimitere și actualizări. Sunt dovezi esențiale dacă termenul este contestat.
9. Pregătire continuă: Instruți echipa, testați procesul de raportare și revizuiți runbook-ul regulat.

Acest proces vă asigură că respectați termenul de raportare de 24 de ore și evitați lacunele de conformitate.

Riscuri și amenzi

Riscurile nerespectării CRA sunt substanțiale, atât financiar, cât și operațional:

• Amenzi: Nerespectarea poate atrage amenzi administrative de până la 15 milioane € sau 2,5% din cifra globală de afaceri, oricare este mai mare. Aceste penalități se aplică pentru termene ratate, lipsa reprezentantului sau răspuns inadecvat la incidente (sursă).
• Riscuri operaționale: Întârzierile în raportare pot duce la investigații, retrageri de produse sau interdicții de acces pe piață. Achizițiile și distribuția pot fi blocate dacă nu puteți demonstra un reprezentant UE valid.
• Daune reputaționale: Neraportarea promptă către utilizatori sau autorități poate genera publicitate negativă și pierderea încrederii clienților.
• Disfuncții interne: Fără un proces clar de raportare, se pot pierde ore valoroase în timpul unui incident, crescând riscul și costurile.

Exemple de probleme posibile:

• Petrecerea primelor ore ale unui incident încercând să identificați CSIRT-ul corect sau ruta de raportare, pierzând timp prețios.
• Solicitările de documentație ajung la un birou din alt fus orar, cauzând întârzieri.
• Un distribuitor este tratat implicit ca rută de raportare, pierzându-se controlul asupra gestionării incidentului.
• Lipsește acoperirea mandatului din cauza termenilor neclari de reînnoire.

Reduceți aceste riscuri numind un reprezentant transparent, receptiv și menținând un proces intern robust.

Matrice decizională: Ai nevoie de reprezentant CRA?

Folosiți matricea de mai jos pentru a determina dacă aveți nevoie de reprezentant autorizat CRA în funcție de modelul de afaceri și locație:

Verificați întotdeauna statutul și obligațiile înainte de a numi un reprezentant.

Listă de verificare: Pași pentru conformitatea raportării CRA în 24 de ore

1. Identificați dacă produsul este acoperit de CRA (element digital, piața UE).
2. Confirmați dacă sunteți producător (nu doar importator/distribuitor).
3. Dacă sunteți în afara UE, numiți un reprezentant autorizat CRA și obțineți mandat scris.
4. Documentați datele reprezentantului în fișierele tehnice și registrele de conformitate.
5. Configurați un canal de preluare 24/7 pentru rapoarte de vulnerabilități (intern sau prin reprezentant).
6. Numiți cel puțin doi operatori cu acces la platforma ENISA.
7. Pregătiți șabloane de avertizare timpurie și notificare pentru completare rapidă.
8. Instruți personalul despre ce declanșează raportarea și cum să răspundă în 24 de ore.
9. Definiți și documentați dovezile necesare pentru "a lua la cunoștință" despre o vulnerabilitate sau incident.
10. Înregistrați toate marcajele temporale relevante pentru dovada conformității și audit.
11. Revizuiți și actualizați regulat runbook-ul și procesul de raportare.

Urmarea acestei liste vă ajută să evitați cele mai frecvente erori de conformitate.

Scenarii realiste: Ce obligație se aplică?

• Companie SaaS din SUA care vinde în UE: Ca producător non-UE, trebuie să numiți un reprezentant autorizat CRA (ex. REP27) ca rută de raportare. Configurați un canal 24/7 și asigurați-vă că cel puțin doi angajați pot trimite rapoarte prin platforma ENISA. Pregătiți șabloane de avertizare timpurie și documentați procesul de determinare a exploatării active.
• Vânzător Amazon chinez (brand propriu): Dacă produceți și vindeți produse digitale cu brand propriu în UE, aveți nevoie de reprezentant CRA. Dacă doar revindeți branduri terțe, nu aveți nevoie. Numirea reprezentantului, actualizarea dosarelor de conformitate și pregătirea pentru raportare în 24 de ore sunt obligatorii.
• Magazin online UK cu dispozitiv IoT propriu: Dacă vindeți direct consumatorilor din UE, sunteți producător și trebuie să numiți reprezentant CRA. Dacă vindeți doar în UK, CRA nu se aplică. Dacă folosiți un distribuitor UE care pune produsul pe piață sub numele său, acesta preia responsabilitatea.

În toate cazurile, cea mai simplă cale de conformitate este să numiți un reprezentant transparent, cu preț fix, să documentați procesul de raportare și să instruiți echipa înainte de data aplicării legii.