„La introducerea pe piață a unui produs cu elemente digitale, fabricanții se asigură că acesta a fost proiectat, dezvoltat și fabricat în conformitate cu cerințele esențiale de securitate cibernetică prevăzute în partea I din anexa I.”Parlamentul European și Consiliul Uniunii Europene · Regulamentul (UE) 2024/2847 privind cerințe orizontale de securitate cibernetică pentru produsele cu elemente digitale · 2024 · Regulamentul (UE) 2024/2847 (actul privind reziliența cibernetică), art. 13 alin. (1) — obligațiile fabricantului
Din 11 septembrie 2026, ceasul de 24 de ore pornește în clipa în care fabricantul află de o vulnerabilitate exploatată activ.
Regulamentul (UE) 2024/2847, pe scurt actul privind reziliența cibernetică, mută răspunderea pe fabricant: produsul trebuie proiectat, dezvoltat și fabricat după cerințele esențiale din partea I a anexei I, iar riscul se evaluează și se documentează pe toată durata perioadei de suport. Practic înseamnă livrare fără vulnerabilități cunoscute exploatabile, configurare sigură implicită, actualizări de securitate și o listă a componentelor software pentru dependențele de nivel superior. Calendarul e etajat. Obligațiile de raportare din articolul 14 se aplică din 11 septembrie 2026: o vulnerabilitate exploatată activ se anunță printr-o avertizare timpurie în 24 de ore, printr-o notificare în 72 de ore și cu un raport final în 14 zile. Restul regulamentului se aplică din 11 decembrie 2027. Pentru cine are deja un sistem certificat, controalele de dezvoltare sigură din Anexa A, 8.25-8.28, de la ciclul de viață securizat până la codificarea sigură, sunt exact locul de unde se pornește.
Cardul spune când se pornește ceasul. Pasul următor e ce se întâmplă în cele 24 de ore, înainte de a ști ceva sigur. Notificarea timpurie nu cere o analiză completă, ci doar semnalul că o vulnerabilitate e exploatată activ și că produsul tău e afectat. Asta schimbă ordinea muncii: întâi anunți, apoi investighezi. Un proces clasic de securitate așteaptă diagnosticul complet înainte de a comunica; aici comunicarea vine prima. Gândește-te la un frigider conectat sau la o cameră video de acasă: dacă producătorul află luni că cineva o exploatează, ceasul a pornit deja. Deci întrebarea practică nu e „avem procedură?", ci „putem trimite o avertizare corectă într-o noapte?". Iar asta depinde de cine, în firmă, are puterea de a decide fără a aștepta șeful de dimineață.
Pasajul 1 s-a oprit la cine poate decide într-o noapte. Pasajul 2 privește ce se întâmplă după: cele 72 de ore și raportul final. Avertizarea timpurie spune doar „se întâmplă ceva". Notificarea de la 72 de ore trebuie să aducă primele fapte: ce afectează, cum se exploatează, cine e atins. Adică firma are nevoie de un canal gata făcut către autoritatea de securitate, nu de una găsită sub presiune. Gândește-te la un lanț de pizza: dacă nu știi dinainte cui telefonezi, comanda pierde oricum timpul cel mai scump. Iar raportul final, la 14 zile, închide povestea cu ce s-a cauzat și ce s-a reparat. Asta înseamnă că investigația, comunicarea și remedierea trebuie să ruleze paralel, nu la rând. Următoarea întrebare firească: cine, de fapt, primește aceste notificări și ce face cu ele?
Pasajul 2 s-a întrebat cine primește notificările. Răspunsul e gândit ca un filtru, nu ca o coadă: fabricantul trimite către un punct de contact desemnat, iar informația ajunge la rețeaua europeană de răspuns la incidente și la autoritățile de supraveghere a pieței. Scopul nu e doar să știe cine a fost lovit, ci să vadă imaginea de ansamblu. Dacă mai mulți producători raportează aceeași vulnerabilitate dintr-o componentă comună, problema se dezvăluie ca sistemică. Gândește-te la un bloc în care mai mulți vecini sesizează aceeași scurgere: separat, fiecare pare un accident; împreună, arată o defecțiune a țevii principale. Pentru fabricant asta înseamnă că raportarea nu e un act de conformitate izolat, ci o piesă dintr-un sistem de avertizare timpurie la nivel de Uniune. Următoarea întrebare: ce se întâmplă dacă vulnerabilitatea nu e a ta, ci a unui furnizor din lista componentelor?
De ce contează Termenul de 24 de ore nu se negociază în timpul incidentului: ori există un proces de tratare a vulnerabilităților care îl poate respecta, ori nu există.