cyber_Folks: Fără monitorizare continuă, termenul de 24 de ore devine o problemă
Începând cu 11 septembrie 2026, producătorii de software și hardware comercializate în Europa care intră sub incidența Cyber Resilience Act (CRA) trebuie să raporteze vulnerabilitățile exploatate activ și incidentele severe de securitate, cu o primă notificare în maximum 24 de ore de la momentul în care iau cunoștință de situație, arată un comunicat de presă. În România, aproape 35.000 de companii sunt înregistrate pentru activități de realizare a software-ului la comandă, iar noile cerințe europene devin relevante pentru o parte importantă a ecosistemului de software și produse digitale. cyber_Folks atrage atenția că, pentru companiile vizate, principala provocare nu este doar respectarea termenului de raportare, ci capacitatea de a identifica și evalua suficient de repede o vulnerabilitate sau un incident.
Noile obligații de raportare intră în vigoare cu 15 luni înainte de aplicarea integrală a Cyber Resilience Act, prevăzută pentru 11 decembrie 2027. Regulamentul introduce cerințe obligatorii de securitate pentru produsele cu elemente digitale puse la dispoziție pe piața Uniunii Europene și acoperă atât produse software, cât și hardware.
„Un termen de 24 de ore poate părea suficient dacă îl privim doar ca pe un termen administrativ. În realitate, provocarea începe înainte de raportare: compania trebuie să afle că există o vulnerabilitate exploatată sau un incident, să înțeleagă ce produs este afectat și să poată mobiliza rapid oamenii care trebuie să ia o decizie. Dacă informația ajunge prea târziu, raportarea în termen devine dificilă. De aceea, monitorizarea constantă a surselor relevante și existența unor responsabilități clare sunt esențiale”, spune Ionuț Ariton, co-CEO cyber_Folks România.
Cyber Resilience Act nu impune raportarea oricărei vulnerabilități identificate. Obligațiile vizează vulnerabilitățile exploatate activ și incidentele severe care afectează securitatea unui produs cu elemente digitale. După avertizarea inițială transmisă în maximum 24 de ore, producătorul trebuie să trimită o notificare mai detaliată în maximum 72 de ore.
Raportarea se face prin Single Reporting Platform, platforma administrată de Agenția Uniunii Europene pentru Securitate Cibernetică – ENISA, care devine operațională tot pe 11 septembrie 2026.
Echipa cyber_Folks identifică, în medie, 1–2 vulnerabilități critice pe săptămână
Experiența operațională a cyber_Folks arată că vulnerabilitățile critice care necesită atenție nu sunt evenimente izolate. În ultimele aproximativ trei luni, echipa tehnică a identificat, în medie, una până la două vulnerabilități critice pe săptămână pentru care a fost necesară aplicarea unor patch-uri de securitate sau, în anumite situații, a unor măsuri temporare de mitigare până la apariția remedierii oficiale din partea furnizorului sau dezvoltatorului.
Pentru tehnologiile utilizate în infrastructură, echipa urmărește alertele de securitate și liste de vulnerabilități și primește notificări privind problemele cu risc ridicat inclusiv din partea furnizorilor și partenerilor tehnologici, precum cPanel și CloudLinux. Există și situații în care dezvoltatorul unei platforme anunță existența unei vulnerabilități înainte ca patch-ul oficial să fie disponibil. În astfel de cazuri, echipa tehnică cyber_Folks aplică măsuri temporare de protecție pentru reducerea riscului asociat vulnerabilității, până când dezvoltatorul publică remedierea oficială, care poate fi apoi implementată.
Un alt indicator relevant este modul în care informația ajunge la echipele tehnice. În ultimele 90 de zile, cyber_Folks nu a înregistrat niciun caz în care un utilizator să semnaleze o vulnerabilitate înainte ca aceasta să fie identificată prin fluxurile de informații urmărite de echipă. Acest lucru arată importanța monitorizării constante a informațiilor publicate de furnizorii de tehnologie și alertele de securitate, mai ales într-un context în care timpul dintre apariția unei probleme și necesitatea unei reacții poate fi foarte scurt.
„Vulnerabilitățile apar suficient de frecvent încât urmărirea lor nu mai poate fi tratată ca o activitate ocazională. Uneori există un patch imediat, alteori problema este confirmată înainte ca remedierea să fie disponibilă și trebuie evaluat ce măsură temporară va fi aplicată. Pentru companiile care intră sub incidența CRA, este important să existe un circuit clar: cine urmărește informațiile, cine stabilește dacă produsul este afectat, cine decide intervenția și cine gestionează obligația de raportare”, adaugă Ionuț Ariton.
Noile obligații vizează și produsele deja aflate pe piață
Obligațiile care intră în vigoare pe 11 septembrie nu privesc numai produsele care vor fi lansate după aplicarea integrală a regulamentului. Cerințele de raportare prevăzute de articolul 14 se aplică și produselor cu elemente digitale puse pe piață anterior datei de 11 decembrie 2027, dacă acestea intră în domeniul de aplicare al CRA.
În plus, o vulnerabilitate exploatată activ poate proveni și dintr-o componentă dezvoltată de un terț și integrată într-un produs. Biblioteci software, module, pluginuri sau alte componente third-party pot introduce vulnerabilități care trebuie identificate și evaluate de producătorul produsului final. În practică, acest lucru crește importanța unui inventar actualizat al componentelor utilizate și a urmăririi informațiilor de securitate publicate de furnizorii acestora.
Pentru companiile vizate de CRA, pregătirea pentru noile obligații presupune inventarierea produselor și componentelor utilizate, stabilirea unui mecanism prin care vulnerabilitățile pot fi identificate și evaluate, monitorizarea surselor relevante, desemnarea persoanelor responsabile și definirea unui flux intern care să permită reacția și raportarea în termenele prevăzute de regulament.
