Comisia explică ce produse intră sub noile reguli europene de securitate cibernetică înaintea primelor obligații din septembrie

Comisia Europeană a publicat clarificări practice pentru producătorii și dezvoltatorii care trebuie să aplice Regulamentul privind reziliența cibernetică, inclusiv exemple despre aplicații, dispozitive conectate, software open-source, servicii cloud și actualizări de produs. Orientările apar înainte ca obligațiile de raportare a vulnerabilităților exploatate activ și a incidentelor grave să înceapă la 11 septembrie 2026 și explică modul în care companiile trebuie să se pregătească pentru aplicarea completă a principalelor cerințe din 11 decembrie 2027.

Regulamentul privind reziliența cibernetică schimbă modul în care sunt tratate în Uniunea Europeană produsele care conțin componente digitale și pot comunica cu alte dispozitive sau rețele. Până acum, securitatea unui astfel de produs depindea în mare măsură de practicile producătorului și de regulile aplicabile anumitor sectoare. Noul cadru introduce cerințe comune pentru proiectare, dezvoltare, introducere pe piață, actualizări și tratarea vulnerabilităților.

Produsele vizate includ atât dispozitive fizice, cât și programe software. Un telefon, un laptop, un router, un ceas inteligent, un frigider conectat sau un echipament industrial poate intra sub incidența regulilor. Același lucru este valabil pentru o aplicație instalată pe telefon, un program descărcat de pe internet, firmware-ul unui dispozitiv, un sistem de operare sau o componentă hardware comercializată separat.

Conexiunea nu trebuie să fie neapărat directă la internet. Un produs poate intra sub incidența regulamentului dacă schimbă date prin cablu, Wi-Fi, Bluetooth, unde radio, interfețe software sau printr-un sistem mai mare care este conectat la o rețea. O aplicație care nu inițiază singură conexiunea, dar rulează pe un dispozitiv conectat, poate avea o legătură indirectă relevantă.

Un dispozitiv electronic nu este însă acoperit numai pentru că folosește software în interior. O mașină de spălat vase al cărei firmware controlează programele de spălare, dar care nu se poate conecta la alte dispozitive sau rețele, nu intră în domeniul general al regulamentului. Aceeași logică se aplică unui calculator electronic simplu, unei jucării electronice sau unei cafetiere fără funcții de conectivitate.

Orientările clarifică și diferența dintre software-ul instalat de utilizator și serviciile accesate exclusiv online. O aplicație descărcată și instalată pe telefon este un produs cu elemente digitale. Un program instalat pe un calculator, chiar dacă este construit cu tehnologii web, poate fi de asemenea acoperit.

O aplicație web folosită numai prin browser nu este, în mod normal, tratată ca produs digital separat. Situația se schimbă dacă funcția online este indispensabilă unui produs și a fost proiectată de producător sau sub responsabilitatea sa. În acest caz, partea de procesare la distanță poate deveni o componentă a produsului în sensul regulamentului.

Un termostat inteligent care depinde de software-ul producătorului găzduit în cloud pentru a primi comenzi de la aplicația mobilă oferă un exemplu. Dacă funcțiile inteligente nu ar putea opera fără procesarea la distanță, iar software-ul respectiv a fost dezvoltat de producător sau în numele său, sistemul cloud relevant trebuie inclus în evaluarea securității produsului.

Producătorul nu devine automat responsabil pentru întreaga infrastructură a furnizorului de cloud. Responsabilitatea sa privește software-ul care permite funcționarea produsului și interfețele prin care acesta comunică cu serviciile externe. Sistemele interne de salarizare, administrare a personalului sau gestionare generală a companiei nu devin parte a produsului numai pentru că aparțin aceluiași producător.

Atunci când produsul depinde de un serviciu furnizat de o altă companie, producătorul trebuie în continuare să evalueze riscurile create de această dependență. Un serviciu cloud de stocare, un chat pentru clienți sau o infrastructură externă poate să nu intre direct în produs, dar compromiterea sa poate afecta utilizatorii. Producătorul trebuie să introducă măsuri la nivelul produsului și să verifice dacă furnizorul oferă garanții adecvate de securitate.

Clarificările stabilesc și modul în care trebuie tratate produsele proiectate înainte de aplicarea completă a regulamentului. Faptul că un model a fost conceput înainte de 11 decembrie 2027 nu îl exclude automat dacă noi unități sunt introduse pe piață după această dată.

Producătorul nu este obligat să reproiecteze un produs mai vechi atunci când poate demonstra, prin evaluarea riscurilor și documentația tehnică, faptul că măsurile existente asigură un nivel adecvat de securitate. El trebuie însă să finalizeze evaluarea conformității, să întocmească declarația europeană de conformitate și să aplice marcajul CE înainte de introducerea noilor unități pe piață.

Produsele introduse pe piață înainte de 11 decembrie 2027 sunt supuse majorității cerințelor numai dacă, după această dată, primesc o modificare substanțială. Obligațiile de raportare reprezintă o excepție și se vor aplica și produselor mai vechi care intră în domeniul regulamentului.

O modificare substanțială nu este determinată numai de dimensiunea actualizării. Elementul decisiv este efectul asupra scopului produsului sau asupra profilului său de risc. O funcție aparent minoră poate produce o schimbare substanțială dacă deschide o nouă cale de atac sau modifică modul în care sunt protejate datele.

Adăugarea unei funcții prin care o aplicație păstrează permanent datele de autentificare poate introduce riscuri de furt al tokenurilor și preluare a sesiunii. Dacă asemenea riscuri nu au fost analizate anterior, actualizarea poate fi considerată o modificare substanțială.

Același lucru este posibil dacă un program care doar afișa informații primește capacitatea de a controla utilaje sau dacă o aplicație începe să analizeze automat conținutul utilizatorului și să ia decizii care nu făceau parte din scopul inițial. Produsul modificat trebuie atunci tratat, pentru partea relevantă, ca unul introdus din nou pe piață.

O actualizare care repară o vulnerabilitate fără să schimbe scopul produsului și fără să creeze riscuri noi nu este, în mod normal, o modificare substanțială. Această regulă permite producătorilor să furnizeze remedieri importante fără să repete automat întreaga evaluare de conformitate.

Chiar și o actualizare prezentată drept una de securitate poate deveni substanțială dacă schimbă fundamental arhitectura produsului. Trecerea de la criptarea locală a fișierelor la un serviciu extern care stochează și procesează toate datele modifică atât funcționarea, cât și fluxurile de date și dependențele produsului.

Dacă o altă companie modifică substanțial produsul și îl oferă din nou pe piață, aceasta poate deveni producătorul produsului modificat. Responsabilitatea sa poate fi limitată la partea schimbată dacă modificarea nu afectează securitatea întregului produs. Dacă profilul general de securitate este schimbat, obligațiile se aplică produsului în ansamblu.

Ghidul explică separat reparațiile și piesele de schimb. Înlocuirea unei componente defecte cu una identică nu transformă, în mod normal, produsul într-unul nou. O piesă de schimb fabricată după aceleași specificații poate fi exceptată de la aplicarea separată a regulamentului atunci când este furnizată pentru repararea unui produs existent.

O componentă nouă care folosește alte mecanisme criptografice, alte protocoale sau alte funcții relevante pentru securitate poate să nu mai fie considerată identică. Ea trebuie atunci evaluată ca produs digital separat, chiar dacă îndeplinește aproximativ aceeași funcție practică.

Producătorii trebuie să facă o evaluare a riscurilor pentru întregul produs, inclusiv pentru componentele integrate și funcțiile procesate la distanță. Evaluarea trebuie să influențeze proiectarea, dezvoltarea, producția, livrarea și întreținerea produsului.

Regulamentul nu impune o singură metodologie de evaluare. Compania poate alege instrumentele folosite, dar trebuie să poată arăta autorităților cum a identificat riscurile, cum le-a evaluat și ce măsuri a introdus pentru reducerea lor.

Costul sau strategia comercială a companiei nu sunt suficiente pentru acceptarea unui risc. Producătorul nu poate lăsa o problemă nerezolvată numai pentru că remedierea este scumpă sau întârzie lansarea produsului. Nivelul de securitate trebuie evaluat în raport cu scopul produsului, utilizarea previzibilă și consecințele unui atac.

Producătorul trebuie să analizeze și modurile previzibile în care produsul poate fi folosit diferit de instrucțiunile sale. Un dispozitiv destinat profesioniștilor poate ajunge la utilizatori fără pregătire, iar un produs recomandat pentru rețele sigure poate fi instalat într-un mediu mai puțin protejat. Riscurile previzibile trebuie fie reduse prin proiectare, fie explicate clar utilizatorilor.

Responsabilitatea nu poate fi transferată integral asupra utilizatorului. Instrucțiunile pot ajuta la instalarea și folosirea sigură a produsului, însă nu pot înlocui măsurile de securitate care trebuie introduse de producător.

Pentru componentele provenite de la terți, inclusiv software-ul open-source, producătorul trebuie să efectueze verificări proporționale cu riscul. Acestea pot include analiza istoricului actualizărilor, consultarea bazelor de date cu vulnerabilități, verificarea perioadei de suport, revizuirea documentației și efectuarea unor teste suplimentare.

O componentă nu trebuie să poarte neapărat marcajul CE pentru a putea fi integrată. Producătorul produsului final rămâne însă responsabil pentru faptul că acea componentă nu compromite securitatea ansamblului.

Ghidul clarifică în detaliu și situația software-ului liber și cu sursă deschisă. Un dezvoltator individual care publică gratuit cod, fără să îl monetizeze și fără să controleze un produs comercial, nu devine automat producător în sensul regulamentului.

Persoana care doar contribuie cu o modificare sau un remediu la un proiect open-source nu este responsabilă pentru întregul program dacă nu controlează publicarea, versiunile și distribuția. Responsabilitatea revine, în general, persoanei sau organizației care publică și controlează proiectul.

Faptul că un proiect primește donații sau finanțare pentru dezvoltare nu îl transformă automat într-o activitate comercială. Situația poate fi diferită dacă accesul la program, la versiunile actualizate sau la remedierile de securitate este condiționat în practică de plată ori de donație.

O versiune gratuită și una comercială ale aceluiași proiect pot primi tratamente diferite. Organizația poate fi considerată producător pentru versiunea monetizată și administrator de software open-source pentru versiunea comunitară oferită fără scop comercial.

Companiile care integrează o bibliotecă open-source gratuită într-un produs comercial trebuie să verifice riscurile componentei. Ele nu transferă obligațiile produsului final către dezvoltatorul independent care a publicat gratuit biblioteca.

Perioada de suport trebuie stabilită pentru fiecare produs și comunicată cumpărătorului într-o formă clară, inclusiv prin indicarea lunii și anului în care suportul se încheie. Durata trebuie să reflecte perioada în care produsul este în mod rezonabil așteptat să fie utilizat.

Pragul de cinci ani este o protecție minimă, nu o perioadă standard pentru toate produsele. Un router, un sistem de operare, un microprocesor sau un echipament industrial folosit timp de zece ani poate necesita o perioadă de suport mai lungă.

O perioadă mai scurtă de cinci ani este posibilă când produsul este conceput pentru o durată de utilizare mai mică. Un program creat pentru o situație temporară sau un serviciu care încetează să funcționeze după terminarea abonamentului poate intra într-o asemenea categorie, în funcție de condițiile concrete.

Pe durata suportului, producătorul trebuie să trateze vulnerabilitățile produsului și ale componentelor sale. Regulamentul nu cere neapărat un patch separat pentru fiecare problemă descoperită. Remediul poate consta într-o actualizare, dezactivarea unei funcții, schimbarea configurației sau alte măsuri proporționale cu riscul.

Actualizările de securitate trebuie furnizate fără întârziere și, în mod normal, gratuit. Pentru produsele de consum, instalarea automată trebuie să fie disponibilă atunci când este adecvată, cu posibilitatea utilizatorului de a o dezactiva sau amâna.

Producătorul trebuie să ofere mecanisme sigure de distribuire a actualizărilor și să informeze utilizatorii. El nu este răspunzător în baza regulamentului dacă utilizatorul refuză instalarea unei actualizări puse corect la dispoziție.

Dacă o vulnerabilitate gravă nu poate fi remediată, producătorul poate ajunge la retragerea sau rechemarea produsului. Această situație este rezervată cazurilor în care produsul nu poate fi readus la conformitate prin actualizări sau alte măsuri adecvate.

Primele obligații cu aplicare generală pentru companii intră în vigoare la 11 septembrie 2026 și privesc raportarea. Producătorul trebuie să notifice atât echipa națională de răspuns la incidente desemnată drept coordonator, cât și Agenția Uniunii Europene pentru Securitate Cibernetică.

Raportarea este obligatorie pentru o vulnerabilitate exploatată activ atunci când există dovezi credibile că un actor rău intenționat a folosit-o fără permisiune. Simpla descoperire a unei vulnerabilități de către un cercetător sau în timpul unui test intern nu declanșează automat obligația.

O vulnerabilitate de tip zero-day, pentru care nu există încă un remediu, trebuie raportată dacă producătorul are dovezi că este exploatată. Dacă a fost găsită în cadrul unui program de recompensare a cercetătorilor și nu există semne de folosire malițioasă, raportarea obligatorie nu este activată.

Compania este considerată informată atunci când, după o evaluare inițială realizată fără întârziere, are un grad rezonabil de certitudine că vulnerabilitatea este exploatată sau că incidentul grav a compromis securitatea produsului.

Prima avertizare trebuie transmisă fără întârziere și în cel mult 24 de ore. O notificare mai detaliată trebuie trimisă în cel mult 72 de ore. Raportul complet este necesar ulterior, în funcție de tipul evenimentului și de momentul în care devine disponibilă o măsură corectivă.

Obligația de raportare se aplică și produselor introduse pe piață înainte de 11 decembrie 2027. Ea continuă chiar și după încheierea perioadei de suport, atunci când producătorul află despre o exploatare activă sau un incident grav după intrarea în aplicare a regulii.

Nu există însă obligația de a raporta retroactiv situațiile despre care compania știa deja înainte de 11 septembrie 2026. Dacă o vulnerabilitate era cunoscută, dar exploatarea sa începe sau este descoperită după această dată, obligația se aplică.

Producătorul trebuie să informeze și utilizatorii afectați, într-o manieră proporțională cu riscul. Nu este necesară publicarea imediată a tuturor detaliilor tehnice atunci când aceasta ar putea facilita noi atacuri. După remedierea vulnerabilității, o informare mai largă poate deveni adecvată.

Orientările nu creează obligații noi și nu modifică textul regulamentului. Ele exprimă interpretarea Comisiei și oferă companiilor exemple despre aplicarea practică, însă interpretarea obligatorie a legislației europene poate fi dată numai de Curtea de Justiție a Uniunii Europene.

Comisia a aprobat și publicat conținutul orientărilor în limba disponibilă în prezent. Adoptarea formală a tuturor versiunilor lingvistice este prevăzută ulterior, după finalizarea traducerilor în limbile oficiale ale Uniunii.

„Aceste orientări fac parte din agenda noastră de simplificare și ajută companiile să își îndeplinească la timp și cu încredere obligațiile prevăzute de Regulamentul privind reziliența cibernetică”, a declarat vicepreședinta executivă a Comisiei pentru suveranitate tehnologică, securitate și democrație, Henna Virkkunen.

„O Europă sigură din punct de vedere cibernetic și o Europă favorabilă afacerilor merg împreună: orientările de astăzi vor contribui la protejarea produselor de pe piața noastră împotriva amenințărilor cibernetice, evitând în același timp sarcinile inutile și incertitudinea juridică pentru companii”, a adăugat aceasta.

Regulamentul privind reziliența cibernetică a intrat în vigoare la 10 decembrie 2024. Cerințele sale principale se vor aplica din 11 decembrie 2027, însă obligațiile privind raportarea vulnerabilităților exploatate activ și a incidentelor grave vor începe la 11 septembrie 2026.

Regulamentul urmărește ca produsele digitale comercializate în UE să fie proiectate și întreținute în condiții de securitate, iar vulnerabilitățile să fie tratate pe întreaga perioadă de suport. Produsele conforme vor purta marcajul CE, iar verificarea aplicării va reveni autorităților naționale de supraveghere a pieței.