Cyber Resilience Act — produse cu elemente digitale

Cyber Resilience Act (CRA) — Regulamentul (UE) 2024/2847 — impune cerințe orizontale de securitate cibernetică pentru produsele cu elemente digitale, hardware și software, puse la dispoziție pe piața UE. Fabricanții trebuie să respecte cerințe esențiale, să aplice marcajul CE, să gestioneze vulnerabilitățile pe toată perioada de suport și să raporteze incidentele severe. Regulamentul se aplică eșalonat: raportarea din 11 septembrie 2026, iar grosul obligațiilor din 11 decembrie 2027.

Pe scurt

Cyber Resilience Act (CRA) — Regulamentul (UE) 2024/2847 — impune, pentru prima dată la nivel european, cerințe orizontale de securitate cibernetică pentru aproape toate produsele „cu elemente digitale" (hardware și software) puse la dispoziție pe piața UE. Fabricanții trebuie să respecte cerințe esențiale de securitate, să aplice marcajul CE, să gestioneze vulnerabilitățile pe toată perioada de suport și să raporteze autorităților vulnerabilitățile exploatate activ și incidentele severe.

Regulamentul a intrat în vigoare la 10 decembrie 2024, dar se aplică eșalonat: obligațiile de raportare din art. 14 se aplică din 11 septembrie 2026, iar grosul obligațiilor (cerințe esențiale, marcaj CE, evaluarea conformității) din 11 decembrie 2027.

Cadrul legal

Actul de bază este Regulamentul (UE) 2024/2847 al Parlamentului European și al Consiliului din 23 octombrie 2024 privind cerințele orizontale în materie de securitate cibernetică pentru produsele cu elemente digitale (Regulamentul privind reziliența cibernetică — Cyber Resilience Act, CRA). Fiind un regulament, se aplică direct în toate statele membre, inclusiv în România, fără a fi nevoie de transpunere; statele adoptă doar măsurile de punere în aplicare (autorități de supraveghere a pieței, regimul sancțiunilor).

Regulamentul (UE) 2024/2847 — publicat în JO L, 2024/2847, 20.11.2024; a intrat în vigoare la 10 decembrie 2024 (a 20-a zi de la publicare). Modifică Regulamentele (UE) nr. 168/2013 și (UE) 2019/1020 și Directiva (UE) 2020/1828. Sursa: Regulamentul (UE) 2024/2847, EUR-Lex (accesat 2026-09-10)

Calendarul de aplicare (art. 71)

Aplicarea este eșalonată — un aspect esențial de reținut pentru planificarea conformității:

Sursa: Comisia Europeană — CRA, Summary of the legislative text și CRA — Reporting obligations (accesat 2026-09-10)

Descrierile tehnice ale categoriilor de produse „importante" și „critice" au fost detaliate prin Regulamentul de punere în aplicare (UE) 2025/2392 al Comisiei.

Explicație detaliată

Ce produse sunt vizate

CRA se aplică produselor cu elemente digitale puse la dispoziție pe piața UE — adică oricărui produs software sau hardware (și soluțiilor sale de prelucrare a datelor la distanță) a cărui utilizare presupune o conexiune, logică sau fizică, de date la un dispozitiv sau la o rețea (art. 2–3). Practic, intră aici de la aplicații software, sisteme de operare și biblioteci, până la routere, camere IP, jucării conectate, dispozitive smart-home și componente industriale.

Sunt excluse produsele deja reglementate de norme sectoriale de securitate cibernetică echivalente:

• dispozitive medicale — Regulamentele (UE) 2017/745 și 2017/746;
• autovehicule — Regulamentul (UE) 2019/2144;
• aviație civilă — Regulamentul (UE) 2018/1139;
• echipamente maritime — Directiva 2014/90/UE;
• vehicule cu două/trei roți și cvadricicluri — Regulamentul (UE) nr. 168/2013.

De asemenea, software-ul liber și open-source dezvoltat sau furnizat în afara unei activități comerciale nu intră în domeniul de aplicare.

Cerințele esențiale de securitate (Anexa I)

Inima regulamentului o reprezintă cerințele esențiale din Anexa I, structurate pe două paliere:

Partea I — proprietăți de securitate ale produsului. Produsul trebuie proiectat și fabricat pentru a asigura un nivel adecvat de securitate cibernetică: principiul security by design și by default (configurație implicită sigură), fără vulnerabilități exploatabile cunoscute la momentul introducerii pe piață, protecția confidențialității și integrității datelor, minimizarea suprafeței de atac și furnizarea de actualizări de securitate.

Partea II — gestionarea vulnerabilităților pe durata perioadei de suport: identificarea și documentarea vulnerabilităților și a componentelor (inclusiv întocmirea unui SBOM — software bill of materials), o politică de divulgare coordonată a vulnerabilităților și distribuirea fără întârziere a actualizărilor de securitate.

Perioada de suport este stabilită de fabricant astfel încât să reflecte durata de utilizare preconizată a produsului, iar data de sfârșit (luna și anul) se comunică utilizatorului. Ca reper, Comisia și considerentele regulamentului indică o durată de cel puțin 5 ani, cu excepția cazului în care produsul este preconizat a fi utilizat pe o perioadă mai scurtă.

Ce înseamnă „nivel adecvat" și rolul standardelor armonizate

Cerințele din Anexa I sunt proporționale cu riscul: „nivelul adecvat de securitate cibernetică" și cerința „fără vulnerabilități exploatabile cunoscute" nu sunt cifre fixe, ci se raportează la evaluarea de risc pe care fabricantul o documentează pentru produsul concret (tip, scop, categorii de utilizatori). În lipsa unor praguri cantitative, adecvarea se demonstrează prin documentația tehnică, orientându-se după standardele internaționale (ISO/IEC, ETSI) și recomandările ENISA, și este verificată ex post de autoritățile de supraveghere a pieței.

Mecanismul-cheie este prezumția de conformitate (art. 27): un produs care respectă standardele armonizate publicate în Jurnalul Oficial al UE este prezumat conform cerințelor esențiale; în lipsa lor, Comisia poate adopta specificații comune prin act de punere în aplicare. Miza este mare pentru produsele „importante clasa I": acestea pot folosi autoevaluarea doar dacă aplică standarde armonizate, specificații comune sau o schemă de certificare. Dacă standardele CEN/CENELEC nu sunt gata până la 11 decembrie 2027, acești fabricanți vor fi nevoiți să recurgă la un organism notificat (evaluare de terță parte) — un potențial punct de blocaj al pieței pe care Comisia îl poate atenua prin specificații comune.

Sursa: Regulamentul (UE) 2024/2847, Anexa I, art. 27 și 32, EUR-Lex (accesat 2026-09-10)

Marcajul CE și evaluarea conformității

Ca la orice produs din „noul cadru legislativ" european, conformitatea se atestă prin marcajul CE (art. 30): fabricantul întocmește documentația tehnică, realizează evaluarea conformității și emite declarația UE de conformitate. Nivelul de rigoare depinde de riscul produsului:

• Produse „implicite" (majoritatea): autoevaluare (control intern — modulul A).
• Produse „importante", clasa I (Anexa III): autoevaluare doar dacă se aplică standarde armonizate, specificații comune sau o schemă de certificare; altfel, este necesară intervenția unui organism notificat.
• Produse „importante" clasa II și produse „critice" (Anexa IV): evaluare de terță parte sau schemă europeană de certificare de securitate cibernetică, după caz.

Produsele „importante" sunt cele care îndeplinesc funcții critice pentru securitatea altor produse/rețele (autentificare și control al accesului, detectarea/prevenirea intruziunilor, protecția rețelei etc.) — de exemplu sisteme de operare, antivirus, routere, firewall-uri.

Raportarea vulnerabilităților și incidentelor (art. 14)

Din 11 septembrie 2026, fabricanții trebuie să notifice vulnerabilitățile exploatate activ și incidentele severe care afectează securitatea produselor lor. Notificarea se face o singură dată, prin CRA Single Reporting Platform (SRP), către CSIRT-ul statului membru de stabilire principală, informația fiind pusă simultan la dispoziția ENISA (cu excepții). Termenele sunt stricte:

• avertizare timpurie: 24 de ore de la momentul în care fabricantul a luat cunoștință;
• notificare completă: 72 de ore;
• raport final: 14 zile după disponibilitatea unei măsuri corective (pentru vulnerabilități) sau o lună (pentru incidente severe).

Aceste obligații de raportare vizează inclusiv produsele deja disponibile pe piață.

Aspecte practice

Cine ce trebuie să facă (art. 13, 19, 20)

• Fabricantul (inclusiv cel care pune un produs pe piață sub marcă proprie): poartă răspunderea centrală — evaluarea riscului de securitate cibernetică, respectarea cerințelor esențiale, due diligence asupra componentelor terțe integrate, documentația tehnică, evaluarea conformității, declarația UE de conformitate și marcajul CE, informarea utilizatorului (Anexa II) și gestionarea vulnerabilităților pe perioada de suport.
• Importatorul (art. 19): introduce pe piață doar produse conforme; verifică faptul că fabricantul a realizat evaluarea conformității, a întocmit documentația și a aplicat marcajul CE; reacționează la neconformități și cooperează cu autoritățile.
• Distribuitorul (art. 20): verifică prezența marcajului CE și îndeplinirea anumitor obligații de către fabricant/importator (date de contact, instrucțiuni, perioada de suport) înainte de a pune produsul la dispoziție.
• Administratorii de open-source (art. 24): un regim mai ușor — politică de securitate și cooperare cu autoritățile; nu sunt supuși sancțiunilor CRA.

Sancțiuni (art. 64)

Sancțiunile se stabilesc la nivel național, dar regulamentul fixează plafoane pe trei paliere, în funcție de gravitatea încălcării (se ia întotdeauna valoarea cea mai mare dintre sumă și procent din cifra de afaceri anuală mondială totală):

Individualizarea amenzii ține cont de natura, gravitatea și durata încălcării, de caracterul intenționat sau neglijent, de măsurile de atenuare luate, de mărimea și cifra de afaceri a operatorului și de eventualele antecedente. Două protecții importante: micro și întreprinderile mici nu pot fi amendate pentru nerespectarea termenului de raportare de 24 de ore, iar administratorii de software open-source (art. 24) nu pot fi amendați pentru nicio încălcare.

Sursa: Regulamentul (UE) 2024/2847, art. 64, EUR-Lex (accesat 2026-09-10)

Ce să faci acum (2026–2027)

1. Inventariază produsele cu elemente digitale pe care le fabrici, imporți sau distribui și verifică dacă intră în domeniul CRA sau într-o excludere sectorială.
2. Clasifică produsele: implicit / important clasa I / clasa II / critic — de aceasta depinde dacă îți este suficientă autoevaluarea sau ai nevoie de un organism notificat. Consultă descrierile tehnice din Regulamentul de punere în aplicare (UE) 2025/2392.
3. Pregătește gestionarea vulnerabilităților: proces de divulgare coordonată, SBOM, un canal de actualizări de securitate și o perioadă de suport clar definită și comunicată.
4. Pregătește-te pentru raportare din 11 septembrie 2026: procedură internă de detectare și escaladare, cu capacitatea de a respecta termenele de 24h / 72h / raport final și de a raporta prin platforma unică (SRP).
5. Nu amâna: chiar dacă aplicarea integrală este în 11 decembrie 2027, cerințele de tip security by design și documentația tehnică trebuie integrate în ciclul de dezvoltare cu mult înainte.

Greșeli frecvente

• A presupune că CRA vizează doar hardware-ul — și software-ul de sine stătător intră în domeniu.
• A ignora componentele open-source integrate: fabricantul rămâne răspunzător pentru produsul final.
• A trata perioada de suport ca opțională — este o obligație legală, cu dată comunicată utilizatorului.

Situații speciale și interferențe cu alte reglementări

Fabricanții din afara UE: mandatarul autorizat și serviciile de fulfillment

Un fabricant stabilit în afara Uniunii trebuie, prin mandat scris, să desemneze un mandatar autorizat stabilit în UE (art. 18 CRA). Mandatarul păstrează declarația UE de conformitate și documentația tehnică la dispoziția autorităților de supraveghere a pieței timp de cel puțin 10 ani de la introducerea pe piață (sau pe durata perioadei de suport, dacă e mai lungă), cooperează cu autoritățile și furnizează informațiile cerute. Mandatarul nu preia răspunderea tehnică de proiectare, ci rolul de punct de contact și custode al conformității în UE.

Pentru produsele digitale vândute din afara UE (e-commerce, software descărcat de la vânzători extra-UE), CRA se coroborează cu Regulamentul (UE) 2019/1020 (pe care îl modifică): pe piață nu poate fi introdus legal un produs dacă nu există un operator economic responsabil stabilit în Uniune — fabricant, mandatar autorizat, importator sau furnizor de servicii de fulfillment (depozitare/ambalare/expediere). Simpla găzduire a software-ului pe depozite deschise (package managers, platforme de colaborare) nu constituie „punere la dispoziție pe piață"; găzduitorul devine distribuitor doar dacă furnizează produsul în cadrul unei activități comerciale. Concluzie practică: fără mandatar sau alt operator responsabil în UE, produsul este neconform, iar autoritățile pot acționa împotriva importatorului ori a furnizorului de fulfillment.

Sursa: Regulamentul (UE) 2024/2847, art. 18 și 21, EUR-Lex (accesat 2026-09-10)

Când devii tu însuți „fabricant": modificarea substanțială

O modificare substanțială este, potrivit definiției din art. 3 CRA, o schimbare a produsului după introducerea pe piață care fie afectează conformitatea cu cerințele esențiale (Anexa I), fie schimbă scopul preconizat pentru care produsul a fost evaluat. O astfel de modificare declanșează o nouă evaluare a conformității pentru partea modificată.

Cel care efectuează una dintre următoarele acțiuni preia toate obligațiile fabricantului (art. 21–22 CRA):

• pune produsul pe piață sub numele sau marca proprie;
• aduce o modificare substanțială unui produs deja introdus pe piață;
• integrează o componentă (inclusiv open-source) într-un produs pe care îl introduce apoi pe piață — pentru produsul final, integratorul răspunde ca fabricant.

Simpla revânzare fără modificări nu transformă distribuitorul în fabricant, iar actualizările de securitate care doar remediază vulnerabilități, fără a schimba funcționalitatea, nu sunt, de regulă, modificări substanțiale. Pragul este decisiv pentru integratori, revânzători și cei care „rebranduiesc" produse.

Sursa: Regulamentul (UE) 2024/2847, art. 3, 21 și 22; considerentele 38–42, EUR-Lex (accesat 2026-09-10)

Granița CRA vs. servicii cloud/SaaS pure

CRA acoperă „soluțiile de prelucrare a datelor la distanță" numai în măsura în care sunt integrate produsului. Definiția din art. 3 vizează prelucrarea la distanță pentru care software-ul este conceput și dezvoltat de fabricant (sau sub responsabilitatea lui) și a cărei absență ar împiedica produsul să îndeplinească una dintre funcțiile sale. Testul practic:

• Sub CRA: componenta cloud necesară funcționării produsului (ex. aplicația/serviciul fără de care un dispozitiv IoT sau firmware-ul nu mai funcționează).
• În afara CRA: un serviciu SaaS/cloud de sine stătător (email, CRM, platformă HR), care nu condiționează funcționarea unui produs — acesta poate intra sub NIS2, nu sub CRA.

Pentru dezvoltatorii SaaS români, delimitarea este esențială: dacă serviciul este opțional și produsul funcționează și fără el, rămâne în afara CRA; dacă este integral, produsul (cu tot cu componenta la distanță) intră sub CRA.

Sursa: Regulamentul (UE) 2024/2847, art. 3 pct. „soluții de prelucrare a datelor la distanță", EUR-Lex (accesat 2026-09-10)

Open-source: când devine „comercial" și cine este „administratorul"

Software-ul liber și open-source (FOSS) furnizat în afara unei activități comerciale este exclus din CRA. Considerentele regulamentului arată că natura comercială se apreciază de la caz la caz: nu transformă automat proiectul în „comercial" simplul fapt că primește donații, sponsorizări ori contribuții. Devine, în schimb, relevant comercial atunci când apare o monetizare — perceperea unui preț, suport tehnic contra cost, dual-licensing cu o versiune comercială, ori dezvoltatori plătiți de o entitate care integrează apoi produsul într-o ofertă comercială (caz în care acea entitate răspunde ca fabricant pentru produsul final).

CRA creează o categorie nouă — administratorul de software open-source (steward, art. 24): o persoană juridică, alta decât fabricantul, care sprijină sistematic și susținut dezvoltarea de FOSS destinat unor activități comerciale și îi asigură viabilitatea (inclusiv fundațiile). Regimul său este ușor: trebuie doar să adopte o politică de securitate cibernetică, să coopereze cu autoritățile și să raporteze vulnerabilitățile relevante. Administratorul nu aplică marcaj CE, nu are obligațiile complete ale fabricantului și nu poate fi amendat în temeiul art. 64 — tocmai pentru a nu descuraja ecosistemul open-source.

Sursa: Regulamentul (UE) 2024/2847, art. 24 și considerentele privind activitatea comercială, EUR-Lex (accesat 2026-09-10)

Trei regimuri de raportare pentru același incident: CRA, RGPD, NIS2

Un singur incident poate declanșa trei obligații de notificare paralele, cu autorități, termene și praguri diferite — o notificare nu le acoperă automat pe celelalte:

CRA urmărește să reducă dubla raportare doar în raport cu NIS2 — prin folosirea platformei unice și a CSIRT-ului național desemnat — dar nu elimină obligația distinctă din RGPD. În practică, un operator care este totodată fabricant de produs (CRA), operator de date (RGPD) și entitate esențială/importantă (NIS2) poate fi ținut să raporteze de mai multe ori, adaptând conținutul fiecărei notificări.

⚠️ Analiză doctrinară a suprapunerii NIS2 / DORA / RGPD: juridice.ro (accesat 2026-09-10).

Autoritatea română competentă

România nu a adoptat încă legislația specifică de punere în aplicare a CRA (desemnarea autorității de supraveghere a pieței și regimul concret de sancțiuni), obligatorie înainte de aplicarea integrală din 11 decembrie 2027. Candidatul firesc este DNSC — Directoratul Național de Securitate Cibernetică (înființat prin OUG nr. 104/2021), care este deja autoritatea competentă și CSIRT-ul național în temeiul transpunerii NIS2 (OUG nr. 155/2024). Este așadar de așteptat ca DNSC să fie CSIRT-ul destinatar al notificărilor art. 14 CRA și, probabil, autoritatea de supraveghere a pieței care aplică amenzile art. 64. Până la desemnarea oficială, această atribuire rămâne sub rezerva actului normativ național.

Sursa: DNSC — cadru legal (accesat 2026-09-10); OUG nr. 155/2024 (transpunere NIS2); OUG nr. 104/2021 (înființare DNSC).

Răspunderea civilă: Directiva (UE) 2024/2853

Dincolo de sancțiunile administrative CRA, un consumator prejudiciat are un remediu civil distinct prin Directiva (UE) 2024/2853 privind răspunderea pentru produsele cu defect (care abrogă Directiva 85/374/CEE). Aceasta include expres software-ul în noțiunea de „produs" și tratează drept defect inclusiv lipsa actualizărilor de securitate necesare pentru menținerea siguranței după introducerea pe piață. Răspunderea este obiectivă (fără culpă): persoana prejudiciată dovedește defectul, prejudiciul și legătura de cauzalitate, nu vina fabricantului (directiva prevede chiar prezumții care ușurează sarcina probei în cazuri tehnice complexe). Astfel, dacă un produs devine nesigur fiindcă fabricantul nu a livrat o actualizare în perioada de suport, persoana vătămată poate cere despăgubiri — independent de amenzile CRA. Statele membre transpun directiva până la 9 decembrie 2026.

Sursa: Directiva (UE) 2024/2853, EUR-Lex, CELEX 32024L2853 (accesat 2026-09-10)

Jurisprudență națională

De reținut: Regulamentul (UE) 2024/2847 (CRA) nu este încă integral aplicabil (obligațiile de raportare din art. 14 se aplică din 11 septembrie 2026, iar cerințele esențiale, marcajul CE și evaluarea conformității din 11 decembrie 2027). În consecință, la data redactării nu există jurisprudență națională română și nici jurisprudență CJUE pronunțată direct pe CRA. Interogarea bazei de jurisprudență ÎCCJ nu a returnat decizii relevante. Secțiunea de mai jos prezintă jurisprudența CJUE adiacentă care va orienta interpretarea CRA și tendințele previzibile; ea va fi actualizată pe măsură ce apar hotărâri specifice.

Decizii relevante

La acest stadiu nu pot fi identificate decizii ale instanțelor române favorabile (PRO) sau contrare (CONTRA) pronunțate în aplicarea CRA, întrucât regulamentul nu produce încă efecte depline. Practica relevantă se va forma începând cu 2027, pe canalul autorităților de supraveghere a pieței și, în plan contencios, prin acțiuni împotriva deciziilor acestora.

Pentru orientare, jurisprudența existentă în materii conexe (securitatea prelucrării datelor, marcajul CE și libera circulație a produselor conforme) oferă repere de interpretare — prezentate mai jos.

Jurisprudență CJUE (relevantă prin analogie)

Cauza C-340/21, VB împotriva Natsionalna agentsia za prihodite (CJUE, Camera a treia, 14 decembrie 2023) — În urma unui atac cibernetic asupra unei autorități care prelucra datele a peste șase milioane de persoane, Curtea a statuat, în interpretarea art. 24 și 32 RGPD, că producerea unei breșe de securitate nu înseamnă, prin ea însăși, că măsurile tehnice și organizatorice au fost inadecvate — adecvarea se apreciază in concreto de instanță — iar sarcina probei privind caracterul adecvat al măsurilor revine celui obligat să asigure securitatea, nu victimei. Fapta unui terț atacator nu exonerează automat de răspundere. · Relevanță: standardul „măsurilor adecvate", aprecierea concretă și repartizarea sarcinii probei anticipează modul în care va fi evaluată respectarea cerințelor esențiale CRA (Anexa I: securitate „adecvată", absența vulnerabilităților exploatabile cunoscute, gestionarea vulnerabilităților) — un fabricant va trebui să demonstreze conformitatea, nu doar să invoce buna-credință. Sursa: EUR-Lex, CELEX 62021CJ0340 (accesat 2026-09-10)

Nuanțe și cazuri speciale

Cauza C-100/13, Comisia Europeană împotriva Germaniei (CJUE, Camera a zecea, 16 octombrie 2014) — Într-un domeniu armonizat integral, un stat membru nu poate impune cerințe naționale suplimentare produselor care poartă deja marcajul CE în temeiul unor standarde armonizate (în speță, marcajul suplimentar „Ü" pentru produse pentru construcții), chiar dacă apreciază că standardul armonizat este incomplet; trebuie urmate procedurile de salvgardare din actul UE. · Relevanță (efect limitativ): CRA instituie un regim orizontal armonizat cu marcaj CE (art. 30) și liberă circulație a produselor conforme (art. 6). Principiul din C-100/13 arată că autoritățile române de supraveghere a pieței nu vor putea adăuga cerințe naționale proprii peste cerințele esențiale CRA — conformitatea CRA funcționează ca un plafon armonizat, nu ca un minim peste care se poate „supraîncărca" (gold-plating). Sursa: EUR-Lex, CELEX 62013CJ0100 (accesat 2026-09-10)

Tendințe jurisprudențiale

• Contencios amânat, dar previzibil. Primele litigii vor apărea după 11 decembrie 2027, probabil sub forma contestării deciziilor autorităților de supraveghere a pieței (retrageri de produse, amenzi în temeiul art. 64) și, în plan civil, a acțiunilor în răspundere pentru produse cu elemente digitale defectuoase (în interacțiune cu noua Directivă (UE) 2024/2853 privind răspunderea pentru produse defecte, care include software-ul).
• Standard probatoriu în sarcina operatorului economic. Prin analogie cu C-340/21, este de așteptat ca instanțele să ceară fabricantului să dovedească adecvarea măsurilor de securitate (documentație tehnică, SBOM, proces de gestionare a vulnerabilităților), o breșă neechivalând automat cu neconformitatea.
• Armonizare fermă, marjă națională redusă. Linia C-100/13 sugerează un control strict al eventualelor cerințe naționale suplimentare; disputele se vor purta mai degrabă pe interpretarea cerințelor CRA și a standardelor armonizate decât pe adăugarea de reguli naționale.
• Interacțiunea cu NIS2. În România, ecosistemul de conformitate se conturează deja prin transpunerea Directivei NIS2 (a se vedea ## Noutăți), ceea ce va influența practica de raportare a incidentelor și interpretarea obligațiilor din art. 14 CRA.

Noutăți

⚠️ Sursele de mai jos sunt analize doctrinare și context de reglementare (opinii ale autorilor), nu jurisprudență.

• Orientările Comisiei Europene pentru aplicarea la timp a CRA (2026). Comisia a publicat orientări care clarifică aplicarea practică a regulamentului — domeniul de aplicare (inclusiv soluțiile de prelucrare la distanță și software-ul gratuit/open-source), noțiunea de „modificare substanțială", interpretarea perioadelor de suport, cerințele de raportare și de evaluare a riscurilor — cu accent special pe microîntreprinderi și IMM-uri și numeroase exemple practice. Util pentru fabricanții care își pregătesc conformitatea înainte de 2027.

  Sursa: juridice.ro — Noi orientări pentru aplicarea la timp a Regulamentului privind reziliența cibernetică (accesat 2026-09-10)

• Analiză a obligațiilor și sancțiunilor CRA. Sinteze doctrinare românești subliniază caracterul de primă reglementare orizontală de acest tip, obligațiile de tip security by design și gestionarea vulnerabilităților pe tot ciclul de viață, evaluarea conformității pe bază de risc și plafonul de sancțiuni (până la 15 mil. EUR sau 2,5% din cifra de afaceri mondială).

  Sursa: juridice.ro — Cyber Resilience Act (accesat 2026-09-10)

• Context național conex — NIS2 (OUG nr. 155/2024). România a transpus Directiva (UE) 2022/2555 (NIS2) privind securitatea cibernetică, extinzând obligațiile pentru sectoarele esențiale și importante și instituind un regim de raportare a incidentelor. Deși distinct de CRA (NIS2 vizează operatorii, CRA vizează produsele), acest cadru formează ecosistemul în care fabricanții își vor organiza detectarea și raportarea incidentelor și vulnerabilităților.

  Sursa: avocatnet.ro — Directiva NIS2, transpusă în România (accesat 2026-09-10)

Întrebări frecvente

De când trebuie să respect CRA? Regulamentul este deja în vigoare (din 10 decembrie 2024), dar obligațiile se aplică eșalonat: raportarea vulnerabilităților și incidentelor din 11 septembrie 2026, iar cerințele esențiale, marcajul CE și evaluarea conformității din 11 decembrie 2027.

Se aplică și software-ului, nu doar dispozitivelor fizice? Da. „Produs cu elemente digitale" acoperă atât hardware, cât și software de sine stătător (inclusiv componente), împreună cu soluțiile de prelucrare a datelor la distanță asociate.

Produsul meu are deja marcaj CE pentru alte cerințe. E suficient? Nu neapărat. CRA adaugă cerințe de securitate cibernetică (Anexa I) care trebuie îndeplinite separat înainte de aplicarea marcajului CE în temeiul acestui regulament.

Trebuie neapărat un organism notificat (audit extern)? Depinde de clasa produsului. Majoritatea produselor pot folosi autoevaluarea. Pentru produsele „importante" clasa I neacoperite de standarde armonizate și pentru clasa II / produsele „critice" este necesară, după caz, evaluarea de terță parte.

Cât de repede trebuie raportat un incident? 24 de ore pentru avertizarea timpurie, 72 de ore pentru notificarea completă și un raport final în 14 zile (vulnerabilități) sau o lună (incidente severe), prin platforma unică de raportare (SRP), către CSIRT + ENISA.

Ce riscă o companie care nu se conformează? Amenzi de până la 15.000.000 EUR sau 2,5% din cifra de afaceri mondială (cea mai mare) pentru încălcarea cerințelor esențiale și a obligațiilor fabricantului; 10 mil. EUR / 2% pentru alte obligații; 5 mil. EUR / 1% pentru informații incorecte sau înșelătoare furnizate autorităților (art. 64), plus măsuri de restricționare/retragere a produsului de pe piață.

Sunt fabricant din afara UE — ce trebuie să fac? Trebuie să desemnezi, prin mandat scris, un mandatar autorizat stabilit în UE (art. 18), care păstrează documentația tehnică și declarația de conformitate la dispoziția autorităților. Fără un operator economic responsabil stabilit în Uniune (fabricant, mandatar, importator sau furnizor de fulfillment), produsul nu poate fi introdus legal pe piața UE.

Dacă modific sau pun sub marcă proprie un produs, devin eu „fabricantul"? Da. Cine pune un produs pe piață sub numele/marca proprie sau îi aduce o modificare substanțială (o schimbare care afectează conformitatea sau scopul preconizat) preia toate obligațiile fabricantului (art. 21–22), inclusiv o nouă evaluare a conformității.

O notificare de incident acoperă și RGPD și NIS2? Nu. CRA (art. 14, către CSIRT + ENISA), RGPD (art. 33, către ANSPDCP) și NIS2 (OUG 155/2024, către DNSC) sunt regimuri paralele, cu autorități și praguri diferite; același incident poate necesita raportări separate.

Cine este autoritatea competentă în România? Cel mai probabil DNSC (Directoratul Național de Securitate Cibernetică), deja autoritate NIS2, urmează să fie desemnat CSIRT și autoritate de supraveghere a pieței pentru CRA — desemnarea oficială și regimul de amenzi se adoptă până la aplicarea integrală (11 decembrie 2027).

Referințe

1. Regulamentul (UE) 2024/2847 al Parlamentului European și al Consiliului din 23 octombrie 2024 privind cerințele orizontale în materie de securitate cibernetică pentru produsele cu elemente digitale (Regulamentul privind reziliența cibernetică) — EUR-Lex, CELEX 32024R2847 (accesat 2026-09-10).
2. Text consolidat al Regulamentului (UE) 2024/2847 (20.11.2024) — EUR-Lex, CELEX 02024R2847-20241120 (accesat 2026-09-10).
3. Rezumat legislativ al Regulamentului (UE) 2024/2847 — EUR-Lex, LSU (accesat 2026-09-10).
4. Comisia Europeană — The Cyber Resilience Act: Summary of the legislative text — digital-strategy.ec.europa.eu (accesat 2026-09-10).
5. Comisia Europeană — Cyber Resilience Act: Reporting obligations — digital-strategy.ec.europa.eu (accesat 2026-09-10).
6. Regulamentul de punere în aplicare (UE) 2025/2392 al Comisiei (descrierile tehnice ale categoriilor de produse din Anexele III și IV) — EUR-Lex, ELI (accesat 2026-09-10).
7. Directiva (UE) 2024/2853 a Parlamentului European și a Consiliului din 23 octombrie 2024 privind răspunderea pentru produsele cu defect (abrogă Directiva 85/374/CEE) — EUR-Lex, CELEX 32024L2853 (accesat 2026-09-10).
8. Regulamentul (UE) 2019/1020 privind supravegherea pieței și conformitatea produselor (modificat prin CRA) — EUR-Lex, CELEX 32019R1020 (accesat 2026-09-10).
9. OUG nr. 155/2024 privind transpunerea Directivei (UE) 2022/2555 (NIS2) și OUG nr. 104/2021 (înființarea DNSC); DNSC — cadru legal (accesat 2026-09-10).