Întrebări frecvente

Clasificarea se face în funcție de funcționalitatea de bază a produsului, nu de fiecare caracteristică pe care o include. În cazul în care funcția de bază corespunde unei categorii menționate în anexa III, produsul este „important” (clasa I sau II); dacă aceasta corespunde anexei IV, este „critic”; în caz contrar, este „implicit”. O capacitate precum gestionarea identității sau un VPN, inclusă doar ca o caracteristică, nu face ca produsul să fie „important”, cu excepția cazului în care acela este scopul său principal. În cazul în care s-ar putea aplica mai multe categorii, se aplică clasa mai strictă. Art. 7

Software-ul cu sursă deschisă necomercial, dezvoltat în afara unei activități comerciale, se află în mare parte în afara domeniului de aplicare. Administratorii de software cu sursă deschisă au un set de obligații mai puțin strict și adaptat. Componentele cu sursă deschisă furnizate în cursul unei activități comerciale pot intra în domeniul de aplicare.

Serviciile independente se află, în general, în afara domeniului de aplicare al CRA. Totuși, soluțiile de prelucrare la distanță a datelor care sunt necesare pentru ca un produs să își îndeplinească funcțiile sunt considerate parte a produsului respectiv și intră în domeniul de aplicare. Faptul că se află în afara domeniului de aplicare al CRA nu înseamnă că nu sunt reglementate: serviciile web și cloud pot intra sub incidența altor norme ale UE, în special NIS2 (Directiva (UE) 2022/2555) pentru entitățile medii și mari din sectoarele vizate, și a GDPR pentru datele cu caracter personal. Art. 3(2)

Da. CRA se aplică produselor introduse pe piața UE indiferent de locul în care este stabilit fabricantul. Fabricanții din afara UE trebuie să se asigure că un operator economic stabilit în Uniune este responsabil de obligațiile relevante.

Acestea se împart în două părți ale anexei I: proprietățile de securitate pe care trebuie să le aibă produsul (securitate în mod implicit, confidențialitate, integritate, disponibilitate, suprafață de atac redusă la minimum, actualizări de securitate) și procesele de gestionare a vulnerabilităților pe care trebuie să le opereze fabricantul (SBOM, remediere, divulgare coordonată). anexa I

Da. Fabricanții trebuie să identifice și să documenteze componentele conținute în produs, inclusiv prin întocmirea unei nomenclaturi de materiale software într-un format utilizat în mod curent, care poate fi citit automat. anexa I · II(1)

Perioada de asistență este intervalul de timp în care un fabricant trebuie să furnizeze actualizări de securitate. Aceasta trebuie să reflecte perioada în care se preconizează în mod rezonabil că produsul va fi utilizat: cinci ani în mod implicit, mai scurtă atunci când utilizarea preconizată este mai scurtă și mai lungă atunci când aceasta este mai lungă. Art. 13(8)

Vulnerabilitățile exploatate în mod activ și incidentele grave care afectează securitatea produsului trebuie notificate ENISA și CSIRT-ului relevant. O avertizare timpurie este necesară în termen de 24 de ore de la luarea la cunoștință, urmată de o notificare mai amplă și de un raport final. Art. 14

Regulamentul a intrat în vigoare la 10 decembrie 2024. Obligațiile de raportare se aplică începând cu septembrie 2026 (21 de luni mai târziu), iar majoritatea obligațiilor se aplică începând cu decembrie 2027 (36 de luni mai târziu). Art. 71

Încălcările cerințelor esențiale sau ale obligațiilor fabricantului pot atrage amenzi de până la 15 milioane € sau 2,5 % din cifra de afaceri anuală mondială totală, oricare dintre aceste valori este mai mare. Plafoane mai scăzute se aplică altor încălcări și furnizării de informații incorecte.

Da, din 11 septembrie 2026, ziua în care a început obligația prevăzută la Art. 14. Platforma este activă la portal.cra-srp.enisa.europa.eu; selectați rolul de reprezentant autorizat și vă autentificați cu un cont EU Login pentru care este activată autentificarea multifactor. ENISA a publicat adresa în SRP FAQ la 10 septembrie 2026, împreună cu un manual de utilizare pentru reprezentanții autorizați (AR User Manual) și cu termenii și condițiile platformei. Patru elemente nu au fost disponibile de la început: raportarea voluntară prevăzută la Art. 15, un API de raportare, un câmp de conștientizare pentru vulnerabilități exploatate activ și un contor de 72 de ore care măsoară de la luarea la cunoștință, nu de la transmiterea avertizării timpurii, ceea ce înseamnă că ceasul de pe ecran poate arăta o raportare ca fiind întârziată înainte de expirarea termenului legal. Deocamdată, platforma funcționează numai în limba engleză. Consultați ghid de raportare. Art. 14 · 16

Cererea de standardizare M/606 a Comisiei a fost acceptată de CEN, CENELEC și ETSI în 2025, acoperind aproximativ 41 de standarde (orizontale și specifice produselor). În urma proiectului de modificare al Comisiei din iulie 2026 privind M/606, care a amânat termenele din 2026 cu două luni, cele două standarde orizontale de bază (dezvoltarea securizată și gestionarea vulnerabilităților) sunt acum așteptate până la 31 octombrie 2026, standardele verticale de produs până la 31 decembrie 2026, iar standardele orizontale rămase până la 30 octombrie 2027, înainte de aplicarea deplină din decembrie 2027. Respectarea unui standard armonizat citat conferă o prezumție de conformitate. anexa I

Parcurgeți procedura de evaluare a conformității pentru clasa produsului dumneavoastră, întocmiți documentația tehnică, redactați și semnați declarația de conformitate UE, apoi aplicați marcajul CE. Produsele implicite pot face obiectul autoevaluării; produsele importante și critice necesită proceduri mai stricte. Art. 28 · 32

Începeți cu verificarea rapidă CRA pentru a confirma domeniul de aplicare și clasa, urmați ghidul redactat pentru rolul dumneavoastră și utilizați matricea de conformitate pentru a monitoriza îndeplinirea cerințelor esențiale.

Obligațiile de raportare prevăzute la Articolul 14 devin executorii. De la acea dată, fabricanții trebuie să notifice ENISA și CSIRT-ul relevant cu privire la vulnerabilitățile exploatate activ și incidentele grave prin intermediul platformei unice de raportare. Aceasta este cea mai timpurie dintre obligațiile majore ale CRA care intră în vigoare, cu mult înainte de aplicarea deplină de la 11 decembrie 2027. Consultați ghid de raportare. Art. 14 · 71

Nu. Numai vulnerabilități exploatate activ și incidente grave care afectează securitatea produsului dumneavoastră sunt raportabile în temeiul Articolului 14. Vulnerabilitățile pe care le găsiți și le remediați înainte de a fi exploatate sunt gestionate prin procesul dumneavoastră obișnuit de gestionare a vulnerabilităților, nu prin canalul de raportare. The ghid de raportare stabilește testul și termenele. Art. 14

Prin platforma unică de raportare a ENISA, activă din 11 septembrie 2026, la portal.cra-srp.enisa.europa.eu, care direcționează notificarea dumneavoastră către ENISA și către CSIRT-ul național competent. Transmiteți o avertizare timpurie în termen de 24 de ore de la luarea la cunoștință, o notificare mai detaliată în termen de 72 de ore și un raport final în termen de 14 zile de la disponibilitatea unei măsuri corective pentru o vulnerabilitate sau, pentru incidente grave, în termen de o lună de la notificarea transmisă în 72 de ore. Autentificarea se face prin EU Login, cu autentificare multifactor. Consultați ghidul pas cu pas ghid de raportare. Art. 14 · 16

În general, nu doar prin aceasta. Orientările Comisiei clarifică faptul că software-ul care se execută pe dispozitivul utilizatorului (o aplicație descărcată, o extensie de browser, un client instalat local) este un produs cu elemente digitale, în timp ce o aplicație web utilizată exclusiv prin intermediul unui browser sau un site web care doar prezintă informații nu este. Un serviciu la distanță este acoperit numai atunci când reprezintă prelucrare la distanță a datelor necesară pentru ca un produs să își îndeplinească funcțiile. Faptul că se află în afara domeniului de aplicare al CRA nu înseamnă că nu este reglementat: un serviciu exclusiv web poate intra în continuare sub incidența NIS2 (pentru furnizorii de dimensiuni medii și mari) și a GDPR. Art. 3 Consultați Prezentare generală a orientărilor Comisiei.

Poate schimba răspunsul, deoarece CRA reglementează produse, nu servicii. Același cod ambalat ca aplicație instalabilă (inclusiv o versiune Capacitor, Electron sau similară) se execută pe dispozitivul utilizatorului și este un produs cu elemente digitale, astfel că CRA se aplică. Livrat exclusiv ca aplicație web progresivă în browser, acesta este un serviciu web și, în general, se află în afara domeniului de aplicare al CRA ca produs; componenta de backend cu care comunică este acoperită numai atunci când reprezintă prelucrare la distanță a datelor de care un produs are nevoie pentru a-și îndeplini funcțiile. Două avertismente: un serviciu exclusiv web nu este nereglementat (NIS2 se poate aplica furnizorilor de dimensiuni medii și mari, iar GDPR datelor cu caracter personal), iar linia dintre produs și serviciu poate deveni neclară, prin urmare „livrarea unui PWA” trebuie tratată ca o decizie de arhitectură, nu ca o excepție garantată. Art. 3 Consultați Prezentare generală a orientărilor Comisiei.

Doar atunci când actualizarea este o modificarea substanțială: o modificare care schimbă riscul de securitate cibernetică al produsului într-un mod pe care evaluarea dumneavoastră a riscurilor nu l-a acoperit deja. Actualizările de securitate obișnuite nu reprezintă, în general, modificări substanțiale. Atunci când o actualizare este substanțială, produsul modificat este considerat ca fiind nou introdus pe piață și este necesară o nouă evaluare a conformității pentru părțile afectate. Art. 3(30) The Orientările Comisiei stabilește criteriul aplicabil.