Regulamentul privind reziliența cibernetică, sub control.

CRA se aplică oricărui produs cu elemente digitale (hardware cu software sau firmware, precum și software de sine stătător) pus la dispoziție pe piața UE. Dacă introduceți pe piața UE un dispozitiv conectat, un produs IoT sau un software care se instalează, intrați în domeniul de aplicare. Verificarea gratuită a domeniului de aplicare din Reglyze vă confirmă acest lucru în patru întrebări.

Contează două date: obligațiile de raportare a vulnerabilităților și a incidentelor se aplică de la 11 septembrie 2026, iar conformitatea deplină, inclusiv marcajul CE, este obligatorie de la 11 decembrie 2027. CRA este Regulamentul (UE) 2024/2847.

Modulul A este procedura de evaluare a conformității prin care producătorul își evaluează singur produsul în raport cu cerințele esențiale și emite el însuși declarația UE de conformitate, fără implicarea unui organism notificat. Aproximativ 90 % dintre produse, cele din categoria „implicită”, se încadrează în modulul A.

Doar pentru produsele „importante” din clasa II și pentru produsele „critice” (anexa III clasa II și anexa IV la CRA). Produsele din categoria implicită și majoritatea produselor „importante” din clasa I se pot autocertifica prin modulul A, mai ales atunci când se aplică standarde armonizate.

Anexa VII enumeră documentația tehnică pe care producătorul trebuie să o întocmească și să o păstreze la dispoziția autorităților de supraveghere a pieței: descrierea produsului, evaluarea riscurilor, dovezile privind respectarea cerințelor esențiale și lista materialelor software (SBOM). Reglyze o întocmește pe baza autoevaluării dumneavoastră.

Este declarația semnată prin care atestați că produsul respectă cerințele esențiale de securitate cibernetică ale CRA. Este obligatorie înainte de aplicarea marcajului CE și de introducerea produsului pe piață. Reglyze o generează după ce toate cerințele esențiale sunt îndeplinite.

Anexa III la CRA enumeră produsele „importante” (clasele I și II), precum aplicațiile de gestionare a parolelor, VPN-urile, firewall-urile și sistemele de operare; anexa IV enumeră produsele „critice”, precum porțile de acces pentru contoarele inteligente și elementele securizate. Tot ce nu figurează pe aceste liste ține de categoria „implicită” și se autocertifică prin modulul A.

Încălcarea cerințelor esențiale de securitate cibernetică și a obligațiilor principale ale producătorului poate fi sancționată cu amenzi de până la 15 milioane € sau 2,5 % din cifra de afaceri mondială totală anuală, luându-se în considerare valoarea cea mai mare, la care se pot adăuga ordine de retragere de pe piață. Pentru celelalte încălcări se aplică plafoane mai mici.

NIS2 reglementează securitatea cibernetică a organizațiilor (entități esențiale și entități importante); CRA reglementează securitatea cibernetică a produselor cu elemente digitale introduse pe piața UE. Un producător poate intra sub incidența ambelor: a NIS2 pentru felul în care își desfășoară activitatea, a CRA pentru produsele pe care le livrează.

Da. Software-ul de sine stătător este un produs cu elemente digitale. Software-ul cu sursă deschisă (open source) furnizat în cadrul unei activități comerciale intră în domeniul de aplicare, iar administratorii de software cu sursă deschisă fără scop comercial au obligații mai ușoare. Un SaaS găzduit, de sine stătător, se află în general în afara CRA, cu excepția cazului în care este o soluție de prelucrare la distanță a datelor, parte integrantă a unui produs.