Actul privind reziliența cibernetică – Rezumatul textului legislativ

Un produs software sau hardware și soluțiile sale de prelucrare a datelor la distanță, inclusiv componentele software sau hardware, sunt introduse pe piață separat.

Prelucrarea datelor la distanță pentru care software-ul este proiectat și dezvoltat de producător sau sub responsabilitatea producătorului și a cărei absență ar împiedica produsul cu elemente digitale să își îndeplinească una dintre funcții.

Producătorul, reprezentantul autorizat, importatorul, distribuitorul sau altă persoană fizică sau juridică care face obiectul obligațiilor în ceea ce privește fabricarea produselor cu elemente digitale sau punerea la dispoziție pe piață a produselor cu elemente digitale în conformitate cu prezentul regulament.

O persoană fizică sau juridică care dezvoltă sau fabrică produse cu elemente digitale sau pentru care se proiectează, se dezvoltă sau se fabrică produse cu elemente digitale și care le comercializează sub numele sau marca sa comercială, contra cost, monetizare sau gratuit.

O persoană juridică, alta decât un producător, care are scopul sau obiectivul de a oferi în mod sistematic și susținut sprijin pentru dezvoltarea de produse specifice cu elemente digitale, care se califică drept software liber și cu sursă deschisă și care sunt destinate activităților comerciale și care asigură viabilitatea produselor respective.

O persoană fizică sau juridică stabilită în Uniune care a primit un mandat scris din partea unui producător pentru a acționa în numele acestuia în legătură cu sarcini specifice.

O persoană fizică sau juridică stabilită în Uniune care introduce pe piață un produs cu elemente digitale care poartă numele sau marca comercială a unei persoane fizice sau juridice stabilite în afara Uniunii.

O persoană fizică sau juridică din lanțul de aprovizionare, alta decât producătorul sau importatorul, care pune la dispoziție pe piața Uniunii un produs cu elemente digitale fără a-i afecta proprietățile.

Prima punere la dispoziție a unui produs cu elemente digitale pe piața Uniunii.

Furnizarea unui produs cu elemente digitale pentru distribuție sau utilizare pe piața Uniunii în cursul unei activități comerciale, contra cost sau gratuit.

Procesul de verificare a îndeplinirii cerințelor esențiale de securitate cibernetică prevăzute în anexa I.

Un organism de evaluare a conformității desemnat în conformitate cu articolul 43 și cu alte acte legislative de armonizare relevante ale Uniunii.

Un standard adoptat de o organizație europeană de standardizare, adoptat pe baza unei cereri formulate de Comisie pentru aplicarea legislației de armonizare a Uniunii.

Capitolul I stabilește domeniul de aplicare al regulamentului, definește termenii și conceptele-cheie și explică interacțiunea dintre agențiile de rating de credit și alte acte legislative ale Uniunii.

Agenția de rating de credit stabilește norme pe care operatorii economici trebuie să le respecte dacă doresc să pună la dispoziție pe piața Uniunii produse cu elemente digitale. În special, acesta stabilește cerințe esențiale de securitate cibernetică pe care producătorii trebuie să le respecte în timpul proiectării, dezvoltării și fabricării produselor lor cu elemente digitale, precum și în perioada în care se preconizează că produsele respective vor fi utilizate. Produsele cu elemente digitale intră în domeniul de aplicare al ARC atunci când sunt puse la dispoziție pe piață, iar scopul lor preconizat sau utilizarea lor previzibilă în mod rezonabil include o conexiune de date logică sau fizică directă sau indirectă la un dispozitiv sau la o rețea.

Produsele cu elemente digitale care nu sunt puse la dispoziție pe piață, adică nu sunt furnizate în cursul unei activități comerciale, nu fac obiectul ARC. Considerentul 18 clarifică, de asemenea, momentul în care software-ul liber și cu sursă deschisă este pus la dispoziție pe piață.

În plus, anumite produse cu elemente digitale sunt excluse din domeniul de aplicare al ARC, în special atunci când sunt reglementate de alte acte legislative ale Uniunii.

Obligațiile producătorului

Principalele obligații ale agenției de rating de credit se adresează producătorilor, și anume persoanelor fizice sau juridice care introduc pe piață un produs cu elemente digitale sub numele sau marca lor. Astfel de obligații sunt prevăzute la articolul 13, care este completat de diverse anexe (și în special de anexa I privind cerințele esențiale de securitate cibernetică).

Atunci când proiectează, dezvoltă și fabrică produsul cu elemente digitale, producătorul trebuie să se asigure că acesta îndeplinește cerințele esențiale de securitate cibernetică. În acest scop, producătorul trebuie să efectueze o evaluare a riscurilor în materie de securitate cibernetică, care să contribuie la punerea în aplicare a cerințelor esențiale și care trebuie luată în considerare în etapele de planificare, proiectare, dezvoltare, producție, livrare și întreținere a produsului.

În cazul în care producătorul integrează componente de la terți, acesta trebuie să exercite diligența necesară, astfel încât componentele respective să nu compromită securitatea cibernetică a produsului său cu elemente digitale.

Evaluarea riscurilor în materie de securitate cibernetică, precum și mijloacele prin care producătorul alege să pună în aplicare cerințele esențiale (de exemplu, standarde sau alte măsuri tehnice) trebuie incluse în documentația tehnică. Producătorul are obligația de a păstra documentația la dispoziția autorităților de supraveghere a pieței, deoarece acestea o pot solicita ca parte a activităților lor de asigurare a respectării legislației.

Înainte de a introduce produsul cu elemente digitale pe piață, producătorul trebuie să efectueze procedura de evaluare a conformității aleasă (a se vedea capitolul III pentru detalii suplimentare privind evaluarea conformității) și, în cazul în care are succes, să întocmească declarația de conformitate UE și să aplice marcajul CE pe produsul său.

Următoarele informații ar trebui, de asemenea, furnizate împreună cu produsul cu elemente digitale:

• tipul, lotul sau numărul de serie sau alt element care permite identificarea acestuia;
• numele său, denumirea sa comercială înregistrată sau marca sa comercială înregistrată;
• adresa poștală, adresa de e-mail sau alte date de contact digitale;
• dacă este cazul, site-ul web unde poate fi contactat producătorul;
• informații și instrucțiuni pentru utilizator, astfel cum se prevede în anexa II, inclusiv data de încheiere a perioadei de sprijin.

Producătorul trebuie să stabilească o perioadă de asistență pentru produsul său cu elemente digitale, în cursul căreia producătorul se va asigura că vulnerabilitățile produsului respectiv sunt gestionate în mod eficace, în conformitate cu cerințele privind gestionarea vulnerabilităților (a se vedea anexa I). Data de încheiere a perioadei de sprijin (inclusiv luna și anul) trebuie să fie specificată în mod clar și ușor de înțeles la momentul achiziției.

Obligații de raportare

După introducerea pe piață a produsului, producătorul are obligația de a notifica vulnerabilitățile exploatate activ și incidentele grave care au un impact asupra securității produsului de care ia cunoștință.

Producătorul trebuie să transmită notificări Centrului de răspuns la incidente de securitate informatică (CSIRT) din statul membru în care își are sediul principal și ENISA, în următoarele termene:

• 24 de ore pentru o notificare de avertizare timpurie;
• 72 de ore pentru notificarea „principală”;
• un raport final în termen de cel mult 14 zile de la punerea la dispoziție a unei măsuri corective sau de atenuare pentru vulnerabilitățile exploatate activ;
• un raport final în termen de o lună de la transmiterea celor 72 de ore de incidente grave.

Producătorul transmite notificările prin intermediul Platformei unice de raportare a agențiilor de rating de credit, instituită și întreținută de Agenția Uniunii Europene pentru Securitate Cibernetică, ENISA. CSIRT care primește inițial notificarea va difuza în continuare notificarea către CSIRT din alte state membre pe teritoriul cărora a fost pus la dispoziție produsul cu elemente digitale.

Obligațiile de raportare se aplică tuturor produselor cu elemente digitale care au fost puse la dispoziție pe piața Uniunii, inclusiv celor deja introduse pe piață înainte de 11 decembrie 2027.

De asemenea, este posibil ca orice persoană fizică sau juridică să notifice în mod voluntar vulnerabilitățile, amenințările cibernetice, incidentele și incidentele evitate la limită prin intermediul Platformei unice de raportare a agențiilor de rating de credit.

Reprezentant autorizat

Producătorul poate numi, prin mandat scris, un reprezentant autorizat pentru a îndeplini unele dintre sarcinile producătorului. Acestea pot include, de exemplu, sarcini legate de cooperarea cu autoritățile de supraveghere a pieței.

Importatorul

Importatorul este o persoană fizică sau juridică stabilită în Uniune care introduce pe piață un produs cu elemente digitale fabricat în afara Uniunii. Importatorul trebuie să se asigure că produsul este în conformitate cu ARC, asigurându-se, printre altele, că producătorul a respectat cerințele esențiale de securitate cibernetică legate de produs și că a instituit procese pentru a respecta obligațiile de gestionare a vulnerabilităților; că au fost efectuate procedurile corespunzătoare de evaluare a conformității; dacă documentația tehnică a fost întocmită; și că produsul poartă marcajul CE.

Importatorul are, de asemenea, obligații specifice atunci când consideră sau are motive să creadă că un produs cu elemente digitale nu este în conformitate cu ARC, precum și atunci când ia cunoștință de o vulnerabilitate (de exemplu, nu introduce produsul respectiv pe piață înainte ca acesta să fie readus în conformitate; informarea producătorului cu privire la astfel de vulnerabilități). De asemenea, este necesar să coopereze cu autoritățile de supraveghere a pieței pentru a elimina riscurile de securitate cibernetică prezentate de un produs cu elemente digitale pe care l-a introdus pe piață.

Distribuitor

Distribuitorul este o persoană fizică sau juridică din lanțul de aprovizionare, alta decât producătorul sau importatorul, care pune la dispoziție pe piață un produs cu elemente digitale fără a-i afecta proprietățile. Distribuitorul trebuie să verifice dacă produsele cu elemente digitale poartă marcajul CE și dacă producătorii și importatorii au respectat anumite obligații, inclusiv dacă și-au adăugat datele de contact pe produs, au anexat informațiile și instrucțiunile pentru utilizatori și au indicat perioada de sprijin.

Distribuitorul are, de asemenea, obligații specifice atunci când consideră sau are motive să creadă că un produs cu elemente digitale nu este în conformitate cu ARC, precum și atunci când ia cunoștință de o vulnerabilitate (de exemplu, nu pune produsul la dispoziție înainte ca acesta să fie readus în conformitate; informarea producătorului cu privire la astfel de vulnerabilități). De asemenea, aceasta trebuie să coopereze cu autoritățile de supraveghere a pieței pentru a elimina riscurile în materie de securitate cibernetică prezentate de un produs cu elemente digitale pe care l-a pus la dispoziție pe piață.

Administratori de software cu sursă deschisă

Având în vedere importanța pentru securitatea cibernetică a multor produse cu elemente digitale care se califică drept software liber și cu sursă deschisă care sunt publicate, dar nu sunt puse la dispoziție pe piață în sensul ARC, articolul 24 introduce obligații pentru administratorii de software cu sursă deschisă. Acestea sunt persoane juridice care oferă în mod sistematic sprijin susținut pentru dezvoltarea de software liber și cu sursă deschisă specific destinat activităților comerciale și care asigură viabilitatea acestor produse software.

Administratorii de software cu sursă deschisă trebuie să aibă o politică de securitate cibernetică pentru a promova dezvoltarea unui produs securizat și gestionarea eficace a vulnerabilităților; să coopereze cu autoritățile de supraveghere a pieței și să ia măsurile corective adecvate; raportarea vulnerabilităților exploatate activ, în măsura în care acestea sunt implicate în dezvoltarea produselor cu elemente digitale, și a incidentelor grave, în măsura în care acestea afectează rețelele și sistemele informatice furnizate de administratorii de software cu sursă deschisă pentru dezvoltarea unor astfel de produse.

Administratorii de software cu sursă deschisă nu fac obiectul unor sancțiuni pentru încălcarea CRA.

Capitolul III stabilește dispoziții suplimentare privind modul în care produsele cu elemente digitale pot beneficia de o prezumție legală de conformitate dacă se utilizează standarde europene armonizate; cum arată declarația de conformitate UE (și versiunea simplificată a acesteia); modul de aplicare a marcajului CE; conținutul documentației tehnice care urmează să fie întocmită; și cu privire la procedurile aplicabile de evaluare a conformității.

După cum s-a menționat anterior, producătorul trebuie să efectueze o procedură de evaluare a conformității pentru a verifica dacă produsul său respectă cerințele esențiale înainte de a putea semna declarația de conformitate UE, de a aplica marcajul CE și de a introduce produsul pe piață.

În general, producătorul poate alege între o procedură de autoevaluare (așa-numita procedură de control intern bazată pe modulul A), o procedură de evaluare a conformității de către o parte terță prin intermediul unui organism notificat sau, dacă este disponibil și aplicabil, un sistem european de certificare a securității cibernetice. Astfel de sisteme pot fi utilizate pentru a demonstra conformitatea cu ARC numai în cazul în care această posibilitate a fost specificată de Comisia Europeană. Cu toate acestea, în cazul în care un produs cu elemente digitale are funcționalitatea de bază a unei categorii de produse importante sau critice, producătorului nu i se poate permite să utilizeze procedura de autoevaluare. Categoriile de produse ale produselor importante și critice cu elemente digitale sunt enumerate în anexele III și IV, iar descrierile lor tehnice sunt incluse într-un act juridic separat adoptat în conformitate cu ARC.

Atunci când un produs este un produs important cu elemente digitale din clasa I, producătorul poate utiliza procedura de autoevaluare numai dacă a aplicat standarde armonizate, specificații comune (dacă sunt disponibile) sau a utilizat un sistem european de certificare de securitate cibernetică (dacă este disponibil și aplicabil); în caz contrar, trebuie să facă obiectul unei evaluări de către o parte terță prin intermediul unui organism notificat.

Producătorii de produse importante din clasa II și de produse critice trebuie să facă obiectul unei evaluări de către o parte terță sau, dacă este disponibil și aplicabil, să utilizeze un sistem european de certificare a securității cibernetice.

În mod excepțional, producătorii de produse importante cu elemente digitale din clasele I și II care sunt software liber și cu sursă deschisă pot utiliza autoevaluarea, cu condiția să pună la dispoziția publicului documentația tehnică.

Organismele de evaluare a conformității sunt organisme care desfășoară activități de evaluare a conformității. Pentru a efectua procedurile de evaluare a conformității în conformitate cu ARC, un stat membru trebuie să notifice Comisiei și celorlalte state membre organismele autorizate să efectueze evaluări ale conformității. Notificarea este trimisă prin intermediul sistemului informatic al organizațiilor notificate și desemnate din cadrul noii abordări.

Un organism de evaluare a conformității care dorește să fie notificat trebuie să îndeplinească cerințe legate de o serie de aspecte, de exemplu să fie instituit în temeiul legislației naționale și să aibă personalitate juridică; sunt independente de produsele pe care le evaluează și imparțiale; dispune de personal cu competența tehnică necesară.

Statele membre au obligația de a desemna, până la 11 iunie 2026, autoritățile de notificare responsabile cu instituirea și îndeplinirea procedurilor necesare pentru evaluarea, desemnarea și notificarea organismelor de evaluare a conformității. Statele membre pot alege acreditarea pentru a evalua competența acestor organisme. Autoritățile de notificare notifică numai organismele de evaluare a conformității care au îndeplinit cerințele aplicabile.

Odată ce notificarea a fost transmisă în conformitate cu articolul 43, organismul de evaluare a conformității este considerat a fi un organism notificat. Acesta se asigură că evaluările conformității sunt efectuate în mod proporțional, evitând sarcinile inutile pentru operatorii economici. Acestea își desfășoară activitățile ținând seama în mod corespunzător de dimensiunea întreprinderilor, în special în ceea ce privește microîntreprinderile și întreprinderile mici și mijlocii, inclusiv în ceea ce privește taxele.

Fiecare stat membru are obligația de a desemna una sau mai multe autorități de supraveghere a pieței care sunt responsabile cu asigurarea respectării efective a ARC.

Procedurile legate de supravegherea pieței sunt stabilite atât în capitolul V, cât și în Regulamentul (UE) 2019/1020 privind supravegherea pieței și conformitatea produselor, care se aplică produselor cu elemente digitale care intră în domeniul de aplicare al ARC.

Autoritățile de supraveghere a pieței pot oferi orientări și consiliere operatorilor economici, inclusiv producătorilor, cu privire la punerea în aplicare a ARC, cu sprijinul Comisiei și, după caz, al echipelor CSIRT și al ENISA.

Acestea pot utiliza o serie de proceduri, atât la nivel național, cât și la nivel european, pentru a evalua produsele cu elemente digitale care prezintă un risc semnificativ în materie de securitate cibernetică și pentru a se asigura că operatorii economici relevanți pun în aplicare măsuri corective sau restrictive. Autoritățile de supraveghere a pieței au obligația de a informa Comisia și alte state membre cu privire la măsurile pe care le solicită operatorilor economici. Autoritățile de supraveghere a pieței din diferite state membre cooperează între ele și pot desfășura activități comune și acțiuni coordonate simultane de control (cum ar fi acțiunile de verificare) al anumitor produse cu elemente digitale.

Se instituie, de asemenea, un grup de cooperare administrativă (ADCO) compus din reprezentanți ai diferitelor autorități de supraveghere a pieței, pentru aplicarea uniformă a ARC.

Capitolul VI împuternicește Comisia să adopte acte juridice suplimentare (acte delegate și acte de punere în aplicare) pentru a completa agenția de rating de credit sau pentru a stabili condiții uniforme de aplicare a acesteia (de exemplu, prin detalierea anumitor concepte). Citiți mai multe despre actele de punere în aplicare și actele delegate.

Comisia a adoptat deja două acte suplimentare, și anume:

• Regulamentul delegat (UE) 2025/1535 al Comisiei din 29 iulie 2025 de completare a Regulamentului (UE) 2024/2847 al Parlamentului European și al Consiliului în ceea ce privește o excludere de la aplicarea regulamentului respectiv pentru anumite produse cu elemente digitale care intră în domeniul de aplicare al Regulamentului (UE) nr. 168/2013 al Parlamentului European și al Consiliului
• Regulamentul de punere în aplicare (UE) 2025/2392 al Comisiei din 28 noiembrie 2025 privind descrierea tehnică a categoriilor de produse importante și critice cu elemente digitale în temeiul Regulamentului (UE) 2024/2847 al Parlamentului European și al Consiliului

Capitolul VII stabilește norme privind confidențialitatea pe care toate părțile implicate în aplicarea ARC trebuie să le respecte, precum și privind sancțiunile aplicabile încălcărilor, care urmează să fie stabilite la nivel național.

În special, producătorii care se califică drept microîntreprinderi sau întreprinderi mici nu pot fi amendați pentru nerespectarea termenului de 24 de ore pentru raportarea vulnerabilităților și a incidentelor grave; și administratori de software cu sursă deschisă pentru orice încălcare a CRA.

Agenția de rating de credit a intrat în vigoare la 10 decembrie 2024. Principalele sale dispoziții vor începe să se aplice de la 11 decembrie 2027. Capitolul IV privind notificarea organismelor de evaluare a conformității se va aplica de la 11 iunie 2026, în timp ce obligațiile de raportare prevăzute la articolul 14 se aplică de la 11 septembrie 2026.

Certificatele de examinare UE de tip și deciziile de aprobare emise în ceea ce privește cerințele de securitate cibernetică rămân valabile până la 11 iunie 2028, cu excepția cazului în care expiră înainte de data respectivă.

Produsele cu elemente digitale care au fost introduse pe piață înainte de 11 decembrie 2027 fac obiectul ARC numai dacă, de la data respectivă, fac obiectul unei modificări substanțiale. Obligațiile de raportare se aplică tuturor produselor cu elemente digitale care au fost puse la dispoziție pe piața Uniunii, inclusiv celor deja introduse pe piață înainte de 11 decembrie 2027.

Anexa I enumeră cerințele esențiale de securitate cibernetică și este împărțită în două secțiuni.

Partea I se referă la proprietățile produselor cu elemente digitale: atunci când introduc pe piață un produs cu elemente digitale, producătorii se asigură că acesta a fost proiectat, dezvoltat și produs în conformitate cu cerințele respective.

Partea II se referă la cerințele privind gestionarea vulnerabilităților: producătorii se asigură, atunci când introduc pe piață un produs cu elemente digitale și pentru perioada de asistență, că vulnerabilitățile produsului respectiv, inclusiv ale componentelor sale, sunt gestionate în mod eficace și în conformitate cu aceste cerințe.

Citiți anexa I completă

Producătorii trebuie să se asigure că produsele cu elemente digitale sunt însoțite de informații și instrucțiuni pentru utilizator, care trebuie furnizate într-o limbă ușor de înțeles de către utilizatori și autoritățile de supraveghere a pieței. Acestea trebuie să fie clare, ușor de înțeles, inteligibile și lizibile. Acestea permit instalarea, operarea și utilizarea în condiții de siguranță a produselor cu elemente digitale.

Citiți anexa II completă

Atunci când un produs cu elemente digitale are funcționalitatea de bază a unei categorii de produse prevăzute în anexele III și IV, acesta este considerat un produs important sau critic cu elemente digitale și face obiectul procedurilor corespunzătoare de evaluare a conformității.

Citiți anexa III pentru a afla ce produse sunt importante

Citiți anexa IV pentru a afla ce produse sunt critice

Citiți descrierile tehnice ale acestor produse

În cazul în care conformitatea produsului cu elemente digitale cu cerințele esențiale de securitate cibernetică a fost demonstrată prin procedura aplicabilă de evaluare a conformității, producătorii întocmesc declarația de conformitate UE. Anexele V și VI prevăd structura modelului pentru o astfel de declarație, inclusiv o versiune simplificată.

A se vedea anexa V pentru declarația de conformitate UE

A se vedea anexa VI pentru declarația de conformitate UE simplificată.

Înainte de a introduce pe piață un produs cu elemente digitale, producătorii întocmesc documentația tehnică și o păstrează ulterior la dispoziția autorităților de supraveghere a pieței. Anexa VI conține elementele minime pe care trebuie să le conțină documentația tehnică.

Citiți anexa VII

Înainte de a introduce pe piață un produs cu elemente digitale, producătorii efectuează procedurile de evaluare a conformității alese, astfel cum se menționează la articolul 32, sau dispun efectuarea acestora.

Anexa VIII precizează diferitele proceduri care pot fi puse la dispoziția producătorului în funcție de articolul 32. Acestea sunt:

• procedura de control intern (bazată pe modulul A);
• procedura de examinare UE de tip (bazată pe modulul B), urmată de conformitatea cu tipul UE bazată pe controlul intern al producției (bazată pe modulul C);
• o evaluare a conformității bazată pe asigurarea totală a calității (bazată pe modulul H) prevăzută în anexa VIII.

Citiți anexa VIII

Întrebările frecvente oferă, de asemenea, o explicație simplificată a diferitelor module de evaluare a conformității.