Cyber Resilience Act: Italia încredințează supravegherea ACN

Pe 2 octombrie 2026, Consiliul de Miniștri al Italiei a aprobat în primă lectură proiectul de decret legislativ care adaptează legislația italiană la Cyber Resilience Act (CRA, Regulamentul UE 2024/2847), regulamentul privind cerințele de securitate cibernetică pentru produsele cu elemente digitale. Punctul central: Agenția pentru Securitate Cibernetică Națională (ACN) devine autoritatea de notificare a organismelor de evaluare a conformității și autoritatea de supraveghere a pieței.

Textul integral nu poate fi încă consultat: ce se știe provine din comunicatul nr. 191 al Consiliului de Miniștri, analizat de Cybersecurity360, ICT Security Magazine și Agenda Digitale. Proiectul merge acum la avizele comisiilor parlamentare și ale Consiliului de Stat și se mai poate schimba. O parte din regulamentul european se aplică însă deja și nu așteaptă decretul.

Ce prevede proiectul de decret

• ACN, autoritate de notificare: notifică Comisiei organismele care vor efectua evaluările conformității. Evaluarea și controlul acestor organisme rămân în sarcina organismului național de acreditare.
• ACN, autoritate de supraveghere a pieței, cu posibilitatea de a apela la Guardia di Finanza (poliția financiară italiană).
• Alte autorități, în domeniile lor: pentru produsele care sunt și sisteme de inteligență artificială cu risc ridicat, autoritățile prevăzute de normele naționale privind IA; Banca Italiei, Consob și IVASS pentru instituțiile financiare supravegheate; autoritatea italiană pentru protecția datelor, pentru datele personale. Autoritățile se coordonează, inclusiv prin acorduri de schimb de informații.
• Consumatori: vor putea raporta vulnerabilități, incidente și amenințări direct la CSIRT Italia; încălcările CRA intră printre domeniile acțiunilor în reprezentare pentru protecția intereselor colective.
• IMM-uri și start-up-uri: un canal de consultanță dedicat, definit de ACN și de Ministerul Întreprinderilor și al Made in Italy, și tarife proporționale pentru evaluarea conformității.
• Sandbox-CRA: un spațiu de testare normativă sub supravegherea ACN, cu medii de test controlate înainte de introducerea pe piață, acces prioritar pentru microîntreprinderi și întreprinderi mici și coordonare cu spațiile pentru servicii financiare și IA.

Desemnările erau deja scrise în articolul 15 din Legea nr. 36 din 17 martie 2026 (legea de delegare europeană 2025). ICT Security Magazine amintește că delegarea permite depășirea plafonului general de 150.000 de euro pentru sancțiunile administrative, stabilit de Legea 234/2012: fără această derogare, amenzile maxime ale CRA nu ar putea fi aplicate.

Problema deschisă a sancțiunilor

Potrivit Agenda Digitale, proiectul lasă fiecărei autorități aplicarea sancțiunilor după propriile proceduri. ICT Security Magazine semnalează un punct deschis: pentru ACN, procedura de sancționare ar trebui reglementată printr-un regulament prevăzut de articolul 17 alineatul (4-quater) din Decretul-lege 82/2021, care trebuia adoptat până în octombrie 2024 și pe care publicația nu l-a găsit printre actele publicate. Până atunci se aplică Legea 689/1981. Publicația prezintă constatarea ca pe un rezultat negativ pe sursele pe care le-a putut consulta, nu ca pe o certitudine.

Plafoanele europene (articolul 64 din CRA, aplicabil de la 11 decembrie 2027) ajung la 15 milioane de euro sau 2,5% din cifra de afaceri mondială anuală, dacă aceasta este mai mare, pentru încălcarea cerințelor esențiale și a obligațiilor din articolele 13 și 14, și la 10 milioane sau 2% pentru un al doilea grup de obligații, care le include pe cele ale importatorilor și distribuitorilor.

Deja în vigoare: raportarea de la 11 septembrie 2026

CRA este în vigoare din 10 decembrie 2024 și se aplică în etape:

• 11 iunie 2026: capitolul IV, notificarea organismelor de evaluare a conformității;
• 11 septembrie 2026: articolul 14, obligațiile de raportare ale producătorilor;
• 11 decembrie 2026: până la această dată statele trebuie să asigure un număr suficient de organisme notificate;
• 11 decembrie 2027: aplicarea generală, cu cerințele esențiale din anexa I și sancțiunile.

De la 11 septembrie, producătorul raportează două tipuri de evenimente: o vulnerabilitate exploatată activ în produs și un incident grav care afectează securitatea produsului. Termenele curg din momentul în care află de ele:

• avertizare timpurie în 24 de ore;
• notificare în 72 de ore;
• raport final în 14 zile de la disponibilitatea unei corecții sau măsuri de atenuare, pentru vulnerabilități, sau în o lună de la notificare, pentru incidente.

Raportările trec prin platforma unică de raportare administrată de ENISA, prin punctul de acces al CSIRT-ului coordonator din statul în care producătorul are sediul principal: în Italia este CSIRT Italia, care funcționează în cadrul ACN. Obligațiile separate din GDPR și NIS2 rămân valabile.

Orientările Comisiei privind articolul 14 (conținut aprobat pe 27 iulie 2026, în așteptarea adoptării oficiale în toate limbile) clarifică două aspecte. Obligația se aplică și produselor introduse pe piață înainte de 11 decembrie 2027 și continuă după încheierea perioadei de suport. Producătorul „ia cunoștință” atunci când, după o primă evaluare, ajunge la un grad rezonabil de certitudine privind exploatarea sau incidentul, o noțiune aliniată cu NIS2 și GDPR.

Impactul pentru companiile europene

CRA îi privește pe cei care pun pe piață, în cadrul unei activități comerciale, hardware și software cu o conexiune de date la un dispozitiv sau la o rețea. Obligațiile producătorului se aplică și importatorilor și distribuitorilor care vând sub propriul nume sau propria marcă ori care modifică substanțial produsul; software-ul open source distribuit în afara oricărei activități comerciale este exclus. Cine este și entitate NIS2 poate fi nevoit să raporteze același eveniment pe mai multe canale.

Ce să faci acum

1. Fă inventarul produselor cu elemente digitale pe care le-ai pus pe piață, inclusiv cele fără suport: obligația de raportare se aplică și lor.
2. Scrie procedura de raportare: cine evaluează un eveniment suspect, cine stabilește momentul în care compania „ia cunoștință”, cine trimite avertizarea timpurie în 24 de ore și cu ce acces la platformă.
3. Monitorizează vulnerabilitățile exploatate în componentele produselor tale, pornind de la lista componentelor și de la avizele publice, precum cele ale CSIRT Italia.
4. Pregătește un canal pentru raportările externe ale cercetătorilor și clienților, cu termene de răspuns definite.
5. Coordonează CRA, NIS2 și GDPR într-o singură procedură care trimite același eveniment destinatarilor potriviți.
6. Urmărește parcursul decretului: textul final, procedura de sancționare, canalul pentru IMM-uri și accesul la Sandbox-CRA.

Cum ajută ARXDOME

ARXDOME nu înlocuiește procesul de gestionare a vulnerabilităților produselor cerut de CRA, dar ajută pe partea de infrastructură. ARX Shield arată vulnerabilitățile deschise pe mașină și pe pachet, evidențiindu-le pe cele deja exploatate de atacatori; ARX Horizon îmbogățește evenimentele cu liste de amenințări și vulnerabilități. ARX Retain păstrează jurnalele pentru numărul de ani necesar, utile pentru a reconstitui cronologia unui incident atunci când trebuie documentată în termen.

Ultima actualizare: 8 octombrie 2026