Companiile care gestionează incidente cibernetice se confruntă cu un cadru reglementar complex, fiind obligate să raporteze astfel de evenimente conform mai multor norme europene. Printre acestea se numără Cyber Resilience Act (CRA), GDPR, NIS 2 și DORA, fiecare impunând cerințe specifice. În sectorul financiar, viteza de reacție este critică, deoarece notificarea inițială poate fi necesară în cel mult patru ore de la momentul în care incidentul este clasificat drept major.
Regulamentul Cyber Resilience Act (CRA) a introdus obligații de raportare pentru vulnerabilitățile exploatate activ și incidentele grave care afectează securitatea produselor digitale începând cu 11 septembrie 2026. Producătorii au la dispoziție un calendar strict de comunicare: trebuie să transmită o avertizare timpurie în maximum 24 de ore, urmată de o notificare în 72 de ore. În final, un raport complet trebuie depus în termenele stabilite de acest regulament.
Pe lângă cerințele CRA, GDPR impune ca autoritatea de supraveghere să fie notificată în cel mult 72 de ore de la constatarea unei încălcări a securității datelor personale. Organizațiile care intră sub incidența actelor NIS 2 și DORA vor avea, de asemenea, obligații suplimentare de raportare. Robert Gîrdoc, director PwC România, subliniază că succesul în aceste situații nu depinde de viteză, ci de pregătirea prealabilă, recomandând proceduri clare și coordonarea echipelor IT, juridice și de conformitate.
Pregătirea organizațiilor pentru astfel de scenarii rămâne o provocare majoră la nivel global. Conform studiului PwC Global Digital Trust Insights 2027, realizat în rândul a 3.934 de lideri din 71 de țări și teritorii, doar 39% dintre respondenții responsabili de securitate, risc și operațiuni afirmă că organizațiile lor posedă un plan de continuitate operațională complet formalizat. Aceste planuri trebuie să integreze și să trateze explicit riscurile cibernetice pentru a fi eficiente.
Implementarea reglementărilor CRA urmează un calendar etapizat pe parcursul următorilor ani. Începând cu data de 11 decembrie 2027, regulamentul se va aplica integral pe piața europeană. De la acest moment, toate produsele care conțin elemente digitale și care sunt introduse pe piața din Uniunea Europeană vor fi obligate să respecte cerințele de securitate cibernetică prevăzute de cadrul legislativ stabilit de CRA.
Reglementările europene precum NIS 2 și DORA fac parte dintr-un efort coordonat de creștere a rezilienței digitale în cadrul Uniunii Europene. Aceste norme vizează securizarea infrastructurilor critice și a serviciilor digitale, impunând standarde de protecție ridicate pentru a minimiza impactul atacurilor cibernetice asupra economiei și a stabilității piețelor financiare din regiune.