InfoCons te informează – Ghidul de bune practici privind piața produselor și serviciilor comercializate online – Colaborarea cu autoritățile

InfoCons te informează: „Ghidul de bune practici privind piața produselor și serviciilor comercializate online”

Colaborarea cu autoritățile

Autoritățile însărcinate să asigure respectarea legislației în materie de protecția a consumatorului dispun de competențe de anchetă și de asigurare a respectării legislației pentru a coopera reciproc mai rapid și mai eficient și pentru a descuraja comiterea de către comercianți a încălcărilor legislației inclusiv în mediul online. Aceste competențe ar trebui să fie suficiente pentru a permite abordarea eficace a aspectelor în materie de asigurare a respectării legislației din comerțul electronic și din mediul digital și pentru a împiedica comercianții care nu se conformează, să exploateze lacunele din sistem prin relocarea într-un stat membru în care autoritățile competente nu sunt pregătite pentru a combate practicile ilegale. Respectivele competențe permit statelor membre să asigure schimbul viabil între autoritățile competente de mijloace de probă și de informații necesare, pentru a se asigura acela și nivel de respectare eficace și uniformă a legislației în toate statele Uniunii. (Considerentul nr. 6 din Regulamentul nr. 2394/2017 privind cooperarea dintre autoritățile naționale însărcinate să asigure respectarea legislației în materie de protecție a consumatorului și de abrogare a Regulamentului (CE) nr. 2006/2004)

12.1 Implementarea unui flux pentru raportarea activităților ilicite

Autoritățile competente au acces la orice documente, date și informații relevante cu privire la obiectul unei acțiuni de verificare pe o piață de consum pentru a stabili dacă a avut sau are loc o încălcare a legislației Uniunii care protejează interesele consumatorilor și, în special, pentru a determina comerciantul răspunzător, indiferent de cine deține respectivele documente, date sau informații și indiferent de forma sau formatul sub care se regăsesc acestea, de mediul lor de stocare sau de locul în care sunt acestea stocate. Autoritățile competente sunt, de asemenea, în măsură să solicite în mod direct părților terțe din lanțul valoric digital să furnizeze toate mijloacele de probă relevante. (Considerentul nr. 9 din Regulamentul 2394/2017) Pe de altă parte, autoritățile competente sunt în măsură să solicite orice informații relevante din partea oricăror alte autorități publice, organisme sau agenții din statul lor sau din partea oricărei persoane fizice sau juridice din domeniul lor de competență pentru a garanta respectarea acestei legislații și pentru a asigura buna funcționare a pieței interne, precum și pentru a îmbunătăți protecția intereselor economice ale consumatorilor. La cererea unei autorități solicitante, o autoritate solicitată furnizează acesteia, fără întârziere și în orice caz în termen de 30 de zile sau în orice alt termen convenit, orice informație relevantă necesară pentru a se stabili dacă a avut sau are loc o încălcare în interiorul Uniunii (Pentru definiția sintagmei,,încălcare în interiorul Uniunii”, a se vedea art. 3, alin.2, Reg. 2394/2017) și pentru a se pune capăt respectivei încălcări. Autoritatea solicitată întreprinde anchetele adecvate și necesare sau ia orice alte măsuri necesare sau adecvate pentru colectarea informațiilor solicitate. Dacă este cazul, anchetele respective sunt efectuate cu sprijinul altor autorități publice sau al altor organisme desemnate. La cererea autorității solicitante, autoritatea solicitată poate inclusiv să autorizeze un funcționar al autorității solicitante să însoțească funcționarii autorității solicitate pe parcursul anchetelor acestora. La cererea unei autorități solicitante, o autoritate solicitată ia toate măsurile necesare și proporționale de asigurare a respectării legislației pentru a pune capăt sau a interzice în interiorul Uniunii încălcarea, prin exercitarea competențelor legale la nivel UE (Art. 9 din Reg 2394/2017) și a oricăror competențe suplimentare care i-au fost acordate în temeiul dreptului intern. Autoritatea solicitată stabilește măsurile adecvate de asigurare a respectării legislației necesare pentru a pune capăt sau a interzice în interiorul Uniunii încălcarea și le adoptă fără întârziere, dar nu mai târziu de șase luni de la primirea solicitării, cu excepția cazului în care se furnizează motive specifice pentru prelungirea termenului. După caz, autoritatea solicitată impune sancțiuni (amenzi sau penalități cu titlu cominatoriu) comerciantului răspunzător de încălcarea în interiorul Uniunii. Autoritatea solicitată poate primi din partea comerciantului, la inițiativa acestuia, angajamente suplimentare privind măsuri reparatorii pentru consumatorii prejudiciați de presupusa încălcare în interiorul Uniunii sau, după caz, poate încerca să obțină angajamente din partea comerciantului de a oferi măsuri reparatorii adecvate pentru consumatorii prejudiciați de respectiva încălcare. Autoritatea solicitată informează periodic autoritatea solicitantă în privința acțiunilor și a măsurilor întreprinse, precum și a acțiunilor și a măsurilor pe care intenționează să le întreprindă. Autoritatea solicitată informează fără întârziere autoritatea solicitantă, autoritățile competente ale altor state membre și Comisia prin intermediul bazei de date electronice (Art. 35 din Reg. 2394/2017) create și gestionate de Comisia Europeană pentru toate comunicările dintre autoritățile competente, birourile unice de legătură și Comisie, despre măsurile luate și efectul acestora asupra încălcării constatate, incluzând referiri despre eventualele măsuri provizorii impuse, despre eventuala încetare a încălcării, despre măsurile care s-au adoptat și dacă măsurile respective s-au pus în aplicare, precum și în ce măsură consumatorilor prejudiciați de încălcare li s-au oferit angajamente privind măsuri reparatorii.

12.2 Implementarea unui flux care să asigure mecanismul procedural privind desfășurarea acțiunilor în reprezentare pentru protecția intereselor colective ale consumatorilor

Pentru a implementa un mecanism procedural, autoritățile competente se asigură că acesta permite entităților calificate să introducă acțiuni în reprezentare pentru a fi stabilite măsuri de încetare și măsuri reparatorii. (Art. 1 din Legea 414/2023) Autoritățile și organismele prestatoare de servicii publice cu atribuții în aplicarea actelor normative din Lista prevăzute in Legea 414/2023 (Art. 1 alin. (4) din Legea 414/2023) desemnează, fiecare dintre ele pe domeniul de competență stabilit prin aceste prevederi, entități calificate în scopul introducerii de acțiuni în reprezentare. Entitățile calificate desemnate pot introduce acțiuni în reprezentare în fața instanțelor judecătorești naționale pentru protecția intereselor colective ale consumatorilor în scopul asigurării unui nivel ridicat de protecție a acestora și al unei bune funcționări a pieței interne a Uniunii Europene, acțiuni care se judecă potrivit dreptului comun. În acest sens, consumatorii sunt protejați de practicile ilegale ale comercianților și pot beneficia de măsuri de încetare (pentru a pune capăt practicilor ilegale ale comerciantului, în mod similar cu ceea ce a fost prevăzut în Directiva 2009/22/CE privind acțiunile în încetare) dar și de măsuri reparatorii (de exemplu, rambursarea, înlocuirea, repararea) sau a ambelor tipuri de măsuri. Consumatorii vor beneficia automat de rezultatele acțiunilor în reprezentare. Însă ei ar trebui să aleagă în cunoștință de cauză dacă doresc să fie reprezentați și, ulterior, să beneficieze de rezultatul acțiunilor în reprezentare pentru obținerea de măsuri reparatorii. În principiu, statele membre pot aplica un mecanism de participare, un mecanism de neparticipare sau o combinație acelor două (Considerentul 43 din Directiva nr. 1828/2020 privind acțiunile în reprezentare pentru protecția intereselor colective ale consumatorilor). În cadrul unui mecanism de participare, numai consumatorii care și-au exprimat în mod explicit dorința de a fi reprezentați vor beneficia de acțiune. În cadrul unui mecanism de neparticipare, toți consumatorii în numele cărora entitatea calificată a decis să introducă acțiunea vor fi reprezentați, iar rezultatul acesteia va fi obligatoriu pentru ei, cu excepția cazului în care își exprimă în mod explicit dorința de a fi excluși din acțiune. Statele membre decid în ce stadiu al procedurii consumatorii își pot exercita la nivel individual dreptul de a participa sau de a nu participa la acțiunea în reprezentare.

12.3 Cooperarea cu instituțiile cu responsabilități în spațiul cibernetic pentru gestionarea vulnerabilităților și incidentelor de securitate cibernetică

În ecosistemul digital actual, securitatea produselor și serviciilor online depinde de capacitatea actorilor implicați — autorități, furnizori, producători și utilizatori — de a identifica și gestiona eficient vulnerabilitățile și incidentele de securitate cibernetică. Deși aceste două concepte sunt interconectate, ele se referă la etape diferite ale aceluiași proces: vulnerabilitățile reprezintă puncte slabe sau deficiențe tehnice care pot fi exploatate, iar incidentele de securitate sunt consecințele manifestării acestor exploatări. Gestionarea acestor riscuri impune o cooperare strânsă între instituțiile cu atribuții în domeniul securității cibernetice, în special Directoratul Național de Securitate Cibernetică (DNSC), alte autorități naționale și organisme europene precum ENISA. Cadrul normativ relevant include atât reglementări europene — precum Regulamentul (UE) 2019/881 privind ENISA și privind certificarea securității cibernetice pentru tehnologia informației și comunicațiilor, Regulamentul (UE) 2024/2847 privind cerințele orizontale în materie de securitate cibernetică pentru produsele cu elemente digitale și Directiva (UE) 2022/2555 privind măsuri pentru un nivel comun ridicat de securitate cibernetică în Uniune, transpusă în România prin OUG nr. 155/2024 — cât și legislația națională în materie, precum OUG nr. 104/2021. Aceste acte stabilesc obligații clare pentru producători, furnizori de servicii digitale, operatori economici și instituții publice, în ceea ce privește identificarea, raportarea și remedierea vulnerabilităților, precum și notificarea incidentelor cibernetice către autoritățile competente. În același timp, ele consolidează mecanismele de cooperare între autoritățile naționale și europene, asigurând o reacție coordonată și eficientă la nivelul întregii piețe digitale. De asemenea, cadrul legal și operațional are în vedere nu doar dimensiunea instituțională sau economică, ci și protecția cetățeanului obișnuit, în calitate de utilizator final al produselor și serviciilor digitale. Astfel, un sistem eficient de gestionare a vulnerabilităților și incidentelor nu servește doar intereselor comerciale, ci contribuie direct la creșterea încrederii publicului în mediul online, la protejarea datelor personale și la consolidarea rezilienței cibernetice colective. 12.3.1 Regulamentul (UE) 2019/881 privind ENISA și privind certificarea securității

cibernetice pentru tehnologia informației și comunicațiilor Regulamentul (UE) 2019/881 al Parlamentului European și al Consiliului din 17 aprilie 2019 privind ENISA (Agenția Uniunii Europene pentru Securitate Cibernetică) și privind certificarea securității cibernetice pentru tehnologia informației și comunicațiilor și de abrogare a Regulamentului (UE) nr. 526/2013, cunoscut și ca Regulamentul privind securitatea cibernetică, reprezintă principalul instrument legislativ european care stabilește cadrul pentru consolidarea securității cibernetice în Uniunea Europeană. Acesta are două direcții majore de acțiune:

• Întărirea rolului ENISA (Agenția Uniunii Europene pentru Securitate

Cibernetică) ca autoritate europeană de expertiză, sprijin și coordonare în

domeniul securității cibernetice;

• Crearea cadrului european de certificare a securității cibernetice pentru

produse, servicii și procese din domeniul tehnologiei informației și comunicațiilor

(TIC). Regulamentul se aplică producătorilor, furnizorilor și dezvoltatorilor de produse, servicii și procese TIC care operează pe piața Uniunii Europene. Scopul său este de a asigura că aceste produse — de la dispozitive inteligente și aplicații software până la servicii de cloud, platforme online și soluții industriale — sunt concepute și operate într-un mod sigur, reducând riscurile de exploatare a vulnerabilităților. Obligațiile-cheie pentru actorii economici și relevanța pentru piața produselor și serviciilor online:

• Producătorii și furnizorii de servicii TIC sunt încurajați să integreze măsuri de

securitate cibernetică încă din faza de proiectare și dezvoltare („security by

design”) și să garanteze o configurație implicită sigură („security by default”),

principii consacrate încă din preambulul regulamentului, la punctele 12 și 13.

• Produsele și serviciile certificate în baza schemelor europene de certificare oferă

garanții suplimentare de încredere pentru consumatori, instituții și operatori

economici, facilitând libera circulație a acestora în piața unică digitală;

• Organizațiile și autoritățile naționale, inclusiv DNSC, pot utiliza aceste scheme

pentru a evalua nivelul de securitate al produselor și serviciilor TIC utilizate în

infrastructurile digitale naționale. De asemenea, regulamentul subliniază și rolul crucial al identificării și remedierii vulnerabilităților (preambul, punctul 30). Actorii vizați — producători, furnizori, operatori și cercetători în securitate — sunt încurajați să participe la procese de divulgare coordonată a vulnerabilităților (CVD), care presupun raportarea responsabilă a acestora către deținătorii produselor sau serviciilor afectate, înainte de publicarea informațiilor. Această abordare contribuie la reducerea riscurilor cibernetice pentru întreaga societate. Prin aceste mecanisme, Regulamentul (UE) 2019/881 contribuie la creșterea încrederii în mediul digital european, protejând simultan interesele economice ale furnizorilor, drepturile utilizatorilor finali și siguranța generală a pieței online. 12.3.2 Regulamentul (UE) 2024/2847 privind cerințele orizontale în materie de securitate

cibernetică pentru produsele cu elemente digitale Regulamentul (UE) 2024/2847 al Parlamentului European și al Consiliului din 23 octombrie 2024 privind cerințele orizontale în materie de securitate cibernetică pentru produsele cu elemente digitale și de modificare a Regulamentelor (UE) nr. 168/2013 și (UE ) 2019/1020, precum și a Directivei (UE) 2020/1828, cunoscut și ca Regulamentul privind reziliența cibernetică sau Cyber Resilience Act (CRA), stabilește cerințe orizontale obligatorii de securitate cibernetică pentru produsele cu elemente digitale introduse pe piața Uniunii Europene. Scopul său principal este de a asigura că toate aceste produse – de la echipamente inteligente și aplicații software, până la dispozitive IoT, routere, jucării inteligente, echipamente portabile care au funcții de monitorizare a sănătății și sisteme industriale – sunt concepute, dezvoltate și menținute în condiții de siguranță cibernetică pe întregul lor ciclu de viață. Regulamentul se adresează în primul rând producătorilor, importatorilor și distribuitorilor de produse cu elemente digitale, dar și entităților care integrează software sau componente digitale în alte produse comerciale. CRA vizează orice produs hardware sau software care poate fi conectat direct sau indirect la o rețea, indiferent dacă este destinat consumatorilor, mediului industrial sau instituțional. Principalele obligații pentru producători și pentru operatorii economici care sunt considerați producători în temeiul art. 21– 22:

• Proiectarea, dezvoltarea și fabricarea produselor cu elemente digitale în

conformitate cu cerințele esențiale de securitate cibernetică, astfel încât acestea

să fie sigure pe întreaga durată de utilizare;

• Realizarea și documentarea unei evaluări a riscurilor de securitate cibernetică

asociate produsului, ale cărei rezultate trebuie integrate în toate etapele ciclului de

viață – de la planificare și proiectare până la livrare și întreținere;

• Instituirea unor procese eficace de gestionare a vulnerabilităților, inclusiv

identificarea, remedierea și actualizarea produselor afectate pe parcursul perioadei

de asistență stabilite;

• Notificarea fără întârzieri nejustificate a vulnerabilităților exploatate activ și a

incidentelor severe care afectează securitatea produsului către CSIRT-ul desemnat

drept coordonator și către ENISA, prin intermediul platformei unice de raportare,

inclusiv transmiterea unei alerte timpurii în termen de 24 de ore de la luarea la

cunoștință. În temeiul articolului 21 din Regulamentul (UE) 2024/2847, importatorul sau distribuitorul este considerat producător și i se aplică articolele 13 și 14 atunci când introduce pe piață un produs cu elemente digitale sub numele sau marca sa ori efectuează o modificare substanțială a unui produs deja introdus pe piață. Totodată, potrivit articolului 22, orice persoană fizică sau juridică, alta decât producătorul, importatorul sau distribuitorul, care efectuează o modificare substanțială a unui produs cu elemente digitale și îl pune la dispoziție pe piață este considerată producător și este supusă obligațiilor prevăzute la articolele 13 și 14 pentru partea produsului afectată sau, dacă modificarea influențează securitatea cibernetică a produsului în ansamblu, pentru întregul produs. Această obligație de notificare are scopul de a permite un răspuns coordonat la nivelul Uniunii Europene, reducând timpul de reacție la atacurile cibernetice și limitând impactul asupra pieței și consumatorilor. Conform articolelor 11 –13 din regulament, producătorii trebuie să implementeze un proces intern documentat de identificare, evaluare și remediere a vulnerabilităților, care să includă:

• colectarea informațiilor privind vulnerabilitățile din surse publice sau private;
• coordonarea cu entitățile care raportează vulnerabilități (inclusiv cercetători

independenți);

• actualizarea produselor afectate și comunicarea către utilizatori;
• asigurarea unei perioade minime de suport de securitate post-vânzare. CRA protejează atât operatorii economici, cât și cetățenii, asigurând că produsele digitale vândute online respectă aceleași standarde de securitate în toate statele membre. Pentru consumatori, acest lucru se traduce printr-o creștere a încrederii în produsele digitale, iar pentru producători – prin eliminarea diferențelor legislative între piețele naționale și facilitarea comerțului transfrontalier. Așadar, Cyber Resilience Act creează un standard european unic de securitate pentru produsele digitale, integrând producătorii, furnizorii, autoritățile și utilizatorii într-un mecanism comun de prevenire și reacție. Prin cooperarea cu DNSC și folosirea platformei EUVD, actorii economici pot contribui activ la creșterea rezilienței colective a pieței digitale și la protejarea cetățenilor în fața riscurilor cibernetice. 12.3.3 Divulgarea coordonată a vulnerabilităților în România Creșterea continuă a interconectării digitale a serviciilor și produselor a determinat Uniunea Europeană să promoveze o abordare unitară în gestionarea vulnerabilităților de securitate cibernetică. În acest sens, Directiva NIS 2 impune statelor membre obligația de a institui mecanisme clare pentru divulgarea coordonată a vulnerabilităților (Coordinated Vulnerability Disclosure – CVD), în vederea consolidării securității colective în spațiul digital european. În România, aceste prevederi au fost transpuse prin OUG nr. 155/2024, care stabilește cadrul procedural pentru raportarea și gestionarea vulnerabilităților la nivel național. Politicile de divulgare coordonată a vulnerabilităților (CVD) urmăresc crearea unui canal sigur, controlat și responsabil de colaborare între cercetători în securitate, producători și autorități, permițând raportarea vulnerabilităților descoperite fără riscul unor repercusiuni legale și fără expunerea publică prematură a acestora. Astfel, cadrul instituit prin OUG nr. 155/2024 consolidează rolul DNSC ca punct național de contact și coordonator al procesului de raportare a vulnerabilităților, asigurând o abordare transparentă, colaborativă și eficientă în tratarea acestora. Conform art. 4 lit. tt) din OUG nr. 155/2024, vulnerabilitatea este „un punct slab, o susceptibilitate sau o deficiență a unor produse TIC sau a unor servicii TIC care poate fi exploatată de o amenințare cibernetică”. Așadar, o vulnerabilitate reprezintă o eroare sau deficiență într-un sistem informatic, o aplicație sau un serviciu digital (inclusiv platforma magazinului online), ce poate fi exploatată de o persoană neautorizată sau de un atacator pentru a compromite confidențialitatea, integritatea ori disponibilitatea datelor și serviciilor asociate. Orice magazin online care procesează date despre clienți (comenzi, plăți, conturi etc.) este o țintă potențială pentru atacatori. În acest sens, remedierea proactivă a vulnerabilităților:
• reduce riscul de atacuri cibernetice prin identificarea și remedierea din timp a

punctelor slabe;

• protejează datele personale și financiare ale clienților, menținând încrederea

acestora în platformă;

• previne aplicarea sancțiunilor legale ca urmare a nerespectării reglementărilor

privind securitatea informației (ex.: GDPR, OUG nr. 155/2024);

• contribuie la creșterea rezilienței cibernetice, îmbunătățirea reacției la incidente și

la consolidarea reputației companiei în piață;

• presupune costuri mai mici în comparație cu remedierea post-incident. Divulgarea coordonată a vulnerabilităților reprezintă un proces sigur, controlat și responsabil prin care un cercetător în securitate, un client sau orice altă persoană poate raporta responsabil o vulnerabilitate descoperită într-un sistem, serviciu sau aplicație, fără a o face publică înainte ca aceasta să fie remediată. Scopul acesteia este de a permite entității vizate să remedieze problema într-un interval rezonabil de timp, contribuind astfel la creșterea securității cibernetice generale. Potrivit art. 13 lit. e) din OUG nr. 155/2024, entitățile esențiale și entitățile importante au obligația de a implementa politici interne privind gestionarea și divulgarea vulnerabilităților, care să includă:
• stabilirea unui punct public de contact (ex.: cvd@[NUME_FIRMĂ].ro);
• proceduri clare pentru analiza, trierea și remedierea vulnerabilităților raportate;
• cooperarea cu raportorii vulnerabilităților și informarea acestora cu privire la

măsurile luate;

• publicarea termenilor și condițiilor aplicabile procesului de raportare (politica CVD). În baza art. 36 alin. (3) din OUG nr. 155/2024, orice persoană fizică sau juridică poate raporta vulnerabilități către DNSC, cu respectarea cadrului legal. Chiar dacă obligația legală se aplică în mod direct entităților esențiale și importante, DNSC recomandă tuturor organizațiilor care furnizează servicii online, inclusiv magazinelor online, să adopte politici proprii de divulgare coordonată a vulnerabilităților (CVD). Pașii recomandați pentru magazinele online: 1. Publicarea unei politici CVD
• stabilirea unei adrese de e-mail dedicată;
• publicarea unei politici clare privind raportarea vulnerabilităților;
• asumarea angajamentului de protejare a raportorilor împotriva oricăror forme de

represalii, atât timp cât acționează cu bună credință. 2. Trierea și remedierea vulnerabilităților

• analiza rapidă a vulnerabilităților raportate;
• prioritizarea acestora în funcție de gravitate și impact;
• aplicarea promptă a măsurilor corective. 3. Raportarea către DNSC
• vulnerabilitățile pot fi notificate prin mecanismul de Divulgare Coordonată a

Vulnerabilităților (CVD) (https://www.dnsc.ro/pagini/CVD). Adoptarea unei politici CVD nu este doar o bună practică tehnică, ci și un semn de responsabilitate față de clienți și parteneri, contribuind la prevenirea incidentelor și la consolidarea reputației organizației în mediul online. Conform art. 60 lit. dd), kk), ll) din OUG nr. 155/2024, neimplementarea politicilor de gestionare și divulgare a vulnerabilităților, precum și neîndeplinirea obligației de raportare în termen, constituie contravenții sancționate cu amenzi considerabile, dacă sunt efectuate de către entitățile esențiale și/sau importante, în conformitate cu OUG nr. 155/2024. DNSC recomandă tuturor organizațiilor care desfășoară activități de comerț online, indiferent de clasificarea lor juridică sau de încadrarea în categoria entităților esențiale sau importante, să elaboreze și să mențină politici proprii de divulgare coordonată a vulnerabilităților. Această recomandare este aliniată la bunele practici promovate de Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA), în scopul întăririi securității cibernetice la nivelul pieței digitale europene. În sprijinul acestui demers, ENISA a lansat recent platforma European Vulnerability Database (EUVD), o inițiativă europeană dedicate dedicată raportării și gestionării coordonate a vulnerabilităților de securitate cibernetică. În acest sens EUVD:

• oferă o alternativă interoperabilă la sistemul internațional CVE (Common

Vulnerabilities and Exposures);

• facilitează coordonarea și transparența între cercetători, furnizori și autorități;
• permite adoptarea unui cadru unitar de raportare, aliniat la standardele europene;
• contribuie direct la creșterea nivelului de reziliență digitală pentru toate entitățile

comerciale care activează online în Uniunea Europeană. Adoptarea unei politici CVD și, acolo unde este posibil, integrarea cu platforme europene precum EUVD, reprezintă pași concreți spre o abordare responsabilă și proactivă în protejarea ecosistemului digital. 12.3.4 Cooperarea cu instituțiile cu responsabilități în gestionarea spațiului cibernetic în

cazul producerii incidentelor semnificative de securitate cibernetică În cazul producerii unui incident de securitate cibernetică, acesta poate fi raportat către DNSC prin intermediul Platformei Naționale de Raportare a Incidentelor de Securitate Cibernetică (PNRISC: https://pnrisc.dnsc.ro), conform art. 15 din OUG nr. 155/2024 sau telefonic la numărul unic 1911. Raportarea incidentelor semnificative se realizează de către entitățile esențiale și importante în termen de 24 de ore de la data la care au luat la cunoștință de incidentul semnificativ, prin completarea formularului din Platforma Națională de Raportare a Incidentelor de Securitate Cibernetică (PNRISC). Ulterior, entitățile transmit un raport intermediar în termen de 72 de ore din momentul în care au luat la cunoștință de incidentul semnificativ, iar un raport final în cel mult o lună de la transmiterea notificării, incluzând detaliile tehnice și măsurile corective aplicate. Aceste acte normative stabilesc cadrul de cooperare națională și de participare la nivel european și internațional în domeniul securității rețelelor și sistemelor informatice, definind responsabilitățile autorităților și entităților publice și private în cazul incidentelor de securitate cibernetică, precum și modul de acțiune pentru limitarea efectelor acestora. Completarea formularului PNRISC sau, după caz, furnizarea telefonică a datelor are ca principal scop transmiterea către DNSC a informațiilor necesare identificării atacului cibernetic, limitării prejudiciilor și dimensionării măsurilor de răspuns adecvate. Autoritățile care au acces la PNRISC au obligația de a asigura confidențialitatea, integritatea și disponibilitatea datelor partajate, tratând toate informațiile primite ca fiind confidențiale și acordând acces doar personalului autorizat, strict în scopul îndeplinirii atribuțiilor de serviciu. ATENȚIE! Raportarea unui incident de securitate cibernetică utilizând această platformă NU înlocuiește formularea unei plângeri penale către organele de urmărire penală competente ori alte instituții publice abilitate conform legii (după caz).

12.4 Recomandări practice pentru producători, comercianți și utilizatori de produse digitale

Transformarea digitală rapidă a economiei și extinderea comerțului electronic impun o abordare responsabilă și coordonată în ceea ce privește securitatea produselor și serviciilor digitale. Dacă secțiunile anterioare au prezentat cadrul normativ și instituțional aplicabil — inclusiv rolul DNSC, cerințele Cyber Resilience Act și mecanismele de divulgare coordonată a vulnerabilităților — prezenta secțiune are un caracter practic, concentrându -se asupra acțiunilor concrete pe care diferitele categorii de actori le pot întreprinde pentru a contribui la siguranța pieței digitale. Astfel, recomandările de mai jos sunt structurate pe trei direcții principale:

• Pentru producători și furnizori, care sunt responsabili de conformitatea tehnică și

securitatea produselor pe care le introduc pe piață;

• Pentru comercianți și operatori de platforme online, care trebuie să se asigure că

produsele comercializate respectă cerințele de securitate cibernetică și sunt

însoțite de informații corecte pentru consumatori;

• Pentru utilizatori și cetățeni, care au posibilitatea de a verifica și utiliza în siguranță

produsele digitale, contribuind activ la reducerea riscurilor cibernetice. Scopul acestor recomandări este de a traduce prevederile legislative și bunele practici europene în măsuri simple, verificabile și aplicabile în activitatea zilnică, oferind orientare atât actorilor economici, cât și utilizatorilor individuali. 12.4.1 Verificarea conformității produselor cu elemente digitale În temeiul Regulamentului (UE) 2024/2847, produsele cu elemente digitale pot fi puse la dispoziție pe piața Uniunii Europene numai dacă îndeplinesc cerințele esențiale de securitate cibernetică și dacă procesele instituite de producător respectă aceste cerințe. Regulamentul stabilește norme privind punerea la dispoziție pe piață a produselor cu elemente digitale, precum și obligațiile operatorilor economici în vederea asigurării securității cibernetice pe durata de viață a produselor. Conformitatea produselor este demonstrată prin parcurgerea procedurilor de evaluare a conformității și prin aplicarea marcajului CE, prin care producătorul indică faptul că produsul și procesele aferente respectă cerințele esențiale de securitate cibernetică. În funcție de nivelul de risc, anumite produse pot face obiectul unor proceduri suplimentare de evaluare a conformității, iar pentru unele categorii critice Comisia poate stabili obligația obținerii unui certificat european de securitate cibernetică, emis în cadrul unui sistem european de certificare disponibil. Astfel, regulamentul introduce un cadru diferențiat de asigurare a conformității, bazat pe nivelul de risc asociat produselor, care poate determina aplicarea unor proceduri mai riguroase de verificare înainte de introducerea pe piață. Recomandări pentru consumatori:

• Verificați prezența marcajului CE, care indică faptul că produsul respectă cerințele

aplicabile ale legislației de armonizare a Uniunii;

• Consultați informațiile furnizate de producător privind utilizarea în condiții de

securitate a produsului și perioada de asistență;

• Acordați atenție disponibilității actualizărilor de securitate și mecanismelor de

raportare a vulnerabilităților;

• Optați pentru produse provenite de la producători identificați clar, care oferă

documentație tehnică și informații de contact;

• Atunci când este disponibilă o certificare europeană de securitate cibernetică

pentru anumite categorii de produse, aceasta poate constitui un indicator

suplimentar al nivelului de asigurare a securității. Conform Regulamentului (UE) 2024/2847, produsele cu elemente digitale sunt încadrate în categorii de risc diferite — standard, importante și critice — în funcție de impactul lor potențial asupra securității. Pentru aceste categorii, se aplică proceduri distincte de evaluare a conformității și niveluri corespunzătoare de asigurare a securității cibernetice: de bază, substanțial și ridicat. Resurse utile: Comisia Europeană – Ghid privind utilizarea mării și etichetei EUCC (https://digital-strategy.ec.europa.eu/ro/library/brand-book-european-common-criteria- based-cybersecurity-certification-scheme-eucc). Pentru a facilita identificarea nivelurilor de conformitate prevăzute de Cyber Resilience Act, în continuare sunt prezentate modelele de marcaj EUCC corespunzătoare celor trei niveluri de asigurare a securității cibernetice: de bază, substanțial și ridicat. Figura 3. Marcajul EUCC pentru nivelul de asigurare de bază conform CRA (RO) Figura 4. Marcajul EUCC pentru nivelul de asigurare substanțial conform CRA (RO) Figura 5. Marcajul EUCC pentru nivelul de asigurare ridicat conform CRA (RO) Producătorii au obligația de a notifica autoritățile competente, în termen de 24 de ore de la data la care au luat cunoștință de incidentul semnificativ constatat, în cazul în care identifică o vulnerabilitate exploatată activ sau un incident de securitate care afectează produsele cu elemente digitale, conform art. 14 din Regulamentul (UE) 2024/2847. 12.4.2 Consultarea bazelor de date europene și internaționale privind vulnerabilitățile de

securitate cibernetică Într-un ecosistem digital interconectat, identificarea și remedierea vulnerabilităților cunoscute reprezintă una dintre cele mai eficiente modalități de prevenire a atacurilor cibernetice. Pentru a sprijini acest proces, la nivel european și internațional există baze de date publice care centralizează informații despre vulnerabilități, remedii disponibile și nivelul de risc asociat produselor și serviciilor digitale. Cele mai importante platforme utilizate în acest scop sunt:

• European Vulnerability Database (EUVD) (https://euvd.enisa.europa.eu) – gestionată de Agenția Uniunii

Europene pentru Securitate Cibernetică (ENISA);

• Common Vulnerabilities and Exposures (CVE) (https://cve.mitre.org) – administrată de

organizația internațională MITRE Corporation, cu sprijinul Departamentului de

Securitate Internă al SUA (DHS) și al comunității globale de securitate. a) European Vulnerability Database (EUVD)- ENISA Platforma EUVD oferă un cadru european unificat pentru raportarea și consultarea vulnerabilităților identificate în produse și servicii digitale. EUVD integrează informații provenite din surse naționale și internaționale și permite:

• căutarea vulnerabilităților în funcție de producător, denumirea produsului,

versiunea software sau identificatorul unic (de ex.: CVE ID);

• vizualizarea nivelului de severitate (scor CVSS), descrierea impactului și stadiul

remedierii;

• raportarea vulnerabilităților nou identificate, în conformitate cu principiile divulgării

coordonate a vulnerabilităților (CVD);

• accesarea directă a soluțiilor de remediere sau a recomandărilor publicate de

producători. Recomandări de utilizare:

• Producători și furnizori: pot înregistra și urmări vulnerabilitățile asociate produselor

proprii sau componentelor utilizate.

• Comercianți și operatori online: pot verifica dacă produsele comercializate au

vulnerabilități active și pot lua măsuri de retragere temporară sau informare a

clienților.

• Cetățeni și utilizatori finali: pot verifica dacă produsul utilizat (router, aplicație

software, echipament smart etc.) este afectat de vulnerabilități cunoscute și dacă

există actualizări de securitate disponibile. Figura 6. Website European Union Vulnerability Database (EUVD)- ENISA b) Common Vulnerabilities and Exposures (CVE) – MITRE Platforma CVE, gestionată de MITRE Corporation, reprezintă standardul internațional de referință pentru identificarea și clasificarea vulnerabilităților de securitate cibernetică. Fiecare vulnerabilitate validată primește un identificator unic CVE-ID (ex.: CVE-2025- 12345), care este ulterior corelat cu informațiile tehnice din alte baze de date (ex.: NIST NVD – National Vulnerability Database). Recomandări de utilizare:

• Instituții publice și companii: pot folosi CVE pentru a verifica rapid dacă un produs,

serviciu sau component software are vulnerabilități cunoscute și pentru a prioritiza

actualizările de securitate.

• Specialiști în securitate cibernetică: pot integra referințele CVE în procesele de

audit, testare de penetrare sau analiză de risc.

• Cetățeni și utilizatori avansați: pot consulta CVE pentru verificarea securității

aplicațiilor utilizate zilnic, folosind interfața web sau instrumente de căutare

integrate. Figura 7. Website Common Vulnerabilities and Exposures (CVE) – MITRE c) Surse complementare utile

• National Vulnerability Database (NVD) (https://nvd.nist.gov) – oferă detalii tehnice și scoruri

CVSS asociate fiecărui CVE.

• CERT-EU Security Alerts (https://cert.europa.eu) – avertizări și recomandări pentru instituțiile

europene. Prin utilizarea acestor surse oficiale, actorii economici și cetățenii contribuie la consolidarea rezilienței cibernetice colective și la creșterea gradului de încredere în piața produselor și serviciilor digitale.

Sursă: Autoritatea Națională pentru Protecția Consumatorilor (ANPC)