Din 11 decembrie 2027, camerele IP, centralele de alarmă, cititoarele de control acces și routerele fără securitate cibernetică demonstrată nu se mai pot vinde în Uniunea Europeană. Asta cere Cyber Resilience Act — Regulamentul (UE) 2024/2847 — iar primele obligații se aplică deja din 11 septembrie 2026.
Dacă alegeți acum echipamente pentru un sistem de supraveghere video, antiefracție sau control acces, regulamentul contează pentru dumneavoastră. Un sistem montat azi cu echipamente fără suport de securitate poate deveni, peste doi ani, o problemă greu de corectat.
Ce este Cyber Resilience Act
Este primul regulament european care impune cerințe de securitate cibernetică obligatorii pentru orice produs cu elemente digitale — hardware sau software care se conectează, direct sau indirect, la o rețea ori la alt dispozitiv. A intrat în vigoare pe 10 decembrie 2024 și se aplică direct în toate statele membre, fără lege națională de transpunere.
Pe scurt, producătorii trebuie să livreze echipamente sigure din fabricație, să repare vulnerabilitățile gratuit și să le raporteze autorităților. Marcajul CE va acoperi, pe lângă siguranța electrică și compatibilitatea electromagnetică, și securitatea cibernetică.
Termenele, pe scurt
- 10 decembrie 2024 — regulamentul intră în vigoare.
- 11 iunie 2026 — se aplică regulile pentru organismele notificate care vor evalua conformitatea produselor.
- 11 septembrie 2026 — producătorii trebuie să raporteze vulnerabilitățile exploatate activ și incidentele grave. Obligația acoperă și produsele deja aflate pe piață.
- 11 decembrie 2027 — se aplică toate celelalte obligații. Produsele noi fără conformitate CRA nu mai pot fi puse pe piață.
Ce echipamente de securitate sunt vizate
Practic, orice echipament de securitate care are firmware și o conexiune de rețea intră sub regulament: camere IP, NVR-uri și DVR-uri, centrale de alarmă conectate, controlere și cititoare de acces, videointerfoane IP, routere și switch-uri.
Unele categorii sunt considerate produse importante și au reguli mai stricte de evaluare (Anexa III):
- Clasa I: produse smart home cu funcții de securitate — încuietori inteligente, camere de securitate, sisteme de alarmă; routere, modemuri și switch-uri; sisteme de management al identității și accesului, inclusiv cititoare de control acces și biometrice; sisteme de operare.
- Clasa II: firewall-uri și sisteme de detecție și prevenire a intruziunilor (IDS/IPS).
Pentru produsele din clasa I, producătorul poate face singur evaluarea doar dacă aplică integral un standard armonizat. Până la publicarea acestor standarde, evaluarea trece printr-un organism notificat. De aceea, unii producători s-ar putea să retragă modele mai vechi de pe piață în loc să le certifice.
Ce trebuie să garanteze producătorul
- Fără vulnerabilități cunoscute la punerea pe piață.
- Configurație sigură din fabricație — fără parole implicite comune, servicii inutile închise.
- Actualizări de securitate gratuite, livrate fără întârziere, de regulă automate.
- O perioadă de suport declarată, care trebuie să corespundă duratei de utilizare așteptate a produsului — de regulă, minimum 5 ani.
- Raportarea vulnerabilităților exploatate la 24 de ore, 72 de ore și raport final către ENISA și CSIRT-ul național.
Amenzile pentru producători ajung la 15 milioane de euro sau 2,5% din cifra de afaceri globală. Importatorii și distribuitorii riscă până la 5 milioane de euro sau 1%.
Ce înseamnă pentru beneficiari și integratori
Regulamentul nu obligă beneficiarul să-și înlocuiască echipamentele. Produsele puse pe piață înainte de 11 decembrie 2027 și nemodificate substanțial pot fi folosite în continuare. Dar contează ce cumpărați de acum înainte:
- Distribuitorii și importatorii trebuie să verifice marcajul CE și documentația producătorului și să nu vândă produse neconforme.
- Cine vinde echipamente sub marca proprie sau le modifică substanțial devine „producător” și preia toate obligațiile.
- Echipamentele fără suport declarat nu vor mai primi actualizări de securitate. Exact acestea sunt cele exploatate în atacurile pe camere și DVR-uri.
Legătura cu NIS2 e directă: o firmă care intră sub NIS2 răspunde de securitatea propriei rețele, inclusiv a camerelor și controlerelor conectate la ea. Un echipament fără actualizări e o breșă pe care nu o poate închide.
Ce faceți acum, pas cu pas
- Inventariați echipamentele conectate: camere, NVR/DVR, centrale de alarmă, controlere de acces, videointerfoane, routere. Notați modelul și versiunea de firmware.
- Verificați perioada de suport pentru fiecare model. Echipamentele ieșite din suport sunt primele candidate la înlocuire.
- Actualizați firmware-ul și schimbați parolele implicite pe tot ce rămâne în funcțiune. Măsura costă puțin și închide cele mai exploatate breșe.
- Separați echipamentele de securitate într-o rețea dedicată, fără acces direct din internet. Pentru acces la distanță, folosiți VPN.
- La achizițiile noi, cereți în caietul de sarcini declarația de conformitate CRA sau angajamentul producătorului, plus perioada de suport garantată.
Întrebări frecvente
Trebuie să schimb camerele pe care le am deja?
Nu, regulamentul nu obligă la înlocuire. Echipamentele deja montate pot rămâne în funcțiune. Dacă însă un model nu mai primește actualizări de securitate, merită planificată înlocuirea, mai ales dacă e accesibil din internet.
Ce produse trebuie să aibă conformitate CRA?
Toate produsele cu elemente digitale puse pe piața UE din 11 decembrie 2027: camere IP, NVR-uri, centrale de alarmă conectate, controlere de acces, routere, software. Excepțiile sunt domeniile cu reguli proprii, cum ar fi dispozitivele medicale, autovehiculele și aviația.
Ce trebuie să cer furnizorului la o ofertă?
Declarația de conformitate UE care menționează Regulamentul (UE) 2024/2847, perioada de suport cu actualizări de securitate și modul în care producătorul anunță vulnerabilitățile. Pentru proiectele care se livrează după decembrie 2027, aceste documente devin obligatorii.
Ce legătură are CRA cu NIS2?
CRA se adresează producătorilor și spune cum trebuie făcute echipamentele. NIS2 se adresează firmelor care le folosesc și spune cum trebuie protejată rețeaua. Împreună, acoperă tot lanțul.
Cum vă putem ajuta
Proiectăm și integrăm sisteme de supraveghere video, control acces și antiefracție cu echipamente de la producători care își asumă suportul de securitate. Pentru sistemele existente, putem face un audit de securitate al echipamentelor conectate: firmware, parole, expunere în internet și segmentarea rețelei.
Dacă firma dumneavoastră intră sub NIS2, vedeți și pagina de conformitate NIS2. Sunați-ne la 0341 100 777 sau scrieți-ne și vă spunem ce e de făcut.
Articol informativ, publicat la 24 octombrie 2026, pe baza Regulamentului (UE) 2024/2847 (Cyber Resilience Act), publicat în Jurnalul Oficial al UE pe 20 noiembrie 2024, și a analizelor publicate de specialiști. Încadrarea exactă a unui produs se face după descrierile tehnice din Regulamentul de punere în aplicare (UE) 2025/2392.
