Fabricantes de tecnologia que vendem produtos conectados na União Europeia agora enfrentam prazos rigorosos para reportar incidentes graves de cibersegurança e vulnerabilidades que estão sendo ativamente explorados.
Novos requisitos de reporte sob a Lei de Resiliência Cibernética da UE (CRA) passaram a ser aplicados em 11 de setembro de 2026. Os fabricantes devem fornecer um aviso inicial em até 24 horas após tomarem conhecimento de certos eventos de segurança que afetem produtos com elementos digitais.
As regras abrangem duas situações principais. Vulnerabilidades para as quais há evidências confiáveis de exploração ativa por atacantes e incidentes graves que afetam a segurança de um produto digital.
Os produtos cobertos pela CRA incluem uma ampla gama de hardware e software disponibilizados no mercado da UE. O framework pode se aplicar a aplicações, programas de computador, firmware, eletrônicos de consumo conectados, equipamentos industriais da Internet das Coisas e componentes integrados a outros produtos conectados.
O processo de reporte não termina com o primeiro aviso de 24 horas. Os fabricantes devem fornecer uma notificação mais detalhada dentro de 72 horas após tomarem conhecimento do problema. Para uma vulnerabilidade ativamente explorada, é necessário um relatório final no máximo 14 dias após a disponibilidade de uma medida corretiva ou mitigadora.
Incidentes graves seguem um prazo final diferente. Os fabricantes têm um mês após o envio da notificação de 72 horas para fornecer o relatório final.
Para gerenciar o processo, a Agência da União Europeia para Cibersegurança (ENISA) lançou uma Plataforma Única de Relatórios. As empresas podem usar o sistema para enviar uma notificação única, em vez de reportar separadamente o mesmo evento a várias autoridades nacionais.
O fabricante seleciona a Equipe Nacional de Resposta a Incidentes de Segurança Informática apropriada, atuando como coordenadora ao enviar um relatório. A notificação é simultaneamente disponibilizada à ENISA, enquanto as informações relevantes podem ser distribuídas para outras equipes nacionais onde o produto afetado estiver disponível.
As obrigações também podem afetar empresas sediadas fora da União Europeia se disponibilizarem produtos digitais cobertos no mercado europeu.
O sistema de denúncia da CRA foi projetado para fornecer às autoridades informações mais cedo sobre vulnerabilidades que os atacantes já estão explorando e incidentes graves de segurança que podem colocar os usuários em risco. Também cria prazos significativamente mais curtos para fabricantes que anteriormente poderiam ter lidado com tais divulgações principalmente por meio de procedimentos internos.
As empresas podem enfrentar simultaneamente obrigações sob outras regras europeias, incluindo a NIS2 ou o Regulamento Geral de Proteção de Dados, dependendo das circunstâncias. Reportar um evento sob a CRA não substitui automaticamente esses requisitos separados.
O prazo de setembro representa uma etapa inicial na implementação da Lei de Resiliência Cibernética. A maioria dos requisitos mais amplos da legislação, incluindo obrigações que abrangem o design, manutenção e atualização de produtos digitais em cibersegurança, entrarão em vigor em 11 de dezembro de 2027.