24 Horas Para Notificar, Sem Ensaio Antes

Um Prazo Que Não Espera Pela Sua Própria Ferramenta

A partir de 11 de setembro de 2026, qualquer fabricante que venda na UE um produto com elementos digitais deve notificar uma vulnerabilidade explorada ativamente no prazo de 24 horas após tomar conhecimento dela, nos termos do artigo 14 do Cyber Resilience Act. As próprias orientações da Comissão Europeia, publicadas em março de 2026, fixam o limiar do conhecimento num grau razoável de certeza de que a exploração está a decorrer, e não numa investigação forense concluída. Uma investigação ainda aberta não constitui, nas próprias palavras da Comissão, em princípio, uma justificação válida para não cumprir o prazo de 24 horas.

O único canal de notificação, o Single Reporting Platform da ENISA, só fica plenamente operacional na mesma data em que a obrigação entra em vigor. A 29 de junho de 2026 a plataforma ainda não estava em funcionamento, segundo o observador de conformidade cyberresilienceact.eu, e as perguntas frequentes da própria ENISA sobre a ferramenta descrevem testes de utilizador e de segurança realizados antes do lançamento, com nova revisão e novos testes previstos conforme necessário depois. Um prazo legal sem qualquer margem encontra, no mesmo dia exato, uma ferramenta de notificação sem qualquer histórico de tráfego real de incidentes.

A Cobertura Vai Muito Além De Um Novo Lançamento

A obrigação vai muito além do equipamento recém-certificado na UE. A análise jurídica da Crowell and Moring confirma que o Cyber Resilience Act aplica-se a fabricantes dentro e fora da UE que comercializam produtos ligados em rede no mercado europeu, e que os fabricantes de fora da UE estão igualmente sujeitos ao regulamento, incluindo a notificação do artigo 14. Isto abrange também fabricantes britânicos que exportam para a UE: as regras britânicas de segurança de produtos seguem um percurso separado, mas não isentam deste prazo um router ou uma câmara fabricados no Reino Unido e vendidos a um cliente da UE. A obrigação também não depende da idade do produto, apenas de saber se ainda hoje é vendido a um comprador da UE.

A categoria abrangida é deliberadamente ampla: dispositivos domésticos inteligentes, sistemas de controlo industrial, sistemas operativos, routers, firewalls, gestores de palavras-passe, software VPN, dispositivos vestíveis com monitorização de saúde e gateways de contadores inteligentes contam todos como produtos com elementos digitais. Os produtos regulados por setor, como dispositivos médicos, equipamento de aviação e veículos a motor, ficam excluídos porque já respondem a regimes de notificação próprios, tal como o software de código aberto fornecido fora de contexto comercial, o SaaS autónomo e os produtos construídos exclusivamente para defesa nacional. Tudo o resto que se liga a uma rede e alcança um cliente da UE está abrangido, quer o fabricante tenha sede em Munique ou no Michigan.

O Relógio, Em Horas E Em Euros

Aplica-se o valor mais alto de cada par, e as autoridades dispõem de uma segunda alavanca além da coima: podem ordenar medidas corretivas, restringir ou proibir a venda de um produto não conforme, ou impor diretamente uma retirada do mercado da UE. Para um fabricante com receitas na UE na ordem dos milhares de milhões, é a cláusula percentual sobre o volume de negócios, e não o valor fixo em euros, que realmente dói.

O Que Reduz O Risco Antes De 11 De Setembro

As orientações de preparação da Crowell and Moring reduzem a lista antes do prazo a alguns passos concretos: identificar o CSIRT nacional que irá receber as notificações do fabricante, colocar em prática uma monitorização contínua através de fontes de informação sobre ameaças e bases de dados de vulnerabilidades, exigir por contrato que os fornecedores de componentes a montante notifiquem fragilidades conhecidas e ativamente exploradas, e integrar o calendário do CRA nos planos de resposta a incidentes já existentes para o NIS2 e o RGPD, para que as equipas de cibersegurança, jurídica, produto e comunicação já saibam quem tem autoridade para notificar. Manter uma lista de materiais de software atualizada está na mesma lista, porque um fabricante que não consiga mapear qual o produto que usa qual componente não consegue avaliar a exposição em 24 horas. Em Portugal, o CSIRT nacional de referência é o CNCS, o Centro Nacional de Cibersegurança.

Um pormenor está por baixo de todos estes conselhos e recompensa quem age cedo em vez de agir apenas no próprio dia. As próprias orientações da ENISA, publicadas a 14 de agosto de 2026, limitam as contas não verificadas na Single Reporting Platform a 10 notificações, e a verificação da conta não é instantânea. Um fabricante que deixa o registo para o seu primeiro incidente real está a transformar um portal web novo, não verificado e sem API no único canal para um prazo de 24 horas juridicamente vinculativo. Registar e verificar a conta agora, enquanto ainda não há nada a notificar, é o único passo que não custa nada e que elimina uma falha totalmente evitável.

Servola Journal

Fazemos isto por todos os que tentam acompanhar o que a tecnologia está a fazer às nossas vidas. As pessoas que a constroem, e as pessoas a quem acontece. O Servola Journal existe para que o que aprendemos pertença a todos eles.

Ninguém nos paga por isto. Sem anúncios, sem barreira de pagamento, grátis para todos. Acreditamos simplesmente que compreender o que está a acontecer a todos nós não deveria depender de quem pode pagar por isso.

Se isto lhe deu algo hoje, diga-nos para continuarmos. Siga-nos, deixe um like, ou escreva um comentário positivo. Lemos cada um deles, e são eles que nos fazem continuar.

Leia a seguir: O Próximo Zero-Day do Chrome Segue para Bruxelas  |  A UE vai avaliar sozinha a IA de ponta