Um Relógio de 24 Horas Arranca Em Toda a UE a 11 de Setembro
O Regulamento de Ciber-Resiliência da UE atinge o seu primeiro prazo de comunicação efetivo a 11 de setembro de 2026. A partir dessa data, qualquer fabricante que venda um produto com elementos digitais no mercado da UE tem de comunicar vulnerabilidades ativamente exploradas e incidentes de segurança graves dentro de um prazo estrito, não numa base de melhor esforço. A página oficial da Comissão Europeia sobre comunicação esclarece que a obrigação abrange tanto hardware como software, e que se estende a produtos mais antigos ou mesmo já sem suporte que continuam disponíveis no mercado da UE, não apenas às linhas de produtos atuais.
A cobertura do Börse Express sobre o arranque confirma tanto a data como o âmbito, descrevendo 11 de setembro como o momento em que as primeiras obrigações concretas de notificação ao abrigo do Cyber Resilience Act passam a ser exigíveis em vez de teóricas. Um fabricante que até agora tratou o CRA como um projeto de conformidade futuro tem agora apenas uma janela contada em dias para terminar de construir um processo de comunicação real.
Três Prazos Seguem-se Ao Primeiro Alerta
A análise da Freshfields detalha a sequência exata que um fabricante tem de cumprir assim que atinge "um grau razoável de certeza" de que um produto tem uma vulnerabilidade ativamente explorada ou sofreu um incidente grave. Um alerta inicial é devido em 24 horas, uma notificação completa em 72 horas, e um relatório final em 14 dias para uma vulnerabilidade ou um mês para um incidente. Nenhum destes prazos é interrompido ao fim de semana ou num feriado, pelo que uma vulnerabilidade descoberta numa sexta-feira à noite continua a exigir um alerta inicial até sábado à noite.
| Etapa | Prazo a partir do "grau razoável de certeza" | O que é exigido |
|---|---|---|
| Alerta inicial | 24 horas | Aviso inicial de que um produto está afetado |
| Notificação completa | 72 horas | Detalhe técnico mais completo sobre a vulnerabilidade ou incidente |
| Relatório final, vulnerabilidade | 14 dias | Relatório completo assim que o problema é compreendido |
| Relatório final, incidente | 1 mês | Relatório completo assim que o problema é compreendido |
A janela inicial tão comprimida é o verdadeiro ponto sensível operacional deste desenho. Vinte e quatro horas deixam pouca margem para improvisar: sem alguém já designado para redigir e apresentar o alerta antes de um incidente acontecer, esse prazo é difícil de cumprir a posteriori.
As Comunicações Passam Pela ENISA e Pelos CSIRT Nacionais
O mecanismo de submissão está no centro da nova obrigação. A página de comunicação da Comissão Europeia descreve uma nova Single Reporting Platform à escala da UE, construída pela ENISA, como ponto de entrada: o fabricante submete a comunicação ali, esta chega ao CSIRT nacional do fabricante, e esse CSIRT reencaminha-a para a ENISA e para os CSIRT de qualquer outro Estado-Membro da UE cujo mercado o produto afetado também alcance.
Cada etapa dessa cadeia decorre dentro das instituições da UE, desde o CSIRT nacional que recebe primeiro a comunicação até ao papel coordenador da ENISA entre os Estados-Membros. Um fabricante que venda o mesmo produto em vários países da UE pode esperar que a sua comunicação circule por vários CSIRT nacionais em vez de por uma única autoridade central.
Um Sistema Paralelo Construído Dentro da UE
Essa escolha de conceção é a verdadeira história por trás da data de 11 de setembro. Há décadas que o sistema CVE e NVD gerido pelo governo dos EUA funciona como o registo global de facto do que está vulnerável e quando, o registo que as equipas de segurança em todo o mundo consultam primeiro, independentemente de onde um produto é fabricado ou vendido. A Single Reporting Platform não alimenta esse sistema norte-americano; é uma via separada, construída pela ENISA, que produz o seu próprio registo dentro da rede de CSIRT da UE.
Isso torna o regime de comunicação do Cyber Resilience Act numa peça de infraestrutura de soberania digital com um prazo de conformidade associado, que dá à UE a capacidade institucional de saber, com autoridade própria e dentro dos seus próprios sistemas, o que está vulnerável entre os produtos vendidos no seu mercado, independentemente de essa mesma informação chegar alguma vez a uma base de dados norte-americana.
Dois Relógios Correm Agora Sobre Cada Incidente
Todo o fornecedor de hardware ou software no mercado da UE ou do Reino Unido carrega agora duas obrigações separadas sobre a mesma descoberta. Uma é o ritmo de comunicação que o setor construiu em torno do ecossistema CVE e NVD centrado nos EUA ao longo das últimas duas décadas e meia. A outra é o relógio de alerta inicial de 24 horas da UE, mais rigoroso do que a prática habitual do setor e indiferente a fusos horários, fins de semana ou a que equipa está de plantão.
A análise da Freshfields assinala a tensão prática que isto cria: os prazos comprimidos exigem um processo de escalonamento construído e ensaiado com antecedência, e somam-se a obrigações de comunicação que muitas dessas mesmas empresas já suportam ao abrigo do NIS2 e do RGPD. Falhar a janela de 24 horas da UE é agora, por si só, uma infração de conformidade na UE, separada de e acrescida a qualquer rapidez com que uma empresa comunique o mesmo problema noutro lugar.
Servola Journal
Fazemos isto por todos os que tentam acompanhar o que a tecnologia está a fazer às nossas vidas. As pessoas que a constroem, e as pessoas a quem acontece. O Servola Journal existe para que o que aprendemos pertença a todos eles.
Ninguém nos paga por isto. Sem anúncios, sem barreira de pagamento, grátis para todos. Acreditamos simplesmente que compreender o que está a acontecer a todos nós não deveria depender de quem pode pagar por isso.
Se isto lhe deu algo hoje, diga-nos para continuarmos. Siga-nos, deixe um like, ou escreva um comentário positivo. Lemos cada um deles, e são eles que nos fazem continuar.
Leia a seguir: A IA Aberta da Europa Passa Agora por uma Só Empresa | O Novo Vigilante de IA de Berlim Ainda Não Morde
