Notificações do CRA desde setembro de 2026: critérios, prazos e a Single Reporting Platform

O que é

Situação em 25 de outubro de 2026. O artigo 14 do Regulamento (UE) 2024/2847, o Cyber Resilience Act (CRA), aplica-se aos fabricantes desde 11 de setembro de 2026. Consulte novamente o regulamento, as orientações de notificação da Comissão e as instruções da plataforma da ENISA antes de usar um procedimento de notificação. Este resumo explica as regras publicadas; não constitui aconselhamento jurídico.

Duas situações exigem notificação: uma vulnerabilidade explorada ativamente em um produto com elementos digitais e um incidente grave que afete a segurança desse produto. O artigo 3(42) exige evidências confiáveis de exploração maliciosa sem a permissão do proprietário do sistema. O artigo 14(5) abrange danos reais ou potenciais à proteção de dados ou funções sensíveis ou importantes, ou a introdução ou execução de código malicioso no produto ou nos sistemas de um usuário. Esses critérios são distintos. Regulamento, artigos 3 e 14.

Por que importa

A ENISA anunciou o lançamento da Single Reporting Platform (SRP) em 11 de setembro de 2026. Ela encaminha as notificações à equipe de resposta a incidentes de segurança computacional (CSIRT) coordenadora designada e à ENISA. A CSIRT receptora distribui as informações às equipes nacionais pertinentes, sujeita às exceções do regulamento que permitem adiar a disseminação. Aviso de lançamento da ENISA.

Os prazos iniciais contam a partir da tomada de conhecimento, não da aprovação pela direção nem da conclusão de uma investigação. O artigo 69(3) também sujeita à notificação do artigo 14 os produtos abrangidos que tenham sido colocados no mercado antes de 11 de dezembro de 2027. A aplicação posterior da maioria dos requisitos do CRA não adia essa obrigação. Regulamento, artigos 14, 69 e 71.

Como aplicar

• Registre a tomada de conhecimento e classifique o evento. Preserve as evidências que sustentam a exploração ativa ou os critérios de gravidade do incidente. A descoberta de uma vulnerabilidade, por si só, não comprova exploração maliciosa.
• Envie o alerta inicial prontamente, no máximo em 24 horas. Identifique os Estados-Membros onde se sabe que o produto está disponível, quando aplicável. Para um incidente, informe também se há suspeita de atividade ilícita ou maliciosa.
• Envie a notificação seguinte prontamente, no máximo em 72 horas após a tomada de conhecimento. A menos que já tenham sido fornecidas, inclua as informações disponíveis sobre o produto ou incidente, a avaliação pertinente, as medidas de mitigação já tomadas e as medidas que os usuários podem adotar. Indique a sensibilidade das informações quando aplicável.
• Use o marco inicial correto para o relatório final. Para uma vulnerabilidade, o prazo é de 14 dias após uma medida corretiva ou de mitigação se tornar disponível. Inclua gravidade, impacto, informações disponíveis sobre atores maliciosos e detalhes da solução. Para um incidente grave, o prazo é de um mês após o envio da notificação de incidente da etapa de 72 horas; inclua gravidade, impacto, ameaça ou causa provável e mitigação aplicada ou em andamento. Essas são as regras separadas do artigo 14(2) e (4), também resumidas pela Comissão.
• Selecione a CSIRT coordenadora conforme o artigo 14(7). Normalmente, a escolha segue o estabelecimento principal do fabricante na UE. Fabricantes sem esse estabelecimento usam os critérios ordenados nesse parágrafo. Guarde os comprovantes de envio e as solicitações de acompanhamento.
• Informe os usuários afetados. O artigo 14(8) exige, separadamente, informações sobre a vulnerabilidade ou incidente e, quando necessário, medidas de proteção ou correção; a notificação à autoridade não substitui essa comunicação.

Armadilhas

Não conte as 72 horas a partir do envio do alerta inicial nem os 14 dias a partir da descoberta da vulnerabilidade. As perguntas frequentes da ENISA, atualizadas em 15 de outubro de 2026, alertam que os contadores atuais da plataforma podem divergir da contagem legal do prazo. Mantenha um registro independente de prazos; lembretes não substituem a responsabilidade do fabricante. Perguntas frequentes da ENISA sobre a SRP, pergunta 26.