Notificação de ciberataques na Suíça e CRA: obrigações distintas para operadores e fabricantes de produtos

O que é

Situação em 25 de outubro de 2026. A Lei de Segurança da Informação da Suíça (ISA) e a Portaria de Cibersegurança estabelecem uma obrigação de notificação de ciberataques para os operadores de infraestrutura crítica abrangidos, em vigor desde 1 de abril de 2025. Consulte novamente o escopo e as exceções atuais da Suíça, as instruções de notificação da autoridade e as orientações do CRA antes de manter um plano de notificação transfronteiriço. Página da autoridade suíça sobre a base legal.

O destinatário suíço é o Departamento Federal de Cibersegurança, BACS; suas orientações em inglês usam National Cyber Security Centre (NCSC). Já o CRA trata dos produtos abrangidos disponibilizados no mercado da UE. Suas obrigações de notificação para fabricantes são aplicáveis desde 11 de setembro de 2026. Estar localizado na Suíça não exclui um fabricante dessas regras de mercado de produtos: o artigo 14(7) prevê expressamente um procedimento de seleção do destinatário para fabricantes sem estabelecimento principal na UE. Regulamento, artigos 2 e 14.

Por que importa

A comparação a seguir separa os papéis descritos pelos dois regimes:

Pergunta	Notificação segundo a ISA suíça	Notificação de fabricantes segundo o CRA
Quem está abrangido?	Operadores abrangidos pelo escopo legal, consideradas as exceções da portaria	Fabricantes de produtos abrangidos fornecidos ao mercado da UE
O que exige avaliação?	Um ciberataque que atenda aos critérios contra a infraestrutura abrangida	Exploração ativa de uma vulnerabilidade do produto ou um incidente grave de segurança do produto
Primeiro prazo	Em até 24 horas após a descoberta	Prontamente, no máximo em 24 horas após a tomada de conhecimento
Destinatário e canal	NCSC por seus canais de notificação publicados	CSIRT coordenadora e ENISA pela SRP

Essas distinções seguem as perguntas frequentes suíças e as orientações de notificação da Comissão. Portanto, os papéis de operador e fabricante de uma empresa exigem avaliações separadas, mesmo quando um único evento fornece evidências relevantes para ambos.

Como aplicar

• Verifique o escopo suíço antes de se basear na classificação por setor. A ISA identifica as autoridades e organizações abrangidas; a portaria prevê exceções. As perguntas frequentes suíças afirmam que o NCSC pode emitir uma decisão formal para uma organização sobre se ela está sujeita à obrigação. Não transforme um exemplo geral de setor em uma classificação definitiva.
• Aplique os critérios suíços para ataques. A autoridade lista ameaças à capacidade operacional da infraestrutura crítica, manipulação ou vazamento de informações, ataques que permaneçam sem detecção por um período prolongado e chantagem, ameaças ou coerção. Uma falha de software descoberta, por si só, não equivale a um ciberataque que atenda aos critérios.
• Registre e complete a notificação suíça. A autoridade exige uma notificação inicial em até 24 horas, mesmo quando as informações estão incompletas. Seu procedimento concede 14 dias após o envio inicial para completar a notificação; as perguntas frequentes especificam dias corridos. O Cyber Security Hub fornece o formulário de notificação, com uma alternativa por modelo de e-mail descrita pela autoridade. Procedimento suíço de notificação.
• Avalie de forma independente a obrigação relativa ao produto na UE. Um fabricante suíço que forneça um produto abrangido deve aplicar os critérios do artigo 14. Quando ele não tem um estabelecimento principal na UE, a ordem legal considera o representante autorizado, o importador, o distribuidor e, por fim, os usuários, usando as maiores quantidades relevantes de produtos ou usuários dentro de cada critério aplicável. Preserve a fundamentação da escolha da CSIRT coordenadora.
• Mantenha contagens de prazo e comprovantes separados. Como modelo prático de registro, vincule ambas as avaliações de notificação às mesmas evidências, mas guarde cada destinatário, envio, prazo e acompanhamento. A notificação do CRA também tem uma etapa de 72 horas e marcos iniciais diferentes para os relatórios finais de vulnerabilidades e incidentes; o prazo suíço de complementação não os substitui.

Armadilhas

Não se deve presumir que um comprovante de notificação suíça cumpra a obrigação de notificação do CRA. As regras citadas estabelecem critérios e destinatários diferentes. Da mesma forma, não trate toda empresa suíça como infraestrutura crítica nem todo incidente interno de TI como um incidente grave de produto. As páginas de orientação suíças citadas aqui não exibem data de revisão; confira sua redação atual e qualquer decisão específica sobre a organização antes de reutilizá-las.