Cyber Resilience Act: a notificação já se aplica, o resto em 2027
Desde 11 de setembro de 2026, os fabricantes notificam à ENISA vulnerabilidades exploradas e incidentes graves. O CRA aplica-se todo em dezembro de 2027.
O Cyber Resilience Act (Regulamento (UE) 2024/2847) fixa requisitos de segurança para hardware e software vendidos na UE. A sua primeira obrigação com verdadeiro peso já se aplica, e os requisitos principais chegam dentro de pouco mais de um ano.
O que se aplica desde 11 de setembro de 2026
Os fabricantes de produtos com elementos digitais têm de notificar dois tipos de eventos através da plataforma única de notificação da ENISA, lançada em 11 de setembro de 2026:
- Vulnerabilidades ativamente exploradas nos seus produtos: um alerta rápido no prazo de 24 horas após terem conhecimento, uma notificação no prazo de 72 horas e um relatório final no prazo de 14 dias após estar disponível uma medida corretiva ou de mitigação.
- Incidentes graves que afetem a segurança dos seus produtos: um alerta rápido em 24 horas, uma notificação em 72 horas e um relatório final no prazo de um mês após a notificação.
A notificação chega ao CSIRT do Estado-Membro do fabricante, que atua como coordenador, e ao mesmo tempo à ENISA. O fabricante tem também de informar os utilizadores do produto, se necessário com as medidas que podem tomar.
Estas obrigações abrangem também os produtos já colocados no mercado, e não só os novos (artigo 69.º, n.º 3). As micro e pequenas empresas fabricantes estão igualmente abrangidas, mas não podem ser sancionadas apenas por falharem o alerta rápido de 24 horas.
O que vem a seguir
- 11 de dezembro de 2027: o CRA aplica-se na íntegra: segurança desde a conceção, gestão de vulnerabilidades durante o período de suporte, documentação técnica, avaliação da conformidade e marcação CE. Nessa data começam também as obrigações de notificação dos administradores de software de código aberto (open-source stewards).
- Desde 11 de junho de 2026 aplicam-se as regras sobre a notificação de organismos de avaliação da conformidade, para que os organismos notificados estejam prontos antes de 2027.
O que fazer agora
- Defina quem na sua organização pode notificar em 24 horas, também ao fim de semana, e teste o acesso à plataforma.
- Mantenha um registo único por evento com o momento em que teve conhecimento, porque todos os prazos contam a partir daí.
- Prepare um texto-modelo curto para informar os utilizadores.
- Aproveite o tempo até dezembro de 2027 para os requisitos de conceção e documentação: um inventário dos produtos abrangidos, uma lista de componentes de software (SBOM) e um processo de gestão de vulnerabilidades.
O artigo 14 em detalhe no nosso guia: notificação no Cyber Resilience Act.
Fontes
- Regulation (EU) 2024/2847 (Cyber Resilience Act), Articles 14, 64, 69 and 71
- ENISA: The CRA Single Reporting Platform is launched (11 September 2026)
- European Commission: Cyber Resilience Act reporting obligations
Apenas para informação, não constitui aconselhamento jurídico. Última atualização: 19 de outubro de 2026.
Também disponível em: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål