O relógio começa a contar: Novas regras do CRA exigem reporte em 24 horas

A partir de 11 de setembro de 2026, entram em aplicação as primeiras obrigações de reporte previstas no Cyber Resilience Act (CRA).

Embora a maioria das disposições do CRA só seja aplicável a partir de 11 de dezembro de 2027, os fabricantes de produtos com elementos digitais passam já a ter prazos obrigatórios para comunicar vulnerabilidades ativamente exploradas e incidentes graves de segurança. Estas obrigações aplicam-se também a produtos já colocados no mercado antes dessa data.

A quem e como se notifica?

Nos termos do artigo 14.º do Regulamento (UE) 2024/2847, as notificações são enviadas à CSIRT designada como coordenadora e à ENISA, através da plataforma única de notificação prevista no regulamento.

Quais são os prazos?

24 horas: alerta inicial, a partir do momento em que o fabricante toma conhecimento da situação.

72 horas: notificação da vulnerabilidade ou do incidente, com informação geral e avaliação inicial. Não tem de ser definitiva: pode ser atualizada à medida que surjam novos elementos, e a CSIRT coordenadora pode solicitar um relatório intercalar.

14 dias: relatório final sobre vulnerabilidades ativamente exploradas, contados a partir da disponibilização de uma medida corretiva ou de mitigação.

1 mês: relatório final sobre incidentes graves, contado a partir da apresentação da notificação de incidente prevista para as 72 horas.

E para as organizações adquirentes?

Este novo enquadramento reforça a importância de avaliar não só a segurança dos produtos, mas também a capacidade dos fornecedores para gerir vulnerabilidades, responder a incidentes e manter medidas de segurança durante todo o ciclo de vida do produto.

A segurança da cadeia de fornecimento ganha, assim, ainda mais relevância, nomeadamente no contexto das obrigações associadas à NIS2.

A cibersegurança não depende apenas da capacidade técnica de resposta. Processos definidos, responsabilidades claras e comunicação atempada são cada vez mais essenciais para garantir conformidade e resiliência.

A sua organização está preparada para estes novos requisitos?