A partir de 11 de setembro de 2026, entram em aplicação as primeiras obrigações de reporte previstas no Cyber Resilience Act (CRA).
Embora a maioria das disposições do CRA só seja aplicável a partir de dezembro de 2027, os fabricantes de produtos com elementos digitais passam já a ter prazos obrigatórios para comunicar vulnerabilidades ativamente exploradas e incidentes graves de segurança.
Quais são os prazos?
-24 horas: alerta inicial após conhecimento da situação
-72 horas: notificação completa
-14 dias: relatório final sobre vulnerabilidades exploradas, após existir uma medida corretiva
-1 mês: relatório final sobre incidentes graves
E para as organizações adquirentes?
Este novo enquadramento reforça a importância de avaliar não só a segurança dos produtos, mas também a capacidade dos fornecedores para gerir vulnerabilidades, responder a incidentes e manter medidas de segurança durante todo o ciclo de vida do produto.
A segurança da cadeia de fornecimento ganha, assim, ainda mais relevância, nomeadamente no contexto das obrigações associadas à NIS2.
A cibersegurança não depende apenas da capacidade técnica de resposta. Processos definidos, responsabilidades claras e comunicação atempada são cada vez mais essenciais para garantir conformidade e resiliência.
A sua organização está preparada para estes novos requisitos?