CRA: novas regras de reporte chegam esta semana

A União Europeia (UE) vai aplicar, a partir de 11 de setembro de 2026, novas obrigações de reporte previstas no Cyber Resilience Act (CRA). Os fabricantes de produtos com elementos digitais passam a ter de notificar vulnerabilidades ativamente exploradas e incidentes graves que afetem a segurança dos seus produtos.

As novas regras introduzem prazos específicos para a comunicação. Depois de tomar conhecimento de uma vulnerabilidade ativamente explorada ou de um incidente grave, o fabricante terá 24 horas para apresentar um alerta inicial e 72 horas para submeter uma notificação completa.

No caso das vulnerabilidades ativamente exploradas, terá ainda de ser entregue um relatório final até 14 dias depois de estar disponível uma medida corretiva. Para incidentes graves, o prazo para o relatório final é de um mês após a apresentação da notificação completa.

Os fabricantes terão de efetuar o reporte através da Single Reporting Platform (SRP), evitando a submissão da mesma notificação através de diferentes canais. A plataforma está a ser desenvolvida pela Agência da União Europeia para a Cibersegurança (ENISA) e deverá estar operacional a 11 de setembro, coincidindo com a aplicação destas obrigações.

Segundo a Comissão Europeia, a notificação é dirigida à Computer Security Incident Response Team (CSIRT) do Estado-membro onde o fabricante tem o seu estabelecimento principal. Salvo circunstâncias excecionais, a informação fica simultaneamente disponível para a ENISA.

A CSIRT que recebe inicialmente a notificação deverá partilhá-la, sem demora, com as restantes CSIRT dos territórios onde o produto com elementos digitais tenha sido disponibilizado.

Existem, no entanto, exceções a esta circulação da informação. Com base em motivos justificados relacionados com cibersegurança, a CSIRT que recebe a notificação pode atrasar a sua disseminação às restantes equipas. As condições para aplicar esta exceção foram especificadas num ato delegado adotado pela Comissão Europeia em dezembro de 2025.

CRA avança antes da aplicação geral

A obrigação de reporte constitui uma das etapas antecipadas da implementação do CRA. Embora a maioria das disposições do regulamento seja aplicável a partir de 11 de dezembro de 2027, os requisitos relativos ao reporte de vulnerabilidades ativamente exploradas e incidentes graves entram em aplicação já este mês.

Para fabricantes, a mudança implica a existência de processos que permitam identificar os eventos abrangidos pelo regulamento, avaliar a sua gravidade e cumprir os prazos de 24 e 72 horas.

A ENISA disponibiliza orientações sobre a SRP e os procedimentos de reporte, enquanto a Comissão Europeia publicou documentação adicional sobre a implementação do CRA. Com a entrada em aplicação das novas obrigações a quatro dias de distância, os processos de resposta a incidentes e gestão de vulnerabilidades passam a ter também de considerar estes requisitos de comunicação.