O que aconteceu?
Desde 11 de setembro de 2026, vigoram na União Europeia as obrigações de notificação do Cyber Resilience Act (CRA). Os fabricantes de produtos com elementos digitais estão, assim, obrigados a notificar imediatamente vulnerabilidades ativamente exploradas, bem como incidentes de segurança graves com impacto na segurança do produto. Esta nova regulamentação é considerada um marco central para o fortalecimento da segurança de produtos no mercado interno da UE. O Departamento Federal de Segurança da Informação (BSI, na sigla em alemão) apoia as empresas afetadas com guias passo a passo para a implementação prática.
Os detalhes
A transmissão das notificações é feita de forma padronizada em toda a UE por meio da Single Reporting Platform, ou CRA-SRP, desenvolvida pela Agência da União Europeia para a Cibersegurança (ENISA). Os destinatários das informações são a respectiva Equipa de Resposta a Incidentes de Segurança Informática (CSIRT) coordenadora competente do Estado-Membro afetado, bem como a própria ENISA. Para empresas federais na Alemanha, o CERT-Bund, no âmbito do BSI, assume a função de CSIRT coordenador.
Para fabricantes com sede principal na UE, a competência é determinada pelo Estado-Membro em que são tomadas as decisões essenciais relativas à cibersegurança dos produtos. Para empresas sem sede principal na UE, aplicam-se os critérios do artigo 14.º, n.º 7, do CRA. São determinantes, entre outros fatores, a sede de um representante autorizado, importador ou distribuidor, bem como a disponibilidade do produto nos respetivos mercados.
Os fabricantes obtêm conhecimento sobre vulnerabilidades exploradas, por exemplo, através de prestadores de serviços de segurança de TI ou de feedback de clientes. Incidentes de segurança graves também podem ser identificados por meio de indicações externas, bem como pela análise interna de dados de registo (logs) de aplicações e sistemas. A CRA-SRP funciona como interface central e confidencial: uma única notificação é suficiente para informar simultaneamente, através do CSIRT competente, as equipas correspondentes de todos os Estados-Membros da UE em que o respetivo produto é comercializado. Não é necessário registo prévio na plataforma, e a submissão da notificação pode ser feita em poucos minutos. A infraestrutura é operada em conformidade com os padrões de segurança atuais na Europa.
Enquadramento
Para o setor de segurança, esta evolução tem relevância imediata, uma vez que a tecnologia de segurança moderna incorpora cada vez mais componentes digitais – desde sistemas de alarme conectados, passando por sistemas de videovigilância baseados em IP, até sistemas digitais de controlo de acessos. Também fabricantes de produtos como cofres de depósito com monitorização eletrónica, cepos de esmolas digitalmente conectados em igrejas ou sistemas modernos Wardhub para controlo de acessos enquadram-se na nova definição de "produtos com elementos digitais" e devem observar as obrigações de notificação do CRA, desde que os seus produtos contenham elementos digitais.
A introdução de uma via de notificação unificada e centralizada através da CRA-SRP aumenta significativamente a transparência relativamente aos riscos de segurança digital em todo o mercado interno da UE. Em vez de procedimentos nacionais de notificação isolados e não uniformes, surge um sistema coordenado que informa simultaneamente as autoridades em toda a UE, melhorando assim a capacidade de resposta a incidentes relevantes para a segurança.
Dicas práticas
- Os fabricantes de tecnologia de segurança digital devem verificar antecipadamente se os seus produtos se enquadram nas obrigações de notificação do CRA e qual a competência aplicável ao seu caso.
- As empresas sem sede principal na UE devem analisar cuidadosamente os critérios do artigo 14.º, n.º 7, do CRA, para identificar corretamente o organismo de notificação competente.
- Devem ser estabelecidos ou revistos processos internos de análise de dados de registo (logs) de aplicações e sistemas, bem como de gestão de feedback de clientes e indicações de prestadores de serviços de segurança de TI, para detetar vulnerabilidades atempadamente.
- Como não é necessário registo prévio na CRA-SRP, recomenda-se familiarizar-se antecipadamente com o processo de notificação, para poder agir rapidamente em caso de necessidade.
- Os guias passo a passo disponibilizados pelo BSI, bem como as informações da ENISA, oferecem uma base prática para a implementação dos novos requisitos.
Perspetivas
Com o início das obrigações de notificação do CRA, é implementado um elemento importante da estratégia europeia de cibersegurança. Detalhes adicionais sobre a utilização da plataforma e os procedimentos formais são disponibilizados pelo BSI e pela ENISA nos respetivos sítios web. Para os fabricantes de tecnologia de segurança com componentes digitais, a implementação consistente destas obrigações de notificação deverá tornar-se, no futuro, uma parte fixa do ciclo de vida do produto – de forma comparável aos requisitos já existentes em matéria de certificação e conformidade no setor.
