Lei da Resiliência Cibernética: obrigações de informar sobre vulnerabilidades e incidentes a partir de setembro de 2026
O Regulamento (UE) 2024/2847, conhecido como a Lei da Resiliência Cibernética (CRA), que entrou em vigor a 10 de dezembro de 2024, estabelece requisitos horizontais de cibersegurança aplicáveis aos produtos com elementos digitais que são colocados no mercado interno. Embora não se aplique plenamente até 11 de dezembro de 2027, as obrigações de notificação estabelecidas no artigo 14 são exigíveis a partir de 11 de setembro de 2026, independentemente da data em que o produto tenha sido colocado no mercado.
Este artigo exige que os fabricantes notifiquem simultaneamente qualquer vulnerabilidade explorada ativamente e qualquer incidente grave ao CSIRT designado, que atua como coordenador, e à ENISA, através da Plataforma Única de Notificação (SRP), que estará disponível a partir da mesma data. O sistema baseia-se em um processo de três fases: alerta prévio (24 horas), notificação detalhada (72 horas) e um relatório final, cujo prazo varia conforme a incidência afete uma vulnerabilidade explorada ativamente (14 dias a partir da disponibilidade de uma medida corretiva) ou um incidente grave (um mês a partir da notificação de 72 horas).
A 27 de julho de 2026, a Comissão Europeia publicou as suas primeiras diretrizes interpretativas não vinculativas sobre a implementação da CRA, que esclarecem, entre outras questões, o conceito de «ter conhecimento», a natureza não retroativa da obrigação, o tratamento das vulnerabilidades em componentes de terceiros, e os deveres de informar os usuários e de adiar a divulgação em certas circunstâncias.
No que diz respeito ao âmbito subjetivo, embora o artigo 14 imponha principalmente obrigações de notificação aos fabricantes, a CRA prevê outros cenários: os importadores e distribuidores que comercializam um produto sob a sua própria marca ou que efetuam uma modificação substancial serão considerados fabricantes, enquanto os responsáveis de software de código aberto estão sujeitos a um regime específico estabelecido no artigo 24, limitado à notificação de vulnerabilidades exploradas ativamente.
A violação dessas obrigações pode resultar em um sistema de sanções graduadas, com multas de até 15 milhões de euros ou 2,5 por cento da faturação mundial nos casos mais graves, além da possível retirada do produto por parte das autoridades de vigilância do mercado. As organizações que fabriquem, importem ou distribuam produtos que contenham componentes digitais devem planear com antecedência e adaptar os seus procedimentos internos para identificar os produtos afetados, definir as responsabilidades e estabelecer mecanismos de escalonamento que lhes permitam cumprir os prazos de notificação exigidos pelo Regulamento.