CRA exigirá aviso de falha explorada em até 24 horas
Publicado 07 de set. de 2026 · Leitura 2 min de leitura · Relevância 9.5
A partir de 11 de setembro, fabricantes e gestores de open source no escopo europeu terão de notificar falhas exploradas e incidentes graves por uma plataforma da ENISA.
O prazo de 24 horas muda a resposta a incidentes de requisito interno para obrigação regulatória com coordenação europeia. Fabricantes e projetos open source no escopo precisam preparar responsáveis e evidências antes da entrada em vigor.
O que entra em vigor
As obrigações de notificação do Cyber Resilience Act passam a valer em 11 de setembro de 2026. Fabricantes de produtos com elementos digitais e, no escopo previsto pela lei, gestores de software open source deverão informar vulnerabilidades ativamente exploradas e incidentes graves de segurança.
O fluxo começa com um aviso em até 24 horas após a organização tomar conhecimento do evento. A notificação completa deve chegar em até 72 horas. Para uma vulnerabilidade explorada, o relatório final vence no máximo 14 dias após a disponibilização da correção. Para incidente grave, o prazo final é de um mês após a notificação de 72 horas.
Quem e quais produtos entram
A obrigação alcança produtos dentro do escopo do CRA mesmo que tenham sido colocados no mercado antes de 11 de dezembro de 2027. Não há dever retroativo quando o fabricante já sabia da exploração antes de 11 de setembro de 2026. Se tomar conhecimento depois dessa data, a obrigação se aplica mesmo a uma falha antiga ou já conhecida.
A notificação é única por evento e vale também para grupos com várias subsidiárias. O representante escolhe o CSIRT coordenador, e a plataforma distribui os dados à ENISA e às autoridades nacionais aplicáveis.
Preparação operacional
O Single Reporting Platform da ENISA exige conta EU Login com autenticação multifator. Cada fabricante terá um representante primário e poderá designar até 20 representantes secundários. A validação do vínculo com a empresa ocorre em paralelo e não impede os primeiros envios.
A primeira versão do portal não terá API. Isso impede automatizar o envio diretamente e exige que equipes de segurança, produto, jurídico e gestão de vulnerabilidades definam plantão, responsáveis, campos de evidência e um procedimento manual capaz de cumprir a janela de 24 horas.
Data do sinal
A signalDate é 4 de setembro, atualização verificável em que a ENISA consolidou os detalhes operacionais do portal. A obrigação começa em 11 de setembro e não foi tratada como fato já ocorrido.
Verificar a URL definitiva do portal em 11 de setembro, a publicação dos tutoriais operacionais, futuras APIs, orientações nacionais dos CSIRTs e os primeiros casos de aplicação do prazo de 24 horas.