6 de setembro de 2026 · Cyber Resilience Act · Regulatorik · Meldepflicht · Produktsicherheit

Notificação CRA a partir de 11 de setembro: o que ter pronto

A 11 de setembro entra em vigor o artigo 14.º do CRA, também para o parque instalado. Quem é afetado, o que inicia o prazo de 24 horas e o que tem de estar pronto.

Dentro de cinco dias entra em vigor a primeira obrigação do Cyber Resilience Act que vincula diretamente os fabricantes. O artigo 14.º do Regulamento (UE) 2024/2847 aplica-se a partir de 11 de setembro de 2026 – cerca de 15 meses antes de todos os requisitos de produto, que só chegam a 11 de dezembro de 2027. No final de julho descrevemos o essencial; este artigo pergunta o que tem realmente de estar pronto até à data-limite.

O grau de preparação é modesto. Num inquérito do fornecedor de segurança ONEKEY a 200 empresas industriais alemãs, 45 por cento conhecem pouco ou nada os requisitos; 62 por cento apontam justamente a obrigação de notificar como obstáculo, e 30 por cento classificam-na como problema sério. No plano internacional o quadro não é melhor: num estudo da Linux Foundation de junho de 2026 (843 participantes), 66 por cento declararam não estar familiarizados com o CRA ou estarem apenas superficialmente.

O parque instalado está expressamente incluído

A norma mais importante para as médias empresas está nas disposições transitórias. O artigo 69.º, n.º 2, protege os produtos colocados no mercado antes de 11 de dezembro de 2027 – mas o n.º 3 exclui expressamente dessa proteção o artigo 14.º: as obrigações de notificação aplicam-se «a todos os produtos com elementos digitais abrangidos pelo âmbito do presente regulamento e colocados no mercado antes de 11 de dezembro de 2027».

Para as obrigações de notificação não existe, portanto, proteção do parque existente nem período de tolerância – ao contrário dos restantes requisitos do CRA, que o artigo 69.º, n.º 2, dispensa para os produtos existentes enquanto não forem substancialmente modificados. Máquinas que estão no terreno há anos e versões de software entregues há muito passam a estar abrangidas a partir de 11 de setembro. O BSI formula-o da mesma maneira na sua Diretriz Técnica TR-03183-1: o artigo 14.º é a exceção à regra do parque existente.

Quem está visado – e quem passa a estar sem querer

O obrigado é o fabricante. O que decide, porém, é o artigo 21.º: um importador ou distribuidor é considerado fabricante e fica sujeito às obrigações do artigo 14.º se colocar um produto no mercado sob o seu próprio nome ou marca, ou se o modificar substancialmente.

Para o comércio e para as compras esta é a decisão de conceção mais cara do processo. Quem deixa a marca alheia é importador e deve obrigações comparativamente leves. Quem cola o próprio logótipo é fabricante em pleno – incluindo a notificação em 24 horas. Com a engenharia mecânica passa-se algo semelhante: o Regulamento das Máquinas não afasta o CRA, ambos se aplicam lado a lado. O SaaS puro sem produto entregue não cai sob o CRA; se em vez disso se aplica a NIS2 depende do setor e da dimensão da empresa.

O que realmente inicia o prazo de 24 horas

Aqui compensa a precisão, porque o regulamento distingue três níveis. Uma «vulnerabilidade» (art. 3.º, ponto 40) e uma «vulnerabilidade explorável» (ponto 41) não desencadeiam nada. Só a «vulnerabilidade ativamente explorada» (ponto 42) é notificável – definida como aquela «relativamente à qual existam provas fiáveis de que um agente malicioso a explorou num sistema sem autorização do proprietário do sistema».

Um CVE no próprio produto, um achado de pentest ou uma falha teoricamente explorável não põem o relógio a contar. Um exploit confirmado em circulação põe.

A segunda via de notificação é mais ampla do que o nome sugere. Nos termos do artigo 14.º, n.º 5, um incidente de segurança já é considerado grave quando afeta negativamente «ou é suscetível de afetar» a capacidade de proteção do produto. O critério é a segurança do produto entregue, não a operacionalidade da própria casa – um incidente que mal o incomoda pode ser notificável nos termos do CRA.

Os prazos

  • 24 horas a contar do conhecimento: alerta precoce. No caso da vulnerabilidade, inclui indicar os Estados-Membros em que o produto foi disponibilizado.
  • 72 horas a contar do conhecimento: a notificação propriamente dita, com dados do produto, natureza da exploração e medidas já tomadas.
  • Relatório final: na vulnerabilidade, no máximo 14 dias depois de estar disponível uma medida corretiva ou de mitigação – não a contar do conhecimento. No incidente, um mês após a notificação das 72 horas.

A notificação vai em simultâneo para o CSIRT designado como coordenador e para a ENISA, através da plataforma única de notificação do artigo 16.º. Para os fabricantes alemães é o CERT-Bund no BSI. A autoridade de fiscalização do mercado não é destinatária da notificação – são os CSIRT que a informam.

O n.º 8 é facilmente esquecido: tem também de informar os utilizadores afetados. O regulamento não fixa para isso um prazo numérico, apenas «sem demora indevida» – e se o fabricante ficar inativo, o CSIRT pode informar os utilizadores por sua iniciativa.

Quanto custa se ficar por fazer

As infrações ao artigo 14.º estão na categoria de coimas mais alta do artigo 64.º: até 15 milhões de euros ou 2,5 por cento do volume de negócios anual mundial, consoante o que for mais elevado. Para as microempresas e pequenas empresas, o artigo 64.º, n.º 10, alínea a), prevê uma exceção: não lhes são aplicadas coimas pelo incumprimento do prazo de 24 horas, e o considerando 120 exorta ainda os Estados-Membros a não lhes aplicarem por isso outras sanções financeiras. A exceção diz respeito apenas a esse prazo – a obrigação de notificar e todos os outros prazos mantêm-se inalterados.

Não conte com alívio noutro ponto: as obrigações de notificação do CRA, da NIS2 e do RGPD coexistem, o mesmo incidente pode desencadear as três e nenhuma substitui outra. A NIS2 prevê pelo menos um ponto de contacto único que os Estados-Membros devem usar também para notificações ao abrigo de outro direito da União – isso simplifica o caminho, não a obrigação.

O que tem de estar pronto a 11 de setembro

  • Um processo de notificação que aguente 24 horas. Quem deteta, quem avalia, quem decide, quem notifica – com nomes, com substituições, também a uma sexta-feira à noite e durante as férias da empresa.
  • Acesso à plataforma da ENISA. O registo faz-se com um EU Login com autenticação multifator. Note que a ENISA desaconselha expressamente o registo preventivo e esclarece ao mesmo tempo que a validação não é condição para cumprir a obrigação de notificar. Preveja mais do que uma pessoa autorizada.
  • Um inventário de produtos com referência de mercado. Sem saber em que Estados-Membros um produto foi disponibilizado, o alerta precoce não pode ser dado por completo.
  • Um canal para informar os utilizadores nos termos do n.º 8 – uma lista de distribuição ou uma página de avisos.
  • Uma definição interna de quando existe «conhecimento». O regulamento não define o termo, embora o prazo dependa dele.

Não conte com um período de tolerância. O dimensionamento, esse, merece atenção: o projeto de lei alemão calcula em média 2.000 notificações por ano, enquanto a ZVEI, na sua tomada de posição sobre o anteprojeto, contrapõe que o próprio BSI aponta mais de 42.000 vulnerabilidades por ano no seu relatório de situação de 2025. Até que ponto a via de notificação aguenta no primeiro ano ainda está por ver – isso nada muda na sua obrigação.

Como a sector7 apoia

Construímos consigo o processo de notificação para que aguente sob pressão de tempo: responsabilidades e substituições, contactabilidade, um inventário de produtos com referência de mercado e o canal para informar os utilizadores. A qualificação jurídica do seu papel nos termos do artigo 21.º cabe à sua assessoria jurídica – nós implementamos os requisitos técnicos e organizativos que dela decorrem. Mais sobre isso em Regulação e conformidade e Cibersegurança.

Fontes

Vamos falar sobre a sua situação.

Agendar uma conversa+49 212 240915 0