Cyber Resilience Act: notificação a partir de setembro de 2026

O Cyber Resilience Act – Regulamento (UE) 2024/2847 – está em vigor desde 10 de dezembro de 2024, mas as suas obrigações passam a aplicar-se de forma escalonada. A próxima data-limite, e a mais importante na prática, está iminente: a partir de 11 de setembro de 2026 aplicam-se as obrigações de notificação nos termos do artigo 14.º. Os fabricantes têm então de notificar inicialmente vulnerabilidades ativamente exploradas e incidentes de segurança graves no prazo de 24 horas – um processo que não se improvisa numa emergência, mas que se constrói antes.

O tema é, assim, menos dramático do que muitas vezes se apresenta, mas logisticamente exigente – e afeta bem mais empresas do que atualmente se sentem interpeladas: quem coloca no mercado da UE, sob o próprio nome, hardware ou software com ligação de dados direta ou indireta é, na aceção do regulamento, «fabricante» – incluindo o fabricante de máquinas com software de controlo próprio e a software house de média dimensão.

Quem o CRA interpela como fabricante

O âmbito de aplicação abrange «produtos com elementos digitais»: hardware e software, incluindo o tratamento remoto de dados associado, que são colocados no mercado da UE. O conceito é deliberadamente amplo. Muitas médias empresas – fabricantes de máquinas e equipamentos, fabricantes de componentes ligados em rede, software houses com produto próprio – ainda não se veem como destinatárias, embora o sejam.

Quem cai no âmbito de aplicação assume, como fabricante, um pacote de obrigações:

avaliação do risco de cibersegurança do produto,
cumprimento dos requisitos essenciais nos termos do Anexo I,
documentação técnica,
um período de suporte definido com atualizações de segurança,
marcação CE e declaração UE de conformidade.

Para o tratamento de vulnerabilidades aplica-se, neste contexto, um período de suporte de, no mínimo, cinco anos – mais curto apenas quando a própria vida útil esperada for mais curta.

Três datas-limite – e porque é que a do meio é a mais importante

O artigo 71.º escalona a aplicação do regulamento em três etapas:

11 de junho de 2026: passam a aplicar-se as regras relativas aos organismos notificados (organismos de avaliação da conformidade) – esta data-limite já foi atingida.
11 de setembro de 2026: as obrigações de notificação nos termos do artigo 14.º tornam-se vinculativas.
11 de dezembro de 2027: o regulamento aplica-se integralmente, incluindo todos os requisitos de produto.

Para os produtos já existentes há uma orientação importante: os produtos colocados no mercado antes de 11 de dezembro de 2027 só estão sujeitos aos requisitos completos se, depois disso, forem substancialmente modificados. As obrigações de notificação nos termos do artigo 14.º, em contrapartida, aplicam-se, segundo o artigo 69.º, independentemente de quando o produto foi colocado no mercado. Dito de outra forma: também para o portefólio de produtos que já hoje está no terreno, o processo de notificação tem de estar montado a 11 de setembro de 2026. É precisamente por isso que esta data é o verdadeiro motor de ação – e não o ano de 2027.

O que concretamente tem de ser notificado a partir de 11 de setembro de 2026

Sujeitos a notificação estão dois grupos de casos: vulnerabilidades ativamente exploradas num produto e incidentes graves com impacto na segurança desse produto. Para ambos aplica-se uma cascata de prazos:

Alerta precoce no prazo de 24 horas após o conhecimento,
notificação no prazo de 72 horas com uma primeira avaliação,
relatório final – no caso de vulnerabilidades, no máximo 14 dias depois de estar disponível uma medida corretiva; no caso de incidentes, no máximo um mês após a notificação das 72 horas.

Os destinatários das notificações são o CSIRT designado como coordenador e a ENISA, tecnicamente através de uma plataforma central de notificação (Single Reporting Platform). Aqui reside uma particularidade da situação atual: em meados de julho de 2026, essa plataforma ainda não estava em funcionamento – deverá estar pronta a utilizar a 11 de setembro de 2026. Esperar pelos pormenores da plataforma é, ainda assim, a estratégia errada. O prazo de 24 horas falha, na prática, não por causa do formulário de notificação, mas pelo facto de a informação não chegar a tempo, internamente, à instância correta.

As restantes obrigações: olhar para dezembro de 2027

Quem organizou a obrigação de notificação não deve perder de vista o segundo bloco. Até 11 de dezembro de 2027, os produtos recém-colocados no mercado têm de cumprir os requisitos completos. Dois pontos merecem, neste contexto, atenção especial:

Avaliação da conformidade: os produtos classificados como «importantes» (Anexo III) ou «críticos» (Anexo IV) estão sujeitos a procedimentos de avaliação mais rigorosos – uma mera autoavaliação basta, para produtos «importantes» da classe I, apenas quando as normas harmonizadas pertinentes forem plenamente aplicadas; para as classes superiores, está excluída.
Situação normativa: ainda não foram publicadas no Jornal Oficial da UE normas harmonizadas para o CRA; após o adiamento de prazo proposto pela Comissão em julho de 2026, espera-se que as primeiras normas concluídas surjam entre outubro e dezembro de 2026 – a listagem no Jornal Oficial vem depois. Os fabricantes que iniciem agora a implementação trabalham, portanto, por enquanto diretamente com base nos requisitos do Anexo I.

A ameaça de sanção deve ser levada a sério: as infrações podem ser punidas com coimas até 15 milhões de euros ou 2,5 por cento do volume de negócios anual a nível mundial – consoante o valor que for mais elevado. Há um alívio para as microempresas e pequenas empresas: não lhes são aplicadas coimas se apenas falharem o prazo de 24 horas para o alerta precoce. Isto não é, expressamente, um salvo-conduto para o processo no seu conjunto.

Readiness-check: cinco passos até 11 de setembro

A boa notícia: para a obrigação de notificação não é preciso um grande projeto, mas sim um processo limpo. Cinco passos, por esta ordem:

1. Elaborar o inventário de produtos

Que produtos com elementos digitais coloca a sua empresa no mercado da UE – incluindo firmware, apps e o tratamento remoto de dados associado? Sem esta lista, qualquer planeamento subsequente permanece fragmentário.

2. Organizar a receção de vulnerabilidades

Como é que a sua empresa chega sequer a ter conhecimento de uma vulnerabilidade no seu produto? É preciso um canal de receção definido – tanto para comunicações externas de investigadores de segurança e clientes como para descobertas próprias do desenvolvimento e da operação.

3. Definir o caminho interno de escalamento de 24 horas

Do primeiro indício até à decisão «sujeito a notificação ou não» não podem passar 24 horas. Isso exige responsabilidades claras, regras de substituição e disponibilidade também fora do horário de expediente.

4. Nomear a responsabilidade pela notificação

Quem envia a notificação, quem a aprova, quem trata da atualização das 72 horas e do relatório final? Um papel nomeado com substituição basta – mas tem de estar nomeado antes da data-limite.

5. Aprovar a política de período de suporte

Defina, por produto, o período de suporte e documente a justificação. Isso é, ao mesmo tempo, a base para a comunicação com os clientes e para o posterior trabalho de conformidade rumo a 2027.

Classificação: logística em vez de pânico

O CRA não exige, a partir de setembro, nada que uma empresa que trabalhe de forma ordenada não conseguisse cumprir. Exige, porém, compromisso: processos definidos, responsáveis nomeados, prazos cumpridos. Quem abordar o tema agora com um projeto de preparação de dimensão gerível estará apto a agir na data-limite – e terá, ao mesmo tempo, lançado as bases para os requisitos completos de produto a partir de dezembro de 2027.

Como a sector7 apoia

Como casa gerida pelo proprietário, combinamos a consultoria de compliance (ISO 27001, NIS-2, DORA, TISAX) com a operação técnica que lhe está subjacente – e aplicamos a mesma sistemática à preparação para o CRA. A receção de vulnerabilidades e o caminho de escalamento de 24 horas ligamo-los diretamente à nossa monitorização 24/7 no NOC, para que os indícios não fiquem parados na caixa de entrada, mas sejam permanentemente escalados para a instância correta. Tudo isto a preços mensais fixos e previsíveis, para que a preparação para o CRA continue orçamentável.

Este artigo é uma classificação técnica e não substitui aconselhamento jurídico no caso concreto.

Cyber Resilience Act: obrigação de notificação a partir de 11 de setembro de 2026