A União Europeia passou a exigir que os fabricantes de produtos digitais comuniquem rapidamente vulnerabilidades exploradas e incidentes graves. A obrigação entrou em vigor a 11 de setembro de 2026, ao abrigo do Cyber Resilience Act, e já pode ser cumprida através de uma plataforma única gerida pela Agência da União Europeia para a Cibersegurança, a ENISA.
A mudança abrange fabricantes de hardware e software disponibilizados no mercado europeu. Na prática, inclui uma grande variedade de produtos com elementos digitais, desde equipamentos ligados à Internet a aplicações. O objetivo é fazer chegar informação crítica às autoridades mais depressa e coordenar a resposta entre os Estados-membros.
O que mudou em 11 de setembro
Quando toma conhecimento de uma vulnerabilidade que está a ser explorada, o fabricante tem de enviar um primeiro aviso no prazo máximo de 24 horas. Uma notificação mais completa deve seguir-se no prazo de 72 horas. O mesmo mecanismo é usado para incidentes graves que afetem a segurança de um produto abrangido.
A nova Single Reporting Platform evita que a empresa tenha de repetir a mesma comunicação a várias entidades. O reporte é inicialmente recebido pela equipa nacional de resposta a incidentes, ou CSIRT, que atua como coordenadora. A informação também fica disponível para a ENISA e pode ser partilhada com outras equipas europeias quando o produto é vendido em vários países.
Nem todas as falhas entram no mesmo saco
A regra não obriga a comunicar publicamente todos os erros encontrados num programa ou dispositivo. Nesta fase, o foco está nas vulnerabilidades ativamente exploradas e nos incidentes com impacto grave na segurança. Uma prova de conceito publicada por um investigador não equivale, por si só, à confirmação de ataques reais.
A plataforma inclui medidas de confidencialidade, segundo a ENISA. Isto significa que o envio às autoridades não corresponde a uma divulgação pública imediata dos detalhes técnicos. Essa distinção procura permitir uma resposta coordenada sem oferecer instruções úteis a atacantes antes de existir uma correção.
O que muda para quem compra tecnologia
O consumidor não precisa de criar uma conta na plataforma nem de alterar definições. O efeito esperado é indireto: fabricantes e autoridades passam a ter prazos comuns para sinalizar problemas importantes, avaliar o alcance e organizar medidas de mitigação.
Isto pode acelerar alertas e atualizações quando uma falha está a ser usada em ataques. Também torna mais clara a responsabilidade de quem coloca produtos digitais no mercado europeu. Ainda assim, o novo reporte não substitui cuidados básicos. Convém instalar atualizações, manter cópias de segurança e confirmar durante quanto tempo o fabricante promete dar suporte ao produto.
A existência de uma obrigação de comunicação também não garante que todas as falhas sejam detetadas de imediato. Empresas e autoridades continuam dependentes de investigação técnica, denúncias responsáveis e sinais de exploração observados no terreno.
A aplicação completa chega em 2027
O início do reporte é uma etapa antecipada do Cyber Resilience Act. A maioria dos restantes requisitos de cibersegurança do regulamento passa a aplicar-se em 11 de dezembro de 2027. Entre estes estão obrigações mais amplas sobre segurança ao longo do ciclo de vida dos produtos.
A ENISA descreve a versão atual da plataforma como uma capacidade operacional inicial e prevê melhorá-la com a experiência dos primeiros meses. Para já, a novidade mais concreta é simples: uma vulnerabilidade realmente explorada num produto vendido na União Europeia já não pode ficar apenas dentro da empresa durante vários dias.
Fontes: ENISA · Industrial Cyber · Privacy World