{"id":35322,"date":"2026-10-07T00:00:21","date_gmt":"2026-10-06T22:00:21","guid":{"rendered":"https:\/\/www.proactivanet.com\/?p=35322"},"modified":"2026-10-07T09:36:16","modified_gmt":"2026-10-07T07:36:16","slug":"cyber-resilience-act","status":"publish","type":"post","link":"https:\/\/www.proactivanet.com\/pt-br\/blog\/conformidade\/cyber-resilience-act\/","title":{"rendered":"Cyber Resilience Act: o que muda com a obriga\u00e7\u00e3o de notificar vulnerabilidades"},"content":{"rendered":"

O Cyber Resilience Act<\/strong> j\u00e1 n\u00e3o \u00e9 uma norma distante. Desde 11 de setembro de 2026, os fabricantes de produtos com elementos digitais vendidos na Uni\u00e3o Europeia precisam notificar as vulnerabilidades ativamente exploradas e os incidentes graves em at\u00e9 24 horas.<\/p>\n

\u00c9 a primeira obriga\u00e7\u00e3o do regulamento que j\u00e1 pode ser exigida, e chega mais de um ano antes da sua aplica\u00e7\u00e3o completa. Neste artigo, revisamos o que muda, a quem afeta (Espanha, M\u00e9xico, Col\u00f4mbia, Peru e Chile), quais prazos devem ser cumpridos e por que o ponto de partida \u00e9 sempre o mesmo: saber exatamente qual tecnologia voc\u00ea tem e onde ela est\u00e1.<\/p>\n

O que \u00e9 o Cyber Resilience Act?<\/h2>\n

O Cyber Resilience Act (CRA) \u00e9 o Regulamento (UE) 2024\/2847. Ele estabelece requisitos de ciberseguran\u00e7a comuns para todo produto com elementos digitais comercializado na UE, seja software ou hardware conectado.<\/p>\n

A ideia central \u00e9 que a seguran\u00e7a fa\u00e7a parte do produto desde o design e durante todo o seu ciclo de vida, em vez de depender de corre\u00e7\u00f5es posteriores. Sua aplica\u00e7\u00e3o \u00e9 progressiva:<\/p>\n

\n\n\n\n\n\n\n\n
Data<\/th>\nMarco<\/th>\n<\/tr>\n<\/thead>\n
10 de dezembro de 2024<\/td>\nEntrada em vigor do regulamento<\/td>\n<\/tr>\n
11 de setembro de 2026<\/td>\nObriga\u00e7\u00e3o de notificar vulnerabilidades exploradas e incidentes graves (artigo 14)<\/td>\n<\/tr>\n
11 de dezembro de 2027<\/td>\nAplica\u00e7\u00e3o completa dos demais requisitos, incluindo a marca\u00e7\u00e3o CE<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n

O que muda a partir de 11 de setembro de 2026<\/h2>\n

O artigo 14<\/a> obriga o fabricante a notificar duas coisas: qualquer vulnerabilidade do seu produto que esteja sendo ativamente explorada e qualquer incidente grave que afete a sua seguran\u00e7a.<\/p>\n

A notifica\u00e7\u00e3o \u00e9 enviada simultaneamente \u00e0 ENISA e ao CSIRT coordenador do pa\u00eds onde o fabricante tem seu estabelecimento principal. Na Espanha, esse CSIRT \u00e9 o INCIBE-CERT. O canal \u00e9 \u00fanico: a Single Reporting Platform (SRP), gerida pela ENISA e operacional desde essa mesma data.<\/p>\n

Os prazos de notifica\u00e7\u00e3o<\/h3>\n
\n\n\n\n\n\n\n\n\n
Prazo<\/th>\nO que deve ser enviado<\/th>\n<\/tr>\n<\/thead>\n
24 horas<\/td>\nAlerta precoce a partir do momento em que se toma conhecimento<\/td>\n<\/tr>\n
72 horas<\/td>\nNotifica\u00e7\u00e3o com as informa\u00e7\u00f5es dispon\u00edveis<\/td>\n<\/tr>\n
14 dias<\/td>\nRelat\u00f3rio final de uma vulnerabilidade explorada<\/td>\n<\/tr>\n
1 m\u00eas<\/td>\nRelat\u00f3rio final de um incidente grave<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n

Al\u00e9m disso, o fabricante deve informar os usu\u00e1rios afetados e, quando for o caso, indicar medidas para mitigar o risco.<\/p>\n

O que o Cyber Resilience Act ainda n\u00e3o exige (e a quem afeta)<\/h2>\n

O alcance desta primeira fase \u00e9 mais restrito do que parece. Em 27 de julho de 2026, a Comiss\u00e3o Europeia publicou uma primeira orienta\u00e7\u00e3o interpretativa<\/a> que esclarece v\u00e1rios pontos:<\/p>\n