Nova regra da União Europeia obriga empresas a comunicar falhas exploradas por hackers em até 24 horas
Fabricantes de hardware e software vendidos na União Europeia já estão sujeitos a novas obrigações de comunicação relacionadas à cibersegurança. Desde 11 de setembro, empresas que identificarem vulnerabilidades exploradas ativamente ou incidentes graves envolvendo seus produtos digitais precisam alertar as autoridades em um prazo inicial de apenas 24 horas.
A exigência faz parte do Cyber Resilience Act (CRA), regulamento europeu criado para elevar o nível de segurança de produtos conectados e de soluções que incorporam elementos digitais. A regra está prevista no Artigo 14 e pode alcançar companhias estabelecidas dentro ou fora da União Europeia, desde que seus produtos sejam comercializados no mercado do bloco.
Prazos são divididos em três etapas
Ao tomar conhecimento de uma vulnerabilidade que esteja sendo utilizada por criminosos, o fabricante deverá apresentar uma comunicação inicial às autoridades em até 24 horas. Essa primeira notificação precisa informar, ainda que de maneira preliminar, a existência do problema e seu possível impacto.
Em até 72 horas, a empresa deverá complementar o alerta com informações mais detalhadas sobre a falha, os produtos afetados, o nível de risco e as medidas adotadas ou planejadas. A mesma sequência de prazos vale para incidentes graves que comprometam a segurança dos produtos digitais.
Também há prazos específicos para o encerramento do processo. Quando a comunicação estiver relacionada a uma vulnerabilidade explorada, o relatório final deverá ser enviado em até 14 dias depois da disponibilização de uma correção ou de uma medida de mitigação. No caso de incidentes graves, a documentação final deverá ser entregue até um mês após o alerta inicial.
Plataforma centraliza os avisos
As notificações serão feitas pela Single Reporting Platform (SRP), sistema centralizado lançado pela Agência da União Europeia para a Cibersegurança, conhecida como ENISA. A ferramenta permite que o fabricante envie uma única comunicação, que poderá ser encaminhada à equipe nacional de resposta a incidentes, ou CSIRT, e à própria ENISA.
Para empresas sediadas na União Europeia, a definição da CSIRT responsável costuma considerar o Estado-membro onde está localizado o principal estabelecimento do fabricante. Companhias de fora do bloco seguem critérios específicos para determinar qual autoridade deverá receber o comunicado.
A obrigação não termina no contato com os órgãos reguladores. Sempre que aplicável, os usuários afetados também deverão ser informados sobre a vulnerabilidade ou o incidente. Caso exista uma atualização, correção ou alternativa capaz de reduzir o risco, essa orientação precisa ser transmitida sem demora injustificada.
Multas podem alcançar milhões de euros
O descumprimento do CRA pode gerar penalidades proporcionais à gravidade da infração. Nos casos mais sérios, a multa pode chegar a € 15 milhões ou a 2,5% do faturamento anual global da empresa, considerando-se o maior desses valores.
Como as notificações de vulnerabilidades exploradas e incidentes graves estão entre as obrigações centrais do regulamento, falhas nesse processo podem resultar nas sanções mais elevadas. Além do impacto financeiro, a empresa pode enfrentar danos reputacionais, questionamentos de clientes e aumento da fiscalização sobre seus produtos.
Inventário de componentes ganha importância
O prazo reduzido para comunicação muda a forma como os fabricantes precisam organizar seus processos internos. Ao descobrir uma falha, a empresa deve identificar rapidamente quais produtos, versões e configurações utilizam o componente afetado.
Esse trabalho se torna mais complexo em aplicações modernas, compostas por código proprietário, bibliotecas de código aberto, módulos de terceiros, serviços em nuvem e ferramentas de inteligência artificial. Sem um inventário confiável, é mais difícil determinar a extensão do problema e cumprir os prazos exigidos.
Nesse contexto, a Software Bill of Materials, ou SBOM, passa a ter um papel estratégico. O documento funciona como uma relação dos componentes de software presentes em um produto, permitindo rastrear dependências e acelerar a análise de impacto. Uma SBOM atualizada também facilita a priorização de correções e a comunicação com clientes.
Empresas precisam rever seus planos de resposta
Para cumprir a nova regra, não basta contar com uma equipe técnica capaz de corrigir vulnerabilidades. Os fabricantes precisam estabelecer um processo completo de resposta, com responsabilidades claras para as áreas de segurança, engenharia, jurídico, comunicação e relações regulatórias.
Também é recomendável manter canais permanentes para recebimento de relatos, procedimentos de classificação de incidentes e critérios objetivos para definir quando uma falha está sendo explorada ativamente. A ausência de informações completas nas primeiras horas não elimina a necessidade de notificação: o alerta inicial pode ser complementado posteriormente.
Simulações periódicas ajudam a verificar se a empresa consegue identificar o problema, aprovar a comunicação e enviar o relatório dentro de 24 horas. Esses exercícios também revelam gargalos relacionados à tomada de decisão, à disponibilidade de contatos e à validação das informações técnicas.
Correções devem acompanhar a comunicação
A nova obrigação reforça a necessidade de combinar divulgação responsável com resposta rápida. Informar uma falha sem oferecer orientação prática pode deixar os usuários expostos, especialmente quando existe exploração em andamento.
Por isso, fabricantes devem preparar atualizações de segurança, medidas temporárias de mitigação e instruções claras para reduzir o risco. Quando uma correção ainda não estiver disponível, a comunicação pode incluir recomendações como desativar determinada função, restringir o acesso ou aplicar configurações específicas.
Os registros de cada etapa também devem ser preservados. Evidências sobre quando a vulnerabilidade foi identificada, quem avaliou o caso, quais produtos foram analisados e quando os avisos foram enviados podem ser importantes para demonstrar conformidade.
CRA faz parte de um conjunto regulatório maior
O Cyber Resilience Act integra uma estrutura mais ampla de normas digitais da União Europeia. Empresas que atuam no mercado europeu também podem estar sujeitas a exigências previstas em regulamentos como NIS2, DORA, Data Act e AI Act.
Essas regras têm objetivos diferentes, mas podem se sobrepor em temas como gestão de riscos, comunicação de incidentes, continuidade operacional, proteção de dados e segurança de fornecedores. Por esse motivo, as companhias precisam mapear suas obrigações de forma integrada, evitando processos duplicados ou lacunas de responsabilidade.
Embora as regras de notificação já estejam em vigor, grande parte das demais exigências do CRA começará a ser aplicada em 11 de dezembro de 2027. Entre elas estão requisitos de segurança desde a concepção e por padrão, avaliações de conformidade e medidas voltadas à proteção dos produtos durante todo o ciclo de vida.
A principal mudança imediata é cultural e operacional: vulnerabilidades exploradas não podem mais ser tratadas apenas como problemas internos de engenharia. Para vender produtos digitais na União Europeia, os fabricantes precisarão demonstrar capacidade de detecção, resposta, comunicação e correção em escala – e, em muitos casos, agir antes mesmo de terem todas as respostas técnicas disponíveis.