Ir para o conteúdo
EU Rules Finder
Português (Brasil) (Idioma)

Notificações CRA: vulnerabilidades ativamente exploradas e incidentes graves

O artigo 14.º do Regulamento de Ciber-Resiliência aplica-se desde 11 de setembro de 2026, antes do resto do Regulamento. Abrange todos os produtos com elementos digitais no seu âmbito, incluindo os colocados no mercado antes de 11 de dezembro de 2027 (artigo 69.º, n.º 3).

Verificado em relação às fontes em 10 de outubro de 2026

Calculadora de prazos de notificação

Informe quando você tomou conhecimento. Os prazos correm em horas a partir desse momento, por isso são mostrados na sua hora local e em UTC. Nada é guardado.

O que aconteceu?

Notifique pela plataforma única de comunicação de informações da ENISA à CSIRT do Estado-Membro do seu estabelecimento principal na UE. A CSIRT pode pedir um relatório intercalar.

Registro de notificações: acompanhe cada notificação, seus prazos e os campos da plataforma

O que deve ser notificado

  • uma vulnerabilidade ativamente explorada no seu produto de que você tome conhecimento (artigo 14.º, n.º 1);
  • um incidente grave com impacto na segurança do seu produto (artigo 14.º, n.º 3): um que afeta, ou pode afetar, a disponibilidade, a autenticidade, a integridade ou a confidencialidade de dados ou funções sensíveis ou importantes, ou que levou ou pode levar à introdução ou execução de código malicioso no produto ou nos sistemas de um usuário (artigo 14.º, n.º 5).

Prazos, contados a partir do momento em que você toma conhecimento

EtapaVulnerabilidade ativamente exploradaIncidente grave
Alerta precoceEm 24 horas, indicando os Estados-Membros onde você sabe que o produto está disponível.Em 24 horas, dizendo também se há suspeita de atos ilícitos ou maliciosos.
NotificaçãoEm 72 horas: o produto, a natureza da exploração e da vulnerabilidade, as medidas tomadas e as que os usuários podem tomar, e o grau de sensibilidade que você atribui às informações.Em 72 horas: a natureza do incidente, uma avaliação inicial, as medidas tomadas e as que os usuários podem tomar, e o grau de sensibilidade que você atribui às informações.
Relatório finalNo máximo 14 dias depois de haver uma medida corretiva ou de atenuação: a vulnerabilidade com a sua gravidade e impacto, eventual agente malicioso e a atualização de segurança.No prazo de um mês após a notificação: uma descrição detalhada, a ameaça ou a causa provável e as medidas de atenuação.

A CSIRT que recebe a notificação pode pedir um relatório intercalar sobre a evolução da situação (artigo 14.º, n.º 6).

Onde notificar

Pela plataforma única de comunicação de informações da ENISA, aberta em 11 de setembro de 2026. Você envia à CSIRT designada como coordenadora no Estado-Membro do seu estabelecimento principal na UE, que é onde são tomadas principalmente as decisões sobre a cibersegurança dos seus produtos. A ENISA recebe a notificação ao mesmo tempo, e a CSIRT a transmite aos outros Estados-Membros onde o produto está disponível (artigo 14.º, n.º 7, e artigo 16.º).

Fabricantes fora da UE

Sem estabelecimento principal na UE, notifique a CSIRT do primeiro Estado-Membro desta lista que se aplique (artigo 14.º, n.º 7):

  1. onde está estabelecido o mandatário que atua pelo maior número dos seus produtos;
  2. onde está estabelecido o importador que coloca no mercado o maior número dos seus produtos;
  3. onde está estabelecido o distribuidor que disponibiliza o maior número dos seus produtos;
  4. onde se encontra o maior número de usuários dos seus produtos.

Informe os seus usuários

Informe os usuários afetados e, se for o caso, todos os usuários, da vulnerabilidade ou do incidente e das medidas que podem tomar, se for o caso num formato estruturado e legível por máquina (artigo 14.º, n.º 8). Se você não o fizer a tempo, a CSIRT pode informá-los.

Prepare-se antes que aconteça

  • registre-se na plataforma única de comunicação de informações (a ENISA publica um guia do usuário);
  • decida quem avalia, em 24 horas, se uma vulnerabilidade é ativamente explorada ou um incidente é grave;
  • mantenha uma lista dos Estados-Membros onde cada produto é vendido, e do seu mandatário, importadores e distribuidores;
  • prepare um modelo de aviso aos usuários.

Em que classe está o seu produto, e ele precisa de um organismo notificado? Veja a página do Regulamento de Ciber-Resiliência.

Verificar quais outras regras da UE se aplicam

Fontes