Ir para o conteúdo
EU Rules Finder
Português (Brasil) (Idioma)

Registro de notificações CRA: prazos e campos da plataforma única

O artigo 14.º do Regulamento de Ciber-Resiliência dá-lhe horas, não dias. Mantenha aqui uma entrada por vulnerabilidade ou incidente: a página conta cada prazo a partir do momento em que tomou conhecimento, mostra que campos a plataforma única de comunicação de informações da ENISA pede em cada etapa e redige o aviso aos seus usuários.

Verificado em relação às fontes em 11 de outubro de 2026

Seu registro

Só um arquivo baixado desta página. É lido no seu navegador e não é enviado.

Nada do que você informa sai do seu navegador e nada é guardado. Baixe o arquivo de registro para guardar o seu trabalho e abra-o aqui de novo mais tarde.

Qual CSIRT recebe as suas notificações

Escolha a primeira linha que se aplica a você (artigo 14.º, n.º 7) e depois o Estado-Membro a que ela leva.

ENISA: se for escolhida a CSIRT errada, a notificação pode ser invalidada e tem de ser reenviada ao correto. Resolva isto antes de precisar notificar.

Ainda não há entradas. Adicione uma vulnerabilidade ou um incidente, ou abra um arquivo de registro.

Você usaria uma versão salva?

Este registro fica só no seu navegador. Estamos decidindo se criamos uma versão paga: guardada numa conta, compartilhada com a sua equipe, com um e-mail antes do fim de cada prazo de 24 horas, de 72 horas e do relatório final. Se você a usaria, nos diga. A sua resposta decide se a criamos.

Entrar na lista de espera

Abre a lista de espera em cbam.vedacta.com, o nosso site irmão: um e-mail quando abrir, nada mais. Ainda não existe versão paga.

O que esta página faz

  • conta o alerta precoce (24 horas) e a notificação (72 horas) a partir do momento em que tomou conhecimento, na sua hora local e em UTC;
  • conta o relatório final: 14 dias depois de uma medida corretiva ou de atenuação estar disponível para uma vulnerabilidade, um mês depois de enviar a notificação para um incidente;
  • lista os campos da plataforma com os números da ENISA, a etapa que exige cada um e o seu limite de caracteres, e copia as respostas de uma etapa para colar;
  • mostra a que CSIRT você comunica ao abrigo do artigo 14.º, n.º 7, também quando não tem estabelecimento na UE;
  • redige o aviso aos usuários que o artigo 14.º, n.º 8, pede, a partir do que você já preencheu.

O contador da própria plataforma mostra hoje o prazo de 72 horas como 48 horas depois de enviar o alerta precoce, e não tem contador para o relatório final sobre uma vulnerabilidade (perguntas e respostas da ENISA, 3 de outubro de 2026). A ENISA diz que os contadores são só ajudas e que o prazo legal se mantém. Esta página conta a partir do momento em que tomou conhecimento, como faz o artigo 14.º.

O que comunica, e o que não comunica

Comunica uma vulnerabilidade ativamente explorada no seu produto: uma relativamente à qual existem provas fiáveis da sua exploração num sistema por parte de um agente mal-intencionado sem a autorização do proprietário (artigo 3.º, ponto 42). Segundo as perguntas e respostas da Comissão, uma vulnerabilidade encontrada em testes ou comunicada de boa-fé por um pesquisador, sem provas de exploração maliciosa, não o é. Comunica também um incidente grave com impacto na segurança do seu produto (artigo 14.º, n.º 5). Uma notificação cobre uma vulnerabilidade ou um incidente, mesmo que tenha várias filiais na UE.

Multas

O artigo 64.º, n.º 2, fixa multas até 15 milhões de euros ou, para uma empresa, até 2,5 % do seu volume de negócios anual total a nível mundial, consoante o que for mais elevado, por incumprimento do artigo 14.º. Nos termos do artigo 64.º, n.º 10, alínea a), essas multas não se aplicam a microempresas e pequenas empresas por perderem o prazo de 24 horas do alerta precoce; nenhum outro prazo está abrangido. O artigo 14.º aplica-se desde 11 de setembro de 2026. O artigo 64.º não está entre as disposições que se aplicam antecipadamente, portanto aplica-se a partir de 11 de dezembro de 2027 (artigo 71.º, n.º 2).

As regras em si estão na página notificações CRA; se o regulamento abrange o seu produto está na página Regulamento de Ciber-Resiliência.

Esta página não envia nada à ENISA: você mesmo faz a submissão na plataforma única de comunicação de informações. Nada do que insere sai do seu navegador e nada é guardado, portanto baixe o arquivo do registro para guardar o seu trabalho. A lista de campos e as orientações da ENISA podem mudar, e as orientações da Comissão não são vinculativas. Isto não é aconselhamento jurídico.

Fontes