• Deveres de notificação do Regulamento de Resiliência Cibernética da União Europeia começam em 11 de setembro
  • Fabricantes têm 24 horas para o primeiro alerta e 72 horas para um relatório mais completo

O fato

Os deveres de notificação do Regulamento de Resiliência Cibernética da União Europeia (EU Cyber Resilience Act) entraram em vigor em 11 de setembro, exigindo que fabricantes de produtos com elementos digitais comuniquem vulnerabilidades exploradas ativamente e incidentes graves que afetem a segurança do produto. Um alerta preliminar deve ser enviado em até 24 horas após a ciência de um evento notificável.

Uma notificação mais completa segue em até 72 horas. O prazo final então depende do evento. Para uma vulnerabilidade explorada ativamente, o relatório final deve ser apresentado no máximo 14 dias após a disponibilização de uma medida corretiva ou mitigadora. Para um incidente grave, o relatório final deve ser apresentado em até um mês após a notificação de 72 horas e deve abranger o incidente, seu impacto, a causa provável e as medidas tomadas ou planejadas.

Os relatórios passam pela plataforma única de notificação da ENISA até o CSIRT nacional competente, com as informações geralmente disponibilizadas à ENISA ao mesmo tempo. Os deveres recaem sobre os fabricantes, em vez de impor a mesma obrigação de notificação a cada cliente que usa o produto. O regulamento também trata da notificação dos usuários afetados e do fornecimento de informações sobre medidas corretivas ou mitigadoras. A maior parte dos demais requisitos de produto se aplica a partir de dezembro de 2027.

A análise

Assim que um fabricante sabe que uma vulnerabilidade está sendo explorada ativamente, pode ter de reportar o problema antes que os engenheiros o compreendam por completo. Portanto, o primeiro alerta de 24 horas pode ser enviado antes que todas as versões afetadas tenham sido identificadas ou que uma correção tenha sido testada. Mais detalhes seguem após 72 horas, enquanto a investigação técnica continua.

Na prática, notificação e remediação frequentemente ocorrerão ao mesmo tempo. Os fabricantes precisam informar aos reguladores o que sabem, sem apresentar hipóteses iniciais como conclusões definitivas. Enquanto isso, seus clientes precisam de informações suficientes para decidir se são afetados e se alguma ação imediata é necessária.

Para os leitores da BTW, o que importa é a rapidez com que esse primeiro alerta se transforma em orientações úteis. Operadores precisam de informações claras sobre versões afetadas, mitigações seguras e, eventualmente, uma correção com suporte. Cumprir o prazo de notificação é importante, mas os clientes ainda precisam saber o que fazer com os equipamentos que operam.

O que acompanhar

Observe se os alertas dos fornecedores separam claramente fatos confirmados, constatações provisórias e mitigações disponíveis após o primeiro alerta. Orientações específicas por versão, atualizações após a notificação de 72 horas e um caminho claro para uma correção com suporte mostrarão se o novo cronograma está ajudando os operadores a tomar decisões de manutenção, em vez de simplesmente produzir registros regulatórios pontuais.