Resumo

  • Desde 11 de setembro de 2026, fabricantes precisam notificar vulnerabilidades exploradas ativamente e incidentes graves que afetem a segurança do produto. O alerta inicial vence em 24 horas; a notificação completa, em 72.
  • Na RIPE 93, Mandalari pediu à comunidade exemplos concretos de equipamentos de rede, distribuição de software e ciclos de suporte para alimentar o trabalho de normalização do CRA.

A Lei de Resiliência Cibernética da União Europeia colocou um relógio de 24 horas nas mãos dos fabricantes.

Não transformou automaticamente toda empresa que opera uma rede em responsável legal pelo mesmo aviso. Esse foi o ponto mais útil da fala de Anna Maria Mandalari na RIPE 93: antes de surgir uma vulnerabilidade, cada organização precisa saber quais produtos coloca no mercado europeu, que papel exerce em cada cadeia e quem pode preparar a notificação.

A transcrição oficial da sessão de IoT da RIPE 93 identifica Mandalari como a palestrante remota da última apresentação. Ela aproximou o CRA de equipamentos cotidianos — roteadores, modems e switches — e do software usado na operação das redes. Seu pedido foi que a comunidade levasse casos concretos à discussão das normas: por quanto tempo o equipamento fica instalado, quem fornece as atualizações e onde muda a responsabilidade entre fabricante, distribuidor e cliente.

O calendário torna o tema imediato. As principais disposições do CRA passam a valer em 11 de dezembro de 2027, mas o artigo 14 sobre notificações já se aplica desde 11 de setembro de 2026. Ao tomar conhecimento de uma vulnerabilidade explorada ativamente ou de um incidente grave que afete a segurança de um produto, o fabricante deve enviar um alerta inicial em até 24 horas e uma notificação completa em até 72. O relatório final precisa sair no máximo 14 dias depois de uma medida corretiva ficar disponível para uma vulnerabilidade explorada; para um incidente grave, o prazo é de um mês após a notificação de 72 horas.

O envio passa pela plataforma única do CRA.

A obrigação é do fabricante, não de qualquer empresa que compra um roteador ou mantém uma rede. A orientação da Comissão Europeia publicada em julho trata do escopo de produtos e de modificações substanciais. O resumo da Comissão define fabricante como quem desenvolve ou fabrica um produto, ou o manda fabricar, e o disponibiliza no mercado da UE sob seu nome ou marca. Comprar um aparelho sem alterações não torna o operador seu fabricante. Revender com marca própria ou modificar substancialmente pode mudar a análise; é preciso olhar o produto e o modelo de distribuição.

As normas fazem a ponte entre o texto legal e a operação. Em 13 de agosto, a ETSI anunciou 17 projetos finais de normas verticais sob consulta pública. Eles pretendem se tornar normas harmonizadas, mas ainda eram projetos. A tramitação de aprovação deveria ir de meados de setembro a meados de novembro de 2026, conforme o setor. Mandalari pediu que a comunidade do RIPE contribuísse com exemplos sobre períodos de suporte, equipamentos de rede, distribuição de software e tratamento de atualizações.

A promessa de que um fornecedor “entrega atualizações” não resolve a operação. O time precisa saber como a correção de segurança será testada, auditada, implantada e avaliada pelo impacto no serviço. O CRA exige que fabricantes definam e informem um período de suporte, mas o ciclo de vida real de um equipamento de rede pode ser maior. Se o suporte termina antes da renovação planejada, a compra pode virar uma migração às pressas.

Mandalari transita entre pesquisa, operação de rede e normalização. A UCL a identifica como vice-diretora do Institute of Communications and Connected Systems; a ETSI lista sua função de secretária do grupo CYBER EUSR e sua presidência do grupo de trabalho de IoT da RIPE. A pergunta que ela levou à comunidade é de operação: quem cuida da próxima atualização e quem envia o primeiro aviso quando o produto falha?

A Comissão publicou orientação de implementação e a plataforma de notificação já funciona. Falta ligar a identificação do produto, o papel do fornecedor, a duração do suporte e a autoridade sobre incidentes antes que uma vulnerabilidade force a equipe a reconstruir tudo em 24 horas.

Fontes