Reporte de ciberataques em 24 horas obrigatório a partir de 11 de setembro

A partir de 11 de setembro de 2026, os fabricantes de produtos com elementos digitais passam a ter apenas 24 horas para dar o primeiro alerta sobre vulnerabilidades ativamente exploradas e incidentes graves de segurança. A obrigação decorre do Regulamento (UE) 2024/2847, conhecido como Regulamento da Ciber-Resiliência ou Cyber Resilience Act (CRA), e é a primeira parte do diploma a produzir efeitos, mais de um ano antes da sua aplicação plena.

O reporte é faseado e obedece a três momentos. Nas primeiras 24 horas após tomar conhecimento do problema, o fabricante tem de submeter um alerta precoce. Nas 72 horas seguintes, deve entregar uma notificação com informação técnica mais completa. O relatório final tem de chegar no prazo de 14 dias após a disponibilização de uma medida corretiva, no caso das vulnerabilidades ativamente exploradas, ou de um mês, no caso dos incidentes graves.

As comunicações são dirigidas à equipa de resposta a incidentes de segurança informática, designada por Computer Security Incident Response Team (CSIRT), do Estado-Membro onde o fabricante tem o seu estabelecimento principal, com partilha simultânea com a Agência da União Europeia para a Cibersegurança (ENISA) e com as restantes equipas nacionais relevantes. Em Portugal, o papel de equipa nacional de resposta a incidentes é assegurado pelo CERT.PT, serviço integrado no Centro Nacional de Cibersegurança (CNCS).

Para evitar submissões repetidas junto de várias autoridades, o regulamento cria uma plataforma única de reporte, a Single Reporting Platform, desenvolvida pela ENISA. Segundo a página oficial da agência e a documentação da Comissão Europeia sobre as obrigações de reporte do regulamento, a plataforma passa a ser utilizada por fabricantes e equipas nacionais a partir de 11 de setembro de 2026, ficando também disponível para comunicações voluntárias por parte de qualquer pessoa singular ou coletiva.

Uma vulnerabilidade é considerada ativamente explorada quando existem provas fiáveis de que foi utilizada por um agente malicioso sem autorização do proprietário do sistema. Um incidente é grave quando afeta, ou pode afetar, a capacidade do produto para proteger dados ou funções sensíveis, ou quando conduz à introdução ou execução de código malicioso. As obrigações abrangem os produtos já colocados no mercado europeu e não apenas os que forem introduzidos após a data. O regulamento entrou em vigor a 10 de dezembro de 2024 e será aplicável na íntegra a 11 de dezembro de 2027. O calendário foi assinalado em Portugal pelo portal ITSecurity.pt, em artigo publicado a 7 de setembro de 2026.

Para as empresas abrangidas, vale a pena separar dois regimes que coexistem. O Regime Jurídico da Cibersegurança (RJC), aprovado pelo Decreto-Lei n.º 125/2025 e em vigor desde 3 de abril de 2026, transpõe a diretiva NIS2 e impõe deveres de notificação às entidades essenciais e importantes junto do Centro Nacional de Cibersegurança. O Regulamento da Ciber-Resiliência acrescenta um dever distinto, dirigido a quem fabrica produtos com elementos digitais. Uma organização pode estar sujeita aos dois em simultâneo, com canais, destinatários e critérios diferentes, pelo que convém ter definido, antes de 11 de setembro, quem deteta, quem decide e quem submete dentro do prazo de 24 horas.

Fonte: https://www.itsecurity.pt/news/compliance/cra-novas-regras-de-reporte-chegam-esta-semana. Escrito pela equipa N4A, revisto por um Lead Auditor certificado ISO 27001.