Entram em vigor as obrigações de notificação do Regulamento de Ciber-Resiliência da UE

Os fabricantes de produtos com elementos digitais (hardware e software, de routers a aplicações de casa inteligente) têm agora de notificar as vulnerabilidades ativamente exploradas e os incidentes de segurança graves através da Plataforma Única de Notificação gerida pela ENISA: um alerta precoce no prazo de 24 horas, uma notificação completa no prazo de 72 horas e um relatório final no prazo de 14 dias ou de um mês, respetivamente. A obrigação abrange também os produtos colocados no mercado antes de o CRA ser plenamente aplicável, em dezembro de 2027.

A data decorre do art. 71.º do Regulamento (UE) 2024/2847 (Regulamento de Ciber-Resiliência), que entrou em vigor a 10 de dezembro de 2024: as obrigações de notificação do art. 14.º aplicam-se a partir de 11 de setembro de 2026, as regras sobre os organismos de avaliação da conformidade desde junho de 2026 e os requisitos completos para os produtos a partir de 11 de dezembro de 2027. A ENISA lançou a Plataforma Única de Notificação no mesmo dia; as notificações são encaminhadas a partir daí para as CSIRT nacionais competentes (Crowell & Moring, Freshfields, 11 de setembro de 2026).