Nova regra da UE exige que empresas reportem falhas exploradas por hackers em até 24 horas

Fabricantes de hardware e software com produtos comercializados na União Europeia passaram a ter, desde 11 de setembro, novas obrigações para comunicar vulnerabilidades exploradas ativamente e incidentes graves de segurança. As regras fazem parte do Cyber Resilience Act (CRA) e estabelecem um prazo inicial de apenas 24 horas para o envio do primeiro alerta às autoridades.

As exigências estão previstas no Artigo 14 do CRA e se aplicam, respeitadas as exceções previstas na regulamentação, a fabricantes de produtos com elementos digitais disponibilizados no mercado europeu, independentemente de a empresa estar sediada dentro ou fora da União Europeia.

Quando tomar conhecimento de uma vulnerabilidade que esteja sendo explorada ativamente, o fabricante deverá enviar um alerta inicial em até 24 horas. Uma notificação mais detalhada deverá ser apresentada em até 72 horas. Os mesmos prazos são aplicáveis a incidentes graves que afetem a segurança dos produtos digitais.

No caso de vulnerabilidades exploradas, o relatório final deve ser entregue em até 14 dias após a disponibilização de uma correção ou medida de mitigação. Para incidentes graves de segurança, o documento final deverá ser apresentado até um mês após a notificação inicial.

As comunicações são realizadas pela Single Reporting Platform (SRP), plataforma centralizada lançada pela Agência da União Europeia para a Cibersegurança (ENISA) junto com a entrada em vigor das novas obrigações. O sistema permite que fabricantes enviem uma única notificação, posteriormente compartilhada com a equipe nacional de resposta a incidentes, ou CSIRT, responsável pela coordenação e com a própria ENISA.

Para fabricantes estabelecidos na União Europeia, a CSIRT responsável normalmente será definida de acordo com o Estado-membro onde está localizado o principal estabelecimento da empresa. Existem regras específicas para determinar a autoridade responsável quando o fabricante está localizado fora do bloco.

Além de comunicar as autoridades, os fabricantes deverão informar os usuários afetados, quando aplicável, sobre vulnerabilidades exploradas ou incidentes graves. Correções ou medidas disponíveis para reduzir os riscos também devem ser comunicadas sem demora indevida.

O descumprimento do Cyber Resilience Act pode resultar em diferentes níveis de sanções. As infrações mais graves podem chegar a € 15 milhões ou 2,5% do faturamento anual global da empresa, prevalecendo o valor mais alto. As novas obrigações de comunicação são consideradas responsabilidades centrais do CRA e, portanto, podem estar sujeitas às penalidades máximas previstas pela legislação.

Embora os requisitos de notificação já estejam valendo, grande parte das demais exigências do Cyber Resilience Act só será aplicável a partir de 11 de dezembro de 2027. Entre elas estão requisitos de segurança por design e por padrão, avaliações de conformidade e outras medidas relacionadas à segurança dos produtos ao longo de seu ciclo de vida.

A nova janela de 24 horas também aumenta a pressão sobre fabricantes para manter um inventário atualizado dos componentes presentes em seus produtos e de suas respectivas dependências. Quando uma falha surge, será necessário identificar rapidamente quais produtos e versões podem compartilhar o componente vulnerável para cumprir os prazos regulatórios.

Essa necessidade coloca maior atenção sobre a Software Bill of Materials (SBOM), que permite registrar os componentes de software utilizados em um produto. A exigência se torna particularmente relevante em aplicações modernas formadas por código proprietário, bibliotecas open source, componentes de terceiros e, cada vez mais, modelos e serviços de inteligência artificial.

O CRA passa a integrar um conjunto mais amplo de regulamentações digitais e de cibersegurança da União Europeia, ao lado de normas como NIS2, DORA, Data Act e AI Act. Para empresas que vendem produtos digitais no mercado europeu, o desafio passa também pela coordenação das diferentes obrigações regulatórias e pela identificação de requisitos que podem se sobrepor.