Àngela Vercher
Marketing Manager Iberia
Àngela Vercher é gestora de marketing com experiência no setor da conformidade e da regulamentação. Na Formalize, lidera a área de marketing para a Península Ibérica, ajudando os profissionais das áreas de conformidade, risco e segurança a manterem-se a par da regulamentação e a encontrarem soluções práticas para os seus desafios quotidianos.
Conclusões principais:
Desde 11 de setembro de 2026, os fabricantes de produtos com elementos digitais devem enviar um aviso prévio no prazo de 24 horas após tomarem conhecimento de uma vulnerabilidade ativamente explorada ou de um incidente grave que afete a segurança do seu produto.
Esta obrigação recai sobre os fabricantes e abrange os produtos já presentes no mercado da UE. O SaaS puro está, em geral, fora do âmbito de aplicação da CRA, tal como os produtos abrangidos pelas respetivas regras setoriais, tais como dispositivos médicos e veículos.
A CRA acrescenta uma obrigação de notificação; não substitui nenhuma outra. A notificação de violações no prazo de 72 horas prevista no RGPD continua a aplicar-se, e a NIS2 tem o seu próprio aviso prévio de 24 horas para incidentes significativos.
Em Espanha, a NIS2 ainda não foi transposta para a legislação nacional, pelo que o Decreto-Lei Real n.º 12/2018 continua a ser, por enquanto, o framework para a notificação de incidentes.
As equipas mais bem posicionadas para cumprir estes prazos acordaram antecipadamente como um incidente é classificado, quem toma a decisão e onde essa decisão é registada.
As notícias recentes em Espanha resumem a situação de forma simples: as empresas têm agora 24 horas para comunicar um ciberataque. É uma notícia útil, mas simplificada. O Regulamento de Ciber-Resiliência (CRA), Regulamento (UE) n.º 2024/2847, está em vigor desde dezembro de 2024, mas a primeira obrigação aplicável aos fabricantes — o dever de comunicar determinadas vulnerabilidades e incidentes — só entrou em vigor a 11 de setembro de 2026. A maior parte do regulamento, incluindo a marcação CE e os requisitos essenciais de cibersegurança, entra em vigor a 11 de dezembro de 2027. O que mudou em setembro é mais restrito do que “todas as empresas, todos os ataques” e, em alguns aspetos, mais exigente, porque se sobrepõe às obrigações de notificação que muitas organizações já têm.
O que mudou a 11 de setembro
O artigo 14.º da CRA exige que os fabricantes comuniquem dois tipos de eventos: vulnerabilidades ativamente exploradas nos seus produtos e incidentes graves que afetem a segurança desses produtos. Os fabricantes enviam cada relatório através da Plataforma Única de Notificação da Agência da União Europeia para a Cibersegurança (ENISA), e este chega simultaneamente à ENISA e à Equipa Nacional de Resposta a Incidentes de Segurança Informática (CSIRT) designada como coordenadora. A plataforma entrou em funcionamento no mesmo dia em que a obrigação entrou em vigor.
A elaboração de relatórios decorre em três fases:
Fase | Prazo | Conteúdo |
|---|---|---|
Alerta precoce | No prazo de 24 horas após ter tido conhecimento | Um primeiro alerta, incluindo os Estados-Membros da UE em que o produto está disponível |
Notificação | No prazo de 72 horas | Informações mais pormenorizadas e uma avaliação inicial |
Relatório final | 14 dias após a disponibilização de uma correção ou medida de mitigação (vulnerabilidades), ou um mês após a notificação (incidentes graves) | Uma descrição completa, a causa e as medidas adotadas |
Os fabricantes têm também de informar os utilizadores afetados e, quando apropriado, todos os utilizadores, para que estes se possam proteger. No entanto, esta obrigação não tem efeito retroativo: de acordo com as orientações da Comissão Europeia, os fabricantes não têm de comunicar retroativamente as vulnerabilidades de que já tinham conhecimento antes de 11 de setembro.
A quem se aplica e a quem não se aplica
A obrigação de assistência 24 horas por dia recai sobre os fabricantes de produtos com componentes digitais, o que abrange a maior parte do hardware e do software que se liga a um dispositivo ou a uma rede. Aplica-se aos produtos já presentes no mercado da UE, e não apenas aos novos lançamentos.
Há três limites que são fáceis de ignorar:
O SaaS puro está, em geral, fora do âmbito de aplicação. A CRA regula produtos, não serviços. Os serviços na nuvem utilizados sem qualquer componente instalado podem, em vez disso, ser abrangidos pela Diretiva NIS2, dependendo do prestador, embora os clientes instaláveis, os agentes ou o tratamento remoto de dados de que um produto dependa possam fazer com que uma oferta volte a ser abrangida pelo âmbito de aplicação.
Alguns setores têm as suas próprias regras. Os produtos já regidos por legislação da UE específica do setor, tais como dispositivos médicos e veículos, estão excluídos do CRA.
Os pequenos fabricantes continuam a ter de apresentar relatórios. De acordo com a Comissão Europeia, as microempresas e as pequenas empresas não podem ser multadas por não cumprirem o prazo de 24 horas para o aviso prévio, mas a obrigação em si aplica-se-lhes na íntegra
Para as organizações que adquirem software em vez de o desenvolverem, a responsabilidade pela comunicação de informações recai sobre os seus fornecedores. Isso não significa que seja irrelevante. Uma notificação da CRA por parte de um fornecedor é exatamente o tipo de sinal que deve ser integrado nos seus próprios processos de gestão de risco de fornecedores e de gestão de incidentes.
Um incidente, três prazos
É aqui que a comparação com a legislação em matéria de proteção de dados fica aquém. O Regulamento Geral sobre a Proteção de Dados (RGPD) concede às organizações 72 horas para notificar uma violação de dados pessoais, e é tentador interpretar a CRA como se esse prazo tivesse sido reduzido para 24 horas. Na prática, ambos os prazos decorrem em paralelo, sendo desencadeados por eventos diferentes e dirigidos a autoridades distintas. Se acrescentarmos a NIS2 para as organizações abrangidas pelo seu âmbito de aplicação, um único incidente pode dar início a três prazos distintos.
Imagine uma empresa de software de média dimensão em Espanha. Um atacante explora uma vulnerabilidade num dos seus produtos instalados, utiliza-a para aceder aos próprios sistemas de apoio da empresa e copia os dados de contacto dos clientes. Em poucas horas, essa empresa poderá ter de lidar com um alerta precoce da CRA relativo à vulnerabilidade explorada, uma notificação ao abrigo do RGPD relativa aos dados pessoais envolvidos e, dependendo de se enquadrar ou não nas regras nacionais da NIS, uma notificação relativa a um incidente significativo que afeta os seus serviços.
CRA | A NIS 2 | RGPD | |
|---|---|---|---|
O que desencadeia a comunicação | Uma vulnerabilidade ativamente explorada ou um incidente grave que afete a segurança do produto | Um incidente significativo que afete os serviços de uma entidade abrangida | Uma violação de dados pessoais suscetível de implicar um risco para as pessoas singulares |
Quem comunica | Os fabricantes de produtos com elementos digitais | As entidades essenciais e importantes | Os responsáveis pelo tratamento |
Primeiro prazo | Pré-alerta em 24 horas | Pré-alerta em 24 horas | Notificação em 72 horas |
Destinatário | A Plataforma Única de Comunicação da ENISA, para a CSIRT coordenadora e a ENISA | A CSIRT nacional ou a autoridade competente | A autoridade de controlo da proteção de dados; em Espanha, a Agência Espanhola de Proteção de Dados (AEPD) |
Os prazos são a parte visível. A parte difícil surge na primeira hora, quando alguém tem de decidir qual destes regimes se aplica, com base em informação incompleta. Os três relógios começam a contar assim que a organização toma conhecimento do evento, mas cada regime tem a sua própria visão sobre o que é necessário ter em conta. É fácil subestimar essa decisão e, em muitas organizações, os critérios para a tomar não estão registados em lado nenhum.
A camada adicional da Espanha
As organizações espanholas enfrentam mais uma complicação. A Espanha não cumpriu o prazo de outubro de 2024 para transpor a NIS2, e o anteprojeto de lei destinado a fazê-lo, o “Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad”, foi aprovado pelo Conselho de Ministros em janeiro de 2025 e ainda não tinha sido adotado no início de setembro de 2026. Em julho de 2026, a Comissão Europeia remeteu a Espanha ao Tribunal de Justiça da UE devido a este atraso.
Até que a nova lei seja aprovada, o Real Decreto-Lei n.º 12/2018 continua a ser o quadro nacional para a notificação de incidentes. Os pormenores nacionais concretos, tais como a autoridade a notificar e os limiares a respeitar, só serão definidos quando o texto espanhol estiver finalizado. Isto obriga as equipas espanholas a planearem com base numa diretiva cujo conteúdo já está definido e numa lei nacional que ainda não podem consultar. O CRA não tem esse problema: sendo um regulamento da UE, aplica-se diretamente, em Espanha tal como em qualquer outro país da UE.
Será que a UE vai simplificar isto?
Bruxelas está ciente desta sobreposição. No âmbito das suas propostas do Omnibus Digital, a Comissão Europeia propôs um ponto de entrada único para a notificação de incidentes, baseado na plataforma CRA, de modo a que uma única notificação possa cumprir várias obrigações legais em simultâneo. À data da redação deste artigo, trata-se ainda de uma proposta. E mesmo que venha a ser adotada, não determinará, em nome de ninguém, quais os regimes que um incidente desencadeia, nem eliminará a necessidade de cumprir o prazo mais curto aplicável.
Veja como a sua equipa lidaria com a primeira hora
Apresente-nos o seu processo atual de gestão de incidentes, por mais informal que seja neste momento. Preferimos analisar consigo um cenário realista do que descrevê-lo de forma abstrata.
O que caracteriza uma boa preparação
A preparação para esta situação resume-se, essencialmente, a algumas decisões, tomadas com calma, antes que o primeiro incidente real as torne inevitáveis. Na nossa opinião, cinco delas são as mais importantes:
Uma lista de verificação de triagem para os três regimes. Um conjunto breve de perguntas que verifica os critérios de acionamento da CRA, da NIS2 e do RGPD numa única etapa, em vez de três processos separados que começam cada um do zero.
Responsáveis pela tomada de decisão designados, com substitutos. Alguém tem de assumir a responsabilidade pela decisão de notificar, por cada regime, incluindo aos fins de semana e feriados. O relógio de 24 horas não para para nenhum deles.
Trabalho preparatório feito com antecedência. Saiba quais os produtos disponíveis em cada país da UE, registe-se na plataforma da ENISA antes de precisar dela e mantenha atualizados os dados de contacto das autoridades.
Um registo de todas as decisões, incluindo as decisões de não notificar. Quando uma entidade reguladora perguntar posteriormente por que razão um incidente não foi notificado, a justificação já deve existir, não devendo ser reconstruída a partir da memória.
Um ensaio com base num cenário realista. Um exercício de simulação baseado num caso como o acima referido revela rapidamente onde o processo falha.
Como é que o Formalize contribui para isso
Nenhuma plataforma pode decidir por si se um incidente deve ser comunicado, e nós não apresentamos notificações em seu nome. O que o Formalize faz é reunir toda a documentação necessária num único local, para que não tenha de passar a primeira hora à procura dela:
Registos de incidentes com responsáveis identificados e prazos definidos, incluindo a justificação por trás de cada decisão de notificação.
As políticas e os controlos subjacentes à sua resposta a incidentes, com responsabilidades claras, documentadas e mantidas atualizadas.
O seu trabalho relativo à NIS2 e ao RGPD no mesmo sistema, em vez de ferramentas separadas que exigem atualizações individuais.
Registos de fornecedores associados ao seu trabalho de gestão de riscos, para que as notificações de segurança de um fornecedor tenham um destino definido.
É uma empresa de assessoria ou consultoria que está a desenvolver serviços relacionados com o Regulamento de Ciber-Resiliência para os seus clientes? Estamos a colaborar com parceiros que contribuem com os seus conhecimentos técnicos, e o Programa de Parceiros da Formalize é o ponto de partida ideal.
Este artigo tem caráter meramente informativo e não constitui aconselhamento jurídico.