CRA: um produto antigo não fica fora do reporte

Duas transições que não devem ser confundidas

O Regulamento (UE) 2024/2847 estabelece no artigo 71 a aplicação do artigo 14 desde 11 de setembro de 2026. O artigo 69(3) inclui nas obrigações de reporte os produtos com elementos digitais, abrangidos pelo regulamento, colocados no mercado antes de 11 de dezembro de 2027. A idade do produto, por si só, não resolve a análise.

Esta regra não significa que todos os restantes requisitos passem imediatamente a aplicar-se a cada produto antigo. A transição do artigo 69 distingue essa situação. A orientação anunciada pela Comissão em 27 de julho de 2026 é não vinculativa: ajuda a interpretar a aplicação, mas não substitui o texto legal.

A FAQ da ENISA, consultada em 6 de setembro, torna outra distinção operacional explícita. Segundo a pergunta 13, não há reporte retrospetivo obrigatório de exploração ativa de que o fabricante já tinha conhecimento antes de 11 de setembro. Se o conhecimento surgir depois, a obrigação pode aplicar-se mesmo que a vulnerabilidade já existisse ou fosse conhecida. A FAQ está marcada como atualizada; não lhe atribuímos uma data de alteração não demonstrada.

Prepare uma cronologia que sobreviva à passagem de turno

A recomendação Velqory é preparar uma ficha por família de produto. Inclua entidade fabricante, versões, mercados, componentes relevantes, responsável de segurança e contacto substituto. O inventário comercial deve conversar com o de manutenção: uma linha retirada do catálogo pode continuar instalada em clientes.

No registo de eventos, crie campos diferentes para a primeira notícia da vulnerabilidade e para a evidência de exploração. Conserve a origem, a hora de receção, quem analisou e qual informação mudou a avaliação. A hora em que a direção aprova uma comunicação não deve apagar a cronologia anterior. Quando o caso for ambíguo, encaminhe-o para análise técnica e jurídica documentada, sem fabricar certeza nem atrasar a triagem à espera de uma narrativa perfeita.

Um exercício de mesa pode usar três cartões hipotéticos. Não pressupõe um incidente real nem exige submeter notificações de teste no canal oficial.

• Produto colocado no mercado em 2025: verificar primeiro se está no âmbito do CRA; não o excluir apenas pelo ano de venda.
• Vulnerabilidade conhecida em agosto, evidência de exploração recebida depois de 11 de setembro: avaliar o evento pelo conhecimento da exploração, não pela data antiga do CVE.
• Exploração já conhecida antes do arranque: preservar a prova dessa cronologia e avaliar novos factos separadamente; não tratar a transição como dispensa geral de resposta.

Perspetiva Velqory: o inventário decide antes do formulário

A decisão de gestão desta semana é identificar quem junta produto, evidência e responsabilidade. Ter acesso ao formulário não resolve a falta de um dono para uma versão antiga. Para empresas portuguesas que desenvolvem ou comercializam produtos digitais, a preparação deve separar o papel jurídico de cada entidade das funções técnicas de quem recebe o alerta.

Não concluímos que uma empresa concreta está abrangida, nem que qualquer notícia de vulnerabilidade obriga a reportar. A aplicação depende do produto, do papel da entidade e das condições legais do evento; incidentes graves têm também o seu próprio enquadramento no artigo 14. A plataforma está prevista para 11 de setembro: esta análise não afirma que já está operacional.

Fontes e validade: artigos 14, 69 e 71 do CRA, FAQ da ENISA e páginas oficiais da Comissão, consultados em 6 de setembro de 2026. Reavaliar no arranque da plataforma e sempre que a orientação mude. A triagem proposta não substitui aconselhamento jurídico para o caso individual.