CRA: faltam duas semanas para o reporte — faça um ensaio que comece no sinal real

O sinal e os factos que mudam a decisão

As obrigações de reporte do artigo 14.º do Cyber Resilience Act aplicam-se a partir de 11 de setembro de 2026. O primeiro aviso pode ser devido em 24 horas e a notificação principal em 72 horas após o fabricante tomar conhecimento de uma vulnerabilidade ativamente explorada ou de um incidente grave abrangido.

O gatilho jurídico não é a mera existência de uma vulnerabilidade: é necessário avaliar os conceitos e condições do artigo 14.º para o produto abrangido. Os marcos de 24 e 72 horas contam do conhecimento relevante do fabricante, pelo que a receção e o escalamento internos precisam de timestamps fiáveis.

A obrigação de 2026 antecede a aplicação geral das principais regras do CRA em dezembro de 2027 e pode alcançar produtos já colocados no mercado. Reportar todos os CVE cria ruído e possíveis declarações erradas; esperar por certeza total pode falhar o prazo. A organização precisa de um limiar documentado, atualização progressiva e separação entre factos confirmados, atribuições e hipóteses.

Decisão, limites e condição de bloqueio

O ensaio deve começar com um sinal incompleto recebido por suporte, investigador, fornecedor ou telemetria e obrigar a equipa a decidir produto, versão, exploração, impacto, território, relógio e conteúdo. Um exercício que começa com o formulário já preenchido não testa a obrigação real.

Reportar todos os CVE cria ruído e possíveis declarações erradas; esperar por certeza total pode falhar o prazo. A organização precisa de um limiar documentado, atualização progressiva e separação entre factos confirmados, atribuições e hipóteses.

Execução e prova de conclusão

A execução deve começar por inventariar produtos em âmbito, donos, contactos, canais de vulnerabilidade, fornecedores, versões, países e acessos à plataforma de reporte. Depois, simular receção fora de horas, triagem jurídica e técnica, decisão do relógio, primeiro aviso, notificação e atualização corretiva. O fecho exige cronometrar cada transferência e corrigir lacunas de dados, autoridade, substituição ou contacto antes de 11 de setembro.

O ensaio passa quando um alerta realista chega ao responsável certo, o gatilho é decidido e justificado, a submissão de teste fica pronta dentro do prazo interno e toda a cronologia pode ser reconstruída sem memória oral.

• inventariar produtos em âmbito, donos, contactos, canais de vulnerabilidade, fornecedores, versões, países e acessos à plataforma de reporte.
• simular receção fora de horas, triagem jurídica e técnica, decisão do relógio, primeiro aviso, notificação e atualização corretiva.
• cronometrar cada transferência e corrigir lacunas de dados, autoridade, substituição ou contacto antes de 11 de setembro.
• O ensaio passa quando um alerta realista chega ao responsável certo, o gatilho é decidido e justificado, a submissão de teste fica pronta dentro do prazo interno e toda a cronologia pode ser reconstruída sem memória oral.