CRA em outubro: transformar o reporte de 24 e 72 horas numa operação

O marco já passou

A página da Comissão, atualizada em 11 de setembro de 2026, confirma a aplicação do reporte dos fabricantes desde essa data. Em 5 de outubro, o problema operacional deixou de ser preparar um calendário: é conseguir comunicar enquanto a investigação ainda está aberta.

Comece pelo fabricante e pelo produto

O CRA abrange produtos digitais conectáveis disponibilizados no mercado, com exclusões. Fabricante inclui quem comercializa em nome próprio; o artigo 69.º abrange também produtos anteriores no reporte. Não basta ser utilizador de software.

A orientação não vinculativa anunciada pela Comissão em 27 de julho clarifica âmbito, alterações substanciais, suporte e reporte. Use-a para preparar perguntas, não para substituir a lei.

Fixe o momento de conhecimento

O artigo 14.º distingue vulnerabilidade ativamente explorada de incidente grave que afete a segurança do produto. Não exige este reporte para toda a vulnerabilidade ou para qualquer incidente; a triagem deve justificar o gatilho aplicável.

A Comissão resume dois limites máximos desde a tomada de conhecimento: alerta em 24 horas e notificação em 72 horas. Ambos exigem atuação sem demora injustificada; a segunda janela não começa após a primeira.

Na prática proposta pela Velqory, registe a hora, o fuso horário, a pessoa que recebeu a informação e a evidência que fundamenta a qualificação. Distinga uma hipótese ainda em triagem de um evento que satisfaz os critérios legais. Não use a aprovação interna como forma de deslocar artificialmente o início.

Se faltarem versões afetadas ou extensão do impacto, abra campos «desconhecido», com uma pergunta concreta, responsável e momento de atualização. Não invente precisão nem aguarde a atribuição de um atacante. A recolha adicional deve correr em paralelo com a preparação dos elementos disponíveis.

Prepare as pessoas, não registos preventivos

A ENISA confirma que a SRP está operacional desde 11 de setembro. A orientação de registo, atualizada em 12 de setembro, exige EU Login com MFA, permite comunicar enquanto a validação está pendente e aconselha registar na SRP quando existir uma notificação concreta, não preventivamente.

A Velqory recomenda preparar contactos, autorização interna e capacidade de autenticação antes do caso. Não faça submissões fictícias numa plataforma oficial para testar uma checklist. Leia o procedimento vigente, determine o destinatário adequado e ensaie internamente com documentos de treino.

A orientação de submissão distingue guardar um rascunho de submeter. Guarde o identificador, a confirmação e o estado recebido; um ficheiro preparado ou um ecrã preenchido não são comprovativos de envio.

Matriz de ação para o caso concreto

Esta matriz é uma proposta original da Velqory. Os marcos legais vêm das fontes; os responsáveis e critérios de aceitação são escolhas operacionais a adaptar. Cada linha deve produzir um registo consultável por quem substitui o titular.

Dois relatórios finais, dois relógios

Na vulnerabilidade, o final vence até 14 dias após disponibilizar medida corretiva ou de atenuação; no incidente grave, um mês após a apresentação da notificação de 72 horas. Aplicam-se as ressalvas sobre informação já fornecida.

A recomendação Velqory é manter um campo separado para o acontecimento que inicia cada prazo final. Quem disponibiliza uma mitigação deve avisar o responsável de reporte e guardar quando e como ficou acessível. O encerramento técnico e o encerramento documental são decisões diferentes.

Não antecipe o regime dos stewards

A Comissão situa o reporte dos stewards em 11 de dezembro de 2027. O artigo 24.º limita-o ao desenvolvimento e aos incidentes que afetem os sistemas fornecidos para esse desenvolvimento.

Um dossier, avaliações separadas

O procedimento proposto deve abrir avaliações distintas para CRA, dados pessoais e segurança dos serviços. Não presuma que uma comunicação CRA resolve RGPD ou NIS2. Esta peça não determina autoridades portuguesas, obrigações nacionais ou o enquadramento de uma entidade específica.

A perspetiva Velqory é reduzir dependências pessoais: outro elemento da equipa deve conseguir reconstruir o caso, os desconhecidos, as decisões e os comprovativos. Faça um exercício interno e registe falhas observadas; não declare conformidade ou eficácia antes de as verificar.