Como reportar vulnerabilidades em até 24 horas segundo o Cyber Resilience Act

• Artigo 14 do CRA: reporte em 24 horas de vulnerabilidades exploradas/incidentes graves.
• O reporte é feito via plataforma da ENISA ao CSIRT coordenador.
• Fabricantes fora da UE devem nomear representante autorizado.
• REP27 — Europe Services, SE: mandato por €490/ano (preço verificado).
• Custos ocultos: engenharia interna, período de suporte, avaliação de conformidade.
• Provedores diferem em preços publicados, inclusões e transparência.

Atualizado 19 October 2026 · 12 fontes verificadas

Provedores comparados

Preços conforme publicados no site de cada provedor em 19 October 2026, excluindo IVA, a menos que indicado. Cada linha liga à sua fonte.

O que o Cyber Resilience Act exige (com números dos artigos)

O Cyber Resilience Act (CRA) é uma regulamentação abrangente que se aplica a todos os produtos com elementos digitais colocados no mercado da UE, sejam hardware ou software (Artigo 1, fonte). Seu objetivo principal é garantir que os produtos sejam projetados, desenvolvidos e mantidos com a cibersegurança como parte integral do ciclo de vida. A lei entrou em vigor em 10 de dezembro de 2024 (Artigo 71(1)), mas a maioria das obrigações, incluindo reporte, passa a ser obrigatória a partir de 11 de setembro de 2026 para o Artigo 14, e integralmente a partir de 11 de dezembro de 2027 (Artigo 71(2)).

Artigo 14 é central para resposta a incidentes: fabricantes devem reportar qualquer vulnerabilidade ativamente explorada ou incidente grave que afete a segurança do produto em até 24 horas após tomar conhecimento. Isso deve ser feito via plataforma da ENISA ao CSIRT coordenador. O relógio começa no momento do conhecimento, não após investigação ou confirmação. Uma notificação completa deve ser enviada em até 72 horas, e um relatório final em até 14 dias. O prazo inclui fins de semana e feriados — não há extensões ou pausas.

Artigo 18 exige que fabricantes fora da UE nomeiem um representante autorizado estabelecido na UE. Este representante atua como rota oficial de reporte e contato para autoridades. Sem isso, o importador ou distribuidor assume a responsabilidade por padrão, o que pode gerar riscos comerciais e de conformidade.

Produtos colocados no mercado antes de 11 de dezembro de 2027 só estão sujeitos ao CRA se sofrerem modificação substancial após essa data (Artigo 69(2)). O não cumprimento pode resultar em multas de até €15 milhões ou 2,5% do faturamento global anual (fonte).

• Artigo 14: reporte em 24 horas de vulnerabilidades exploradas/incidentes graves
• Artigo 18: representante autorizado para fabricantes fora da UE
• Artigo 69(2): regras para produtos legados

Como escolher um representante autorizado CRA

Escolher o representante autorizado CRA correto é fundamental para fabricantes fora da UE. O representante é seu canal oficial para reporte de vulnerabilidades e contato regulatório na UE. Veja os principais fatores a considerar:

• Transparência de preços: Poucos provedores publicam preços verificados. REP27 — Europe Services, SE oferece mandato claro por €490/ano (renovação €440), enquanto kadano lista €999/ano e Euverify £590/ano. Outros exigem orçamento direto.
• Escopo do serviço: Confirme o que está incluído na taxa. O mandato do Artigo 18 é o mínimo, mas alguns provedores oferecem serviços adicionais como monitoramento, retenção de evidências ou documentação de autoavaliação (veja CRAguard, ProvenVEX, SECURiMENT).
• Exclusões: Nenhum provedor listado inclui avaliação de conformidade, testes de segurança ou geração de SBOM na taxa do mandato. Estes são custos separados de engenharia ou organismos notificados.
• Certificado e verificação: Procure provedor que ofereça certificado verificável (REP27 fornece QR code e página pública de verificação).
• Termos de renovação: Garanta que o preço de renovação esteja declarado por escrito antes de pagar a primeira fatura. Renovações silenciosas ou pouco claras são comuns neste mercado.
• Processo de resposta: Pergunte como são tratadas solicitações das autoridades, em quais idiomas e em quais horários. Um atendimento 24/7 é essencial para cumprir o prazo de 24 horas.

Abaixo, comparação do que é incluído e excluído por cada provedor, com base em informações públicas:

Sempre solicite contrato escrito listando inclusões, exclusões e termos de renovação.

O que o preço realmente inclui

Entender o que está (e o que não está) incluído no preço publicado é crucial para orçamento e planejamento de conformidade. A taxa do mandato do Artigo 18 normalmente cobre apenas a nomeação legal e operação de um atendimento para reporte na UE. Veja o que isso significa na prática:

• Mandato e atendimento: O representante está autorizado a atuar como seu contato oficial para reporte de vulnerabilidades. Para REP27, isso inclui atendimento 24/7, gestão do canal CSIRT/ENISA e certificado verificável com QR code. Kadano e Euverify oferecem mandatos similares, mas não especificam recursos adicionais em suas páginas públicas.
• Serviços integrados: Alguns provedores (CRAguard, ProvenVEX, SECURiMENT) oferecem serviços extras como monitoramento de dependências, retenção de evidências ou fluxos de resposta a incidentes. Porém, esses não têm preços públicos e podem envolver custos adicionais significativos.
• O que não está incluído: Nenhum provedor nesta comparação inclui avaliação de conformidade, testes de segurança ou geração de SBOM. São custos separados, muitas vezes substanciais, tratados por organismos notificados ou equipe técnica interna.
• Preço de renovação: Apenas REP27 publica preço de renovação (€440/ano), inferior ao da primeira contratação. Kadano e Euverify não divulgam termos de renovação publicamente.

Ao comparar provedores, sempre peça detalhamento do que está incluído no preço e o que gerará cobranças extras. Alguns podem oferecer representação combinada para GDPR Artigo 27 ou NIS2 por taxa unificada (REP27: €690/ano para CRA+GDPR, €990/ano para CRA+GDPR+NIS2).

Tabela resumo:

Custos ocultos e exclusões

Embora a taxa do mandato do representante seja geralmente o menor item na conformidade com o CRA, custos ocultos e exclusões podem ser significativos:

• Tempo de engenharia interna: Autoavaliação, documentação e preparação de SBOMs são obrigatórios, mas não incluídos na taxa do representante. Essas tarefas exigem recursos técnicos dedicados.
• Período de suporte: O CRA exige pelo menos cinco anos de atualizações de segurança para a maioria dos produtos. Orce manutenção contínua como linha de produto, não projeto único.
• Avaliação de conformidade: Para produtos importantes classe II ou críticos, avaliação por organismo notificado é necessária. Pode custar milhares de euros e levar meses. Nenhum representante absorve esse custo.
• Detecção de incidentes: O representante não monitora seus sistemas para vulnerabilidades. Sua equipe de segurança é responsável pela detecção e triagem inicial.
• Taxas por incidente ou solicitação: Embora REP27 declare não cobrar taxas extras por solicitações, outros provedores podem cobrar por serviços adicionais ou gestão de incidentes. Sempre esclareça isso por escrito.
• Limites de responsabilidade: Provedores normalmente limitam responsabilidade ao escopo do mandato. Não são responsáveis por relatórios perdidos devido a falhas internas suas.
• Períodos de aviso e termos de renovação: Renovações silenciosas ou pouco claras podem causar custos inesperados ou lapsos na cobertura. REP27 publica preços e termos de renovação; outros podem não fazê-lo.

O que provedores geralmente não dizem:

• O mandato não cobre detecção de vulnerabilidades, correções ou notificação aos usuários — isso continua sua responsabilidade.
• Solicitações de documentação das autoridades podem atrasar se seu runbook estiver incompleto ou equipe despreparada.
• Mudar de provedor pode ser complexo se seu mandato não estiver claramente limitado ao Artigo 18(3).

Sempre solicite lista de exclusões e confirme todos os termos por escrito antes de assinar.

Como funciona a nomeação: passo a passo

Nomear um representante autorizado CRA é um processo estruturado. Veja como funciona na prática, com passos concretos e dicas:

1. Determine seu status: Você é fabricante de produto com elementos digitais colocado no mercado da UE? Se sim, prossiga. Se for apenas importador ou distribuidor, verifique se está colocando o produto sob seu próprio nome.
2. Verifique sua presença: Se não tiver entidade legal na UE, deve nomear representante autorizado. Se tiver subsidiária na UE atuando como fabricante, reporte diretamente.
3. Selecione um provedor: Compare provedores com base em preços publicados, escopo e transparência. REP27, kadano e Euverify publicam preços; outros fornecem detalhes sob consulta.
4. Assine mandato escrito: O provedor (ex.: REP27) emite carta de designação assinada, geralmente com assinatura eletrônica eIDAS e certificado verificável. Confirme que o mandato é limitado às obrigações do Artigo 18(3).
5. Atualize documentação de conformidade: Inclua dados do representante em seus arquivos técnicos, runbook e documentação exigida pelo CRA.
6. Configure processo de reporte: Nomeie pelo menos dois responsáveis com acesso à plataforma ENISA. Prepare templates de aviso prévio e notificação com antecedência.
7. Defina gatilhos e processo interno: Documente o que constitui conhecimento de vulnerabilidade explorada ou incidente grave. Decida quem pode declarar e quais evidências são necessárias (ex.: exploração observada, relatório confiável de cliente).
8. Registre evidências: Guarde registros de data/hora do conhecimento, envio e atualizações. Isso é prova para eventuais auditorias.
9. Prontidão contínua: Treine equipe, teste processo de reporte e revise runbook regularmente.

Esse processo garante estar pronto para cumprir o prazo de 24 horas e evitar falhas na conformidade.

Riscos e multas

Os riscos do não cumprimento do CRA são substanciais, financeiros e operacionais:

• Multas: O não cumprimento pode resultar em multas administrativas de até €15 milhões ou 2,5% do faturamento global anual, o que for maior. Penalidades aplicam-se a prazos perdidos, não nomear representante ou resposta inadequada a incidentes (fonte).
• Riscos operacionais: Atrasos no reporte podem levar a investigações regulatórias, recalls de produtos ou bloqueios de acesso ao mercado. Compras e distribuição podem ser bloqueadas se não houver representante válido na UE.
• Dano reputacional: Falhar em notificar usuários ou autoridades rapidamente pode gerar publicidade negativa e perda de confiança do cliente.
• Disrupção interna: Sem processo claro de reporte, horas valiosas podem ser perdidas durante incidente, aumentando risco e custo.

Exemplos do que pode dar errado:

• Perder as primeiras horas de um incidente tentando identificar CSIRT correto ou rota de reporte, desperdiçando tempo precioso.
• Solicitações de documentação chegando a escritório em outro fuso horário, causando atrasos na resposta.
• Distribuidor sendo tratado como rota de reporte por padrão, perdendo controle do manejo do incidente.
• Lapsos silenciosos na cobertura do mandato devido a termos de renovação pouco claros.

Mitigue esses riscos nomeando representante transparente e responsivo e mantendo processo interno robusto.

Matriz de decisão: você precisa de representante CRA?

Use a matriz abaixo para determinar se precisa de representante autorizado CRA conforme seu modelo de negócio e localização:

Sempre verifique seu status e obrigações antes de nomear representante.

Checklist: passos para conformidade com reporte em 24 horas CRA

1. Identifique se seu produto é coberto pelo CRA (elemento digital, mercado UE).
2. Confirme se é o fabricante (não apenas importador/distribuidor).
3. Se fora da UE, nomeie representante autorizado CRA e obtenha mandato assinado.
4. Documente dados do representante em arquivos técnicos e registros de conformidade.
5. Configure canal de atendimento 24/7 para reporte de vulnerabilidades (interno ou via representante).
6. Nomeie pelo menos dois responsáveis com acesso à plataforma ENISA.
7. Pré-escreva templates de aviso prévio e notificação para preenchimento rápido.
8. Treine equipe sobre gatilhos de reporte e resposta em 24 horas.
9. Defina e documente evidências necessárias para "tomar conhecimento" de vulnerabilidade ou incidente.
10. Registre todos os timestamps relevantes para prova de conformidade e auditoria.
11. Revise e atualize runbook e processo de reporte regularmente.

Seguir essa checklist ajuda a evitar falhas comuns de conformidade.

Cenários realistas: qual obrigação se aplica?

• Empresa SaaS dos EUA vendendo para UE: Como fabricante fora da UE, deve nomear representante autorizado CRA (ex.: REP27) para atuar como rota de reporte. Configure canal 24/7 e garanta pelo menos dois funcionários para envio via plataforma ENISA. Prepare templates de aviso prévio e documente processo para determinar quando vulnerabilidade está ativamente explorada.
• Vendedor chinês na Amazon (marca própria): Se fabricar e vender produtos digitais com marca própria para compradores da UE, precisa de representante CRA. Se apenas revender marcas de terceiros, não precisa. Nomeie representante, atualize arquivos de conformidade e prepare-se para reporte em 24 horas.
• Loja online do Reino Unido com dispositivo IoT próprio: Se vender diretamente a consumidores da UE, é fabricante e deve nomear representante CRA. Se vender só no Reino Unido, o CRA não se aplica. Se usar distribuidor da UE que coloca produto no mercado sob seu próprio nome, ele assume responsabilidade.

Em todos os casos, a rota mais simples e conforme é nomear representante transparente e preço fixo, documentar processo de reporte e treinar equipe antes da data de aplicação da lei.