Comparação de fornecedores de reporte de vulnerabilidades para o Cyber Resilience Act (CRA)

• O reporte de vulnerabilidades CRA é obrigatório a partir de 11 de setembro de 2026
• Apenas alguns fornecedores publicam preços e detalhes incluídos
• A representação cobre a transmissão das notificações, não a avaliação técnica
• Compare exclusões, renovações e processos de verificação
• Multas por não reporte podem chegar a €15 milhões ou 2,5% do faturamento
• O mandato do representante não cobre assessment, SBOM ou suporte técnico

Atualizado 21 October 2026 · 12 fontes verificadas

Provedores comparados

Preços conforme publicados no site de cada provedor em 21 October 2026, excluindo IVA, a menos que indicado. Cada linha liga à sua fonte.

O que a lei exige: obrigações, artigos e prazos

O Cyber Resilience Act (CRA), Regulamento (UE) 2024/2847, impõe obrigações rigorosas para quem coloca no mercado da UE produtos com elementos digitais, tanto hardware quanto software, independentemente do local de estabelecimento. As principais obrigações são:

• Nomeação de um representante autorizado (Art. 18): Se o fabricante não estiver estabelecido na UE, deve designar por escrito um representante na União. Este representante é responsável pela transmissão das notificações de vulnerabilidades e incidentes graves às autoridades competentes (CSIRT, ENISA).
• Reporte de vulnerabilidades (Art. 14): A partir de 11 de setembro de 2026, todo fabricante deve reportar em até 24 horas após tomar conhecimento de uma vulnerabilidade ativamente explorada ou de um incidente grave que impacte a segurança do produto. A notificação deve ser feita via plataforma ENISA e direcionada ao CSIRT coordenador.
• Notificação completa e relatório final: Em até 72 horas após a notificação inicial, deve ser fornecida uma notificação detalhada com as primeiras medidas corretivas. Em 14-30 dias, deve ser enviado um relatório final com detalhes sobre a vulnerabilidade e a solução adotada.
• Aplicação a todos os produtos digitais: A obrigação abrange tanto produtos novos quanto já presentes no mercado, cobrindo o ciclo de vida completo, incluindo atualizações e suporte.
• Sanções: O não cumprimento pode resultar em multas de até €15 milhões ou 2,5% do faturamento global, o que for maior.

É fundamental distinguir entre o reporte CRA (vulnerabilidades de produto) e outras obrigações como GDPR (violação de dados pessoais) ou NIS2 (incidentes de serviço). Cada regime tem destinatários, prazos e plataformas diferentes.

Como escolher o fornecedor: critérios práticos e riscos

A escolha do fornecedor para o reporte de vulnerabilidades CRA deve ser baseada em critérios práticos e transparentes. Aqui estão os pontos-chave a avaliar:

• Preço publicado e transparente: Prefira fornecedores que declaram claramente o preço e o custo de renovação. Evite ofertas com preços "introductórios" ou renovações ocultas.
• O que está incluído: Verifique se o serviço cobre apenas o mandato representante e o encaminhamento das notificações, ou se oferece também suporte técnico, documentação, SBOM ou workflows avançados. A maioria dos fornecedores limita-se à representação legal.
• Certificado verificável: Um certificado com QR code e página pública de verificação reduz o risco de contestações durante auditorias ou incidentes.
• Atendimento 24/7: O reporte deve ser possível a qualquer momento, incluindo noites, fins de semana e feriados. Pergunte explicitamente se o atendimento é operacional o ano todo.
• Idioma e tempos de resposta: Assegure que o fornecedor possa atender solicitações em inglês e, se necessário, em outras línguas da UE. Tempos de encaminhamento superiores a 24 horas podem comprometer a conformidade.
• Exclusões e limites: Nenhum representante cobre assessment técnico, testes de segurança, geração de SBOM ou suporte de engenharia: esses permanecem a cargo do fabricante ou fornecedores especializados.

Sempre avalie a clareza das exclusões: um fornecedor que não as explicita pode não ter definido bem o escopo do serviço.

O que o preço realmente inclui: tabela comparativa e análise

A maioria dos fornecedores oferece o mandato representante e o encaminhamento das notificações, mas poucos cobrem serviços técnicos adicionais. Veja uma tabela comparativa:

A diferença substancial entre os fornecedores "clássicos" (REP27, kadano, Euverify) e os que oferecem serviços mais amplos (Attestra AI, Seentrix, Illicium) é que os primeiros limitam-se às obrigações mínimas legais, enquanto os segundos propõem também workflows de segurança, SBOM automatizados ou pentesting. No entanto, para a conformidade apenas com os Art. 18 e 14 do CRA, basta o mandato representante e a garantia de encaminhamento rápido das notificações.

Atenção: o preço publicado cobre somente o que está explicitamente declarado. Serviços técnicos adicionais costumam ser cotados separadamente e podem ser muito mais caros.

Custos ocultos, exclusões e o que os fornecedores não dizem

Muitos fornecedores não publicam o preço de renovação ou aplicam taxas adicionais para solicitações fora do horário, emissão de certificados extras ou suporte em idiomas diferentes do inglês. Veja o que considerar:

• Renovações: Sempre solicite o preço de renovação por escrito antes de assinar. REP27 publica claramente (€440), outros comunicam apenas sob consulta.
• Exclusões: Nenhum fornecedor cobre assessment de conformidade, testes de segurança, geração de SBOM ou suporte de engenharia. Esses serviços são separados e geralmente muito mais caros que o mandato representante.
• Limites de responsabilidade: Os fornecedores não assumem responsabilidade por erros técnicos, não notificação pelo cliente ou pela gestão das vulnerabilidades em si.
• Período de aviso: Alguns fornecedores podem exigir aviso prévio para cessação do serviço ou troca de representante. Sempre verifique as condições contratuais.
• Taxas por solicitação: Na ausência de informações públicas, pergunte se há custos para solicitações extras, emissão de novos certificados ou suporte emergencial.

Tabela decisória:

Em resumo, clareza sobre exclusões e custos ocultos é fundamental para evitar surpresas e garantir plena conformidade.

Como funciona a nomeação: passo a passo e checklist prático

A nomeação do representante CRA segue alguns passos-chave. Aqui está um guia detalhado:

1. Verifique a obrigação: Você é fabricante de produtos digitais (hardware/software) vendidos na UE e não tem sede na União? Se sim, está sujeito à obrigação.
2. Escolha o fornecedor: Compare preços, inclusões, exclusões e processos de verificação. Prefira fornecedores com atendimento 24/7 e certificado publicamente verificável.
3. Assine o mandato: O mandato deve ser escrito, assinado pela pessoa jurídica do fornecedor (ex.: Europe Services, SE para REP27), e limitado às obrigações do Art. 18. Evite mandatos que pretendam cobrir também o Art. 13.
4. Receba o certificado: O fornecedor emite um certificado de nomeação, preferencialmente com QR code e página de verificação online.
5. Prepare o runbook interno: Inclua os dados do representante, o procedimento de escalonamento e os contatos para reporte na documentação interna.
6. Configure o canal de reporte: Prepare um canal interno para coletar notificações de vulnerabilidades e incidentes, com pelo menos duas pessoas nomeadas como submitters na plataforma ENISA.
7. Treine a equipe: Garanta que o pessoal saiba o que e quando reportar, e que os procedimentos sejam testados em simulações.

Checklist prático:

1. Você identificou as classes de produto e seu destino na UE?
2. Mapeou todos os canais de venda e distribuição?
3. Escolheu um fornecedor com atendimento 24/7 e preço de renovação transparente?
4. Escreveu os procedimentos de escalonamento e reporte?
5. Nomeou pelo menos dois submitters na plataforma ENISA?
6. Testou o fluxo de reporte com uma simulação?

Seguindo esses passos, você minimiza o risco de não conformidade e sanções.

Riscos, multas e cenários reais: o que pode acontecer na prática

A não notificação de uma vulnerabilidade em até 24 horas pode acarretar sanções de até €15 milhões ou 2,5% do faturamento global, além de danos reputacionais e bloqueio das vendas na UE. Aqui estão três cenários realistas para esclarecer como as obrigações se aplicam:

• SaaS dos EUA: Uma empresa SaaS americana que oferece serviços a clientes da UE deve nomear um representante CRA, ativar um canal de reporte 24/7 e reportar toda vulnerabilidade explorada. O fornecedor representante encaminha as notificações via ENISA e responde às autoridades.
• Vendedor Amazon da China: Se o vendedor também for fabricante do produto digital, deve nomear um representante CRA e cumprir os prazos de reporte. Se for apenas revendedor, a obrigação recai sobre o fabricante. O canal de reporte deve estar pronto a partir de 11 de setembro de 2026.
• Loja online do Reino Unido: Uma loja online britânica que vende dispositivos com firmware a clientes da UE deve nomear um representante CRA. Se oferece apenas serviços não digitais, não está sujeita à obrigação. Em caso de incidente, o reporte deve ocorrer em até 24 horas, mesmo que a sede esteja fora da UE.

Em todos os casos, a falta de preparação (ausência de runbook, canal de reporte não testado, representante não verificável) pode atrasar a resposta e agravar as consequências legais e econômicas.