Provedores para Relatório de Vulnerabilidades em 24 Horas: Visão Geral do Mercado & Preços (2026)

• Obrigação de relatório em 24h válida a partir de 11.09.2026 para fabricantes de produtos digitais (CRA Art. 14)
• REP27, kadano e Euverify oferecem representação correspondente
• Preços: REP27 a partir de EUR 490/ano, kadano EUR 999/ano, Euverify GBP 590/ano
• Serviços variam: mandato, canal de reporte, sem análise técnica ou criação de SBOM
• Não obrigatório para importadores, distribuidores ou vendedores apenas em marketplaces

Atualizado 26 October 2026 · 4 fontes verificadas

Provedores comparados

Preços conforme publicados no site de cada provedor em 26 October 2026, excluindo IVA, a menos que indicado. Cada linha liga à sua fonte.

O que a lei exige? (CRA Art. 14, Art. 18)

O Regulamento Europeu Cyber Resilience Act (CRA) obriga, a partir de 11 de setembro de 2026, fabricantes de produtos com elementos digitais a reportar vulnerabilidades ativamente exploradas ou incidentes graves de segurança em até 24 horas após o conhecimento (Artigo 14). O reporte é feito pelo portal central da ENISA e direcionado ao CSIRT competente do Estado-membro. Os prazos são rigorosos: 24 horas para alerta inicial, 72 horas para o primeiro relatório completo e 14 dias para o relatório final. O relógio corre em tempo real – inclusive à noite, fins de semana e feriados.

Fabricantes fora da UE devem nomear um representante autorizado na UE conforme Artigo 18 CRA. Esse representante atua como canal de reporte e contato para autoridades. Sem esse representante, o reporte não é legalmente válido. Importadores, distribuidores e vendedores em marketplaces (ex.: Amazon, Etsy, eBay) que não colocam produtos sob seu próprio nome estão isentos. Projetos open-source não comerciais têm regime de reporte reduzido, mas a obrigação permanece.

• Artigo 14 CRA: alerta em 24h, relatório completo em 72h, relatório final em 14 dias
• Artigo 18 CRA: representante autorizado para fabricantes sem estabelecimento na UE

A definição exata do que é vulnerabilidade sujeita a reporte é crucial: apenas vulnerabilidades ativamente exploradas ou incidentes graves que afetam a segurança do produto geram obrigação. Vulnerabilidades não descobertas ou não exploradas não precisam ser reportadas. O fabricante é responsável pelo cumprimento dos prazos – atrasos ou reportes incorretos podem resultar em sanções severas.

Serviços comparados: o que está incluído, o que não está?

Os provedores diferem bastante na transparência e no escopo dos serviços oferecidos. REP27 é o único que publica todos os preços e lista claramente o que está incluído no mandato e o que não está. O mandato cobre a representação legal conforme Artigo 18 CRA, central 24 horas na Europa, recebimento e encaminhamento de notificações às autoridades competentes e verificação pública do mandato. REP27 não realiza análises técnicas, criação de SBOM, avaliações de conformidade nem testes – essas tarefas são do fabricante ou devem ser contratadas separadamente.

Para kadano e Euverify, os preços são publicados, mas detalhes sobre serviços incluídos, custos adicionais ou exclusões são "Sob consulta". Recomenda-se solicitar por escrito antes da contratação quais serviços são cobertos e se há cobranças extras para certas operações (ex.: por notificação, idioma, solicitações extraordinárias).

Importante: o tratamento técnico real, criação de SBOMs (Software Bill of Materials) e realização de auditorias de segurança não estão incluídos no preço da representação. Quem precisar desses serviços deve contratá-los separadamente com especialistas.

Matriz de decisão: quem precisa do quê?

A necessidade de um representante CRA e do relatório em 24h depende do seu papel na cadeia de fornecimento, localização e estrutura de vendas. A matriz abaixo ajuda na rápida classificação:

Exemplos práticos: Um fornecedor SaaS dos EUA que vende para clientes da UE precisa de representante CRA e configurar reporte 24h. Um fabricante chinês de IoT que vende sob sua própria marca na UE também é obrigado. Uma loja online britânica que apenas revende produtos de terceiros sem marca própria não precisa de representante nem reporte 24h.

Checklist para compradores: como proceder

1. Verifique seu papel: Você é fabricante de produto com elementos digitais vendido na UE?
2. Confirme a localização: Sua empresa está fora da UE?
3. Compare provedores: Escolha um com preço publicado e mandato claramente definido. Verifique se o preço cobre todos os serviços ou se há custos extras.
4. Confirme serviços e exclusões por escrito: Antes de contratar, obtenha confirmação escrita do que está incluído e do que não está no mandato.
5. Prepare processos internos: Defina responsáveis internos pelo reporte 24h. Crie um runbook com responsabilidades claras e modelos de notificação.
6. Registre dados do representante: Inclua dados do representante e contato na documentação de compliance e informe sua equipe.
7. Teste o processo de reporte: Faça simulações antes do prazo para identificar falhas no fluxo.
8. Revisão periódica: Anualmente, verifique mudanças na estrutura de vendas ou portfólio que possam afetar a obrigação de reporte.

Com essa checklist, você evita erros comuns e garante conformidade no prazo.

O que os provedores frequentemente não dizem (exclusões, prazos, taxas)

Muitos provedores não comunicam claramente quais serviços estão realmente incluídos no mandato e quais não. REP27 deixa claro que análises técnicas, avaliação de conformidade, criação de SBOM e testes não fazem parte do mandato. Serviços adicionais como criação de modelos, suporte técnico ou comunicação com clientes finais também são excluídos.

• O preço da REP27 é fixo, sem taxas ocultas. O preço de renovação é pré-definido e não muda sem aviso.
• Para kadano e Euverify, não há informações sobre custos adicionais, prazos de cancelamento ou limites de responsabilidade. Recomenda-se perguntar explicitamente sobre esses pontos.
• A responsabilidade pelo cumprimento dos prazos e qualidade do reporte é sempre do fabricante. O representante apenas recebe e encaminha, não avalia tecnicamente.
• O prazo para emissão do mandato na REP27 é de 24 horas. Para outros provedores, o prazo é "Sob consulta".

Equívoco comum: o mandato não cobre toda a conformidade CRA. Partes custosas e complexas (ex.: avaliação de conformidade, documentação técnica, SBOM) devem ser organizadas separadamente. Quem não se preparar pode sofrer atrasos e multas.

Três cenários práticos: quem deve fazer o quê?

• Fornecedor SaaS dos EUA: Empresa sediada nos EUA oferece software em nuvem para empresas europeias. Como fabricante de produto digital que atua na UE, deve nomear representante CRA. O reporte 24h é feito via representante, que consta no mandato. O fornecedor deve designar responsáveis internos e preparar modelos de notificação.
• Vendedor chinês na Amazon: Empresa chinesa vende dispositivos IoT sob sua marca diretamente para consumidores na UE. A obrigação se aplica: sem sede na UE, precisa de representante conforme Artigo 18 CRA. O reporte é feito via representante. Se fosse apenas revendedor sem marca própria, não haveria obrigação.
• Loja online do Reino Unido: Loja britânica revende produtos de terceiros para a Europa, sem marca própria. Não há obrigação de reporte 24h nem de nomear representante CRA, pois não é fabricante. A responsabilidade é do fabricante real.

Esses cenários mostram como a correta classificação do papel é decisiva. Erros podem gerar custos desnecessários ou falhas de compliance.