Custo do reporte de vulnerabilidades em 24h para produtores não UE (CRA 2026)

• Obrigação a partir de 11 de setembro de 2026 para todos os produtores de produtos digitais vendidos na UE
• REP27 oferece o serviço por €490/ano, renovação €440, preço divulgado
• Kadano: €999/ano, Euverify: £590/ano (aprox. €690), preços publicados
• O serviço cobre apenas a transmissão do reporte, não testes ou avaliações técnicas
• Não cumprir pode resultar em multas de até €15 milhões ou 2,5% do faturamento global
• Não se aplica a importadores, distribuidores ou quem vende apenas fora da UE

Atualizado 22 October 2026 · 7 fontes verificadas

Provedores comparados

Preços conforme publicados no site de cada provedor em 22 October 2026, excluindo IVA, a menos que indicado. Cada linha liga à sua fonte.

O que a lei exige: Artigo 14 CRA

O Artigo 14 do Cyber Resilience Act (Regulamento UE 2024/2847) impõe uma obrigação rigorosa de reporte para todos os produtores de produtos digitais vendidos na União Europeia, independentemente da sua localização. A partir de 11 de setembro de 2026, cada produtor deve reportar em até 24 horas após o conhecimento uma vulnerabilidade ativamente explorada ou um incidente grave de segurança que afete o produto. O reporte é feito pela plataforma única gerida pela ENISA, direcionado ao CSIRT coordenador do país UE correspondente.

• O reporte ocorre em três fases: early warning (até 24h), notificação detalhada (até 72h), relatório final (até 14 dias).
• O reporte é obrigatório também para produtores fora da UE que vendem diretamente ou via marketplace para clientes na UE.
• Não são exigidos testes de segurança ou avaliações técnicas pelo representante: seu papel é transmitir os reportes e atuar como ponto de contato.
• A obrigação aplica-se também a incidentes que impactem a segurança do produto, não só a vulnerabilidades já exploradas.

A falta ou atraso no reporte pode resultar em sanções de até €15 milhões ou 2,5% do faturamento global anual, o que for maior. Essas regras aplicam-se a quem coloca produtos digitais no mercado da UE, incluindo software, hardware, dispositivos IoT, SaaS e outros.

Fontes: NIS2.gov.ie, Licentium

Como escolher o provedor: critérios práticos e comparação

Escolher o provedor correto para o reporte de vulnerabilidades conforme o CRA exige atenção a vários aspectos práticos além do preço. Principais critérios a considerar:

• Preço publicado e transparente: Prefira provedores que declarem claramente o custo anual e de renovação, evitando surpresas.
• Cobertura geográfica: O provedor deve garantir representação em todos os países da UE onde você vende seus produtos.
• Certificação e verificação: Um mandato assinado eletronicamente e verificável publicamente é garantia de seriedade.
• Canal de reporte ativo 24/7: O serviço deve estar disponível a qualquer hora do ano, incluindo fins de semana e feriados.
• Clareza sobre exclusões: Nenhum provedor listado oferece, no preço básico, testes de segurança, SBOM ou suporte técnico: o mandato cobre apenas a transmissão dos reportes.

Comparação detalhada:

Dica prática: sempre pergunte antecipadamente o que está incluído, se há custos por reporte individual e como funciona a renovação. Prefira provedores que forneçam certificado verificável publicamente e que declarem claramente sua entidade legal e cobertura geográfica.

O que o preço realmente inclui: detalhes práticos

O preço divulgado pelos provedores cobre exclusivamente o mandato de representação para reporte de vulnerabilidades conforme o Art. 18 CRA. Isso significa que o representante:

• Recebe e transmite os reportes de vulnerabilidades ou incidentes de segurança às entidades competentes (CSIRT/ENISA) via plataforma oficial.
• Atua como ponto de contato para as autoridades europeias em caso de solicitações ou esclarecimentos.
• Fornece um mandato assinado e certificado, frequentemente com QR code para verificação pública.
• Garante um canal de reporte ativo 24/7 (ao menos REP27, conforme declarado em suas páginas oficiais).

Não estão incluídos no preço básico:

• Testes de segurança ou avaliação de vulnerabilidades
• Geração da Software Bill of Materials (SBOM)
• Suporte técnico, legal ou operacional na redação dos reportes
• Gestão de crise ou comunicação aos usuários finais (além do encaminhamento do reporte)

Por exemplo, REP27 especifica que "a avaliação de conformidade pertence a organismos notificados, testes a empresas de segurança, geração de SBOM à sua pipeline de build e reporte à sua equipe de segurança". O mandato cobre apenas a transmissão e recebimento das solicitações das autoridades. Nenhuma taxa extra declarada por reporte individual, sem upsell oculto.

Dica: assegure-se de ter internamente as competências para preparar os reportes e responder a eventuais solicitações de aprofundamento das autoridades.

Custos ocultos, limites do serviço e riscos práticos

O custo do mandato de representação é apenas parte do orçamento necessário para a conformidade com o Cyber Resilience Act. Custos ocultos e limites do serviço são frequentemente negligenciados:

• Preparação interna: Coleta das informações, redação dos reportes e gestão da comunicação com o representante são responsabilidade do produtor.
• Auditoria e avaliação: Em caso de solicitação das autoridades, pode ser necessário arcar com custos para auditorias externas ou avaliações técnicas, não cobertos pelo mandato.
• Suporte técnico e legal: O representante não oferece consultoria técnica ou legal além da transmissão dos reportes; eventuais consultorias são à parte.
• Responsabilidade limitada: Nenhum provedor listado assume responsabilidade por erros no conteúdo fornecido pelo cliente ou omissões no reporte.
• Renovação e troca: Verifique sempre as condições de renovação e possíveis penalidades para troca de provedor: REP27 divulga preços de troca e renovação, outros não.

Riscos práticos:

• Se o procedimento interno não estiver pronto, o risco de não cumprir os prazos é alto.
• A falta ou atraso no reporte pode acarretar multas administrativas elevadas e bloqueio das vendas na UE.

Dica: considere o mandato como uma "apólice de processo", não como solução técnica. A conformidade efetiva depende da sua organização interna.

Como funciona a nomeação: passo a passo e checklist

A nomeação do representante CRA segue um esquema operacional claro. Passos práticos e checklist:

1. Verifique se você vende produtos digitais na UE: Se sim, confirme se é o produtor (não apenas distribuidor/importador).
2. Escolha o provedor: Compare preços, inclusões, exclusões e transparência contratual.
3. Solicite o serviço online: Preencha o formulário e receba o mandato de representação Art. 18.
4. Assine e arquive o mandato: O mandato deve ser assinado por ambas as partes e guardado para eventuais fiscalizações.
5. Inclua os dados do representante na documentação da empresa: Atualize runbooks, políticas internas e documentação de conformidade.
6. Prepare o procedimento interno de reporte: Defina quem pode declarar vulnerabilidades, como coletar evidências, como preencher os templates de reporte (early warning, notificação, relatório final).
7. Nomeie pelo menos dois submitters: Garanta que ao menos duas pessoas tenham acesso à plataforma ENISA para evitar bloqueios por ausência.
8. Registre todos os passos: Documente quem, quando e como cada reporte foi feito. Fundamental para auditorias.

Checklist operacional:

1. Verifique sua posição (produtor, importador, distribuidor)
2. Escolha e nomeie o representante
3. Prepare o procedimento interno de reporte
4. Nomeie os submitters e atualize a documentação
5. Pré-preencha os templates de reporte
6. Registre cada reporte e comunicação

Dica: clareza procedimental é o verdadeiro valor agregado do serviço de representação.

Matriz de decisão: quem precisa do serviço?

Nem todas as empresas precisam do mandato de representação para reporte de vulnerabilidades. Matriz baseada em casos reais:

Dica: se você é apenas distribuidor ou importador e não coloca o produto no mercado em seu nome, não há obrigação de nomeação. Se for produtor não UE, a nomeação é essencial para evitar sanções.

O que os provedores não dizem (mas você deve saber)

Muitos provedores não divulgam detalhes importantes que podem impactar sua conformidade e custos reais:

• Exclusões: Nenhum provedor listado oferece testes de segurança, SBOM ou avaliações técnicas no preço básico. O mandato cobre apenas a transmissão dos reportes.
• Responsabilidade: A responsabilidade pela correção e pontualidade dos reportes é sempre do produtor. O representante não verifica nem altera os conteúdos recebidos.
• Renovação e troca: Alguns provedores não divulgam preço de renovação ou condições para trocar de representante. REP27 divulga ambos, outros não.
• Idiomas e horários: Verifique se o provedor está realmente ativo 24/7 e pode atender solicitações em vários idiomas, se necessário.
• Limites do serviço: O representante não gerencia comunicação com usuários finais, gestão de crise ou consultoria legal.

Dica: sempre peça uma lista escrita das exclusões e limites de responsabilidade antes de assinar.

Cenários práticos: três casos reais e caminho mais simples

• SaaS dos EUA que vende na UE: Deve nomear representante CRA, preparar procedimento de reporte e incluir representante nos documentos oficiais. Em caso de vulnerabilidade explorada, envia o reporte ao representante que encaminha para ENISA/CSIRT. O caminho mais simples é escolher provedor com canal 24/7 e mandato verificável.
• Vendedor chinês na Amazon: Se for produtor do produto digital, tem obrigação de reporte e deve nomear representante; se for apenas distribuidor, não. O caminho mais simples é esclarecer o papel contratual e, se necessário, usar provedor com experiência em e-commerce.
• Loja online do Reino Unido: Se vende produtos digitais para clientes UE, deve nomear representante e seguir procedimento de reporte; se vende só no Reino Unido, não há obrigação. O caminho mais simples é avaliar se a fatia de vendas na UE justifica o custo da conformidade.

Em todos os casos, preparação interna e clareza procedimental são essenciais para cumprir prazos e reduzir riscos de sanções.