Cyber Resilience Act: Reporte 24h de Vulnerabilidades - Provedores e Preços (2026)

• O Artigo 14 do CRA exige reporte em 24 horas de vulnerabilidades exploradas para a ENISA.
• Fabricantes fora da UE devem nomear um representante autorizado baseado na UE para reporte.
• REP27 — Europe Services, SE cobra €490/ano pelo mandato do Artigo 18.
• Preços concorrentes: kadano (€999/ano), Euverify (£590/ano), outros sob consulta.
• REP27 não inclui aconselhamento jurídico, geração de SBOM ou avaliação de conformidade.
• Não é obrigatório para importadores, distribuidores ou produtos legados colocados antes de 11 de setembro de 2026.

Atualizado 17 October 2026 · 8 fontes verificadas

Provedores comparados

Preços conforme publicados no site de cada provedor em 17 October 2026, excluindo IVA, a menos que indicado. Cada linha liga à sua fonte.

O que a Lei Exige: Artigos 14 e 18 do CRA

O Cyber Resilience Act (CRA) estabelece um regime rigoroso para fabricantes que colocam produtos com elementos digitais no mercado da UE. O Artigo 1 define o escopo: hardware e software com elementos digitais, incluindo dispositivos conectados, firmware e apps, estão cobertos. O Artigo 10 estabelece requisitos essenciais para medidas de cibersegurança ao longo do ciclo de vida do produto, enquanto o Artigo 11 detalha as obrigações dos fabricantes, como avaliação de risco, tratamento de vulnerabilidades e avaliação de conformidade.

O Artigo 14 é central: exige que fabricantes reportem qualquer vulnerabilidade ativamente explorada ou incidente grave que afete a segurança do produto à ENISA via plataforma única de reporte em até 24 horas após tomar conhecimento. O dever é acionado por evidência crível de exploração ou evento significativo de segurança, não apenas pela descoberta da vulnerabilidade. O prazo de 24 horas é contado em horas corridas, incluindo noites, fins de semana e feriados.

Para fabricantes estabelecidos fora da UE, o Artigo 18 exige a nomeação de um representante autorizado estabelecido na UE. Esse representante é responsável pelo processo de reporte em 24 horas e atua como ponto oficial de contato para autoridades da UE. Importadores e distribuidores têm obrigações próprias no Artigo 12, mas o dever principal de reporte recai sobre o fabricante ou seu representante autorizado.

Produtos colocados no mercado da UE antes de 11 de setembro de 2026 estão isentos do requisito de reporte em 24 horas, mas devem cumprir outras disposições do CRA. O não cumprimento pode resultar em multas de até €15 milhões ou 2,5% do faturamento global anual, o que for maior. A lei é clara: se você é um fabricante fora da UE vendendo produtos digitais na UE após essa data, deve ter um representante autorizado pronto para agir em até 24 horas após qualquer incidente qualificável.

Como Escolher um Representante Autorizado CRA

Escolher o representante autorizado correto é fundamental para conformidade e eficiência operacional. Comece verificando a entidade legal do provedor, estabelecimento na UE e histórico. Por exemplo, a REP27 — Europe Services, SE está estabelecida em Praga, República Tcheca, e atua desde 2018, com mandatos assinados para empresas em 24 países.

Critérios-chave para seleção incluem:

• Preço Transparente: Procure preços claros, publicados e termos de renovação. A REP27 publica preços para o primeiro ano e para renovação. Alguns provedores, como kadano e Euverify, também publicam preços, enquanto outros exigem orçamento.
• Escopo do Mandato: Garanta que o mandato seja limitado às obrigações do Artigo 18. Mandatos muito amplos podem alegar cobrir obrigações do Artigo 13, o que o Artigo 18(2) proíbe. A REP27 limita explicitamente seu escopo ao reporte do Artigo 18.
• Disponibilidade: A central de reporte deve estar disponível 24/7, inclusive fins de semana e feriados. A REP27 garante cobertura contínua, enquanto detalhes de outros provedores podem exigir confirmação.
• Verificação do Certificado: Um certificado verificável (como QR code e verificação pública da REP27) fornece prova da nomeação e pode ser checado por autoridades ou clientes.
• Exclusões: Esclareça o que não está incluído, como aconselhamento jurídico, geração de SBOM ou testes técnicos. A REP27 lista todas as exclusões claramente; muitos concorrentes não o fazem.

Serviços combinados (ex.: escaneamento técnico, geração de SBOM) podem ser úteis se você não tiver recursos internos, mas sempre verifique custos ocultos, preços de renovação incertos ou descrições vagas. Peça o processo por escrito, incluindo como solicitações são tratadas, em quais idiomas e em quais horários.

Por fim, certifique-se que o mandato do provedor é verificável e que o processo de encaminhamento de solicitações às autoridades é rápido e documentado. Isso não é apenas uma formalidade — atrasos ou falhas de comunicação podem ter consequências legais e comerciais.

O Que o Preço Realmente Inclui: Comparação de Provedores

Entender o que está incluído no preço publicado é essencial para evitar surpresas. Abaixo está uma comparação detalhada do que cada provedor oferece, com base nos dados disponíveis:

O preço da REP27 (€490/ano, €440 na renovação) é apenas para o mandato do Artigo 18, com exclusões claras. Kadano e Euverify publicam preços, mas não especificam inclusões ou exclusões publicamente. Provedores como ResilienceWP e Seentrix oferecem serviços técnicos adicionais (SBOM, escaneamento, documentação), mas preços e escopo só disponíveis sob consulta.

Sempre solicite uma descrição detalhada do serviço e confirmação dos preços de renovação antes de assinar. O erro mais caro é presumir que conformidade técnica ou aconselhamento jurídico estão incluídos quando não estão.

Custos Ocultos e O Que Provedores Geralmente Não Dizem

Embora o preço principal seja importante, custos ocultos e exclusões podem impactar significativamente seu orçamento de conformidade e risco operacional. Veja o que os provedores geralmente não divulgam antecipadamente:

• Exclusões: A REP27 é explícita: não inclui aconselhamento jurídico, serviços DPO, avaliações técnicas de conformidade, geração de SBOM ou testes. Muitos concorrentes não publicam essas exclusões, então sempre pergunte. Conformidade técnica (SBOM, avaliação de conformidade, engenharia) nunca está incluída em mandato apenas de representante e deve ser orçada separadamente.
• Preços de Renovação: Alguns provedores oferecem preço baixo no primeiro ano, mas não publicam taxas de renovação. A REP27 publica ambos antecipadamente. Sempre obtenha termos de renovação por escrito para evitar aumentos inesperados.
• Taxas por Solicitação: Alguns representantes podem cobrar extra por cada solicitação de autoridade ou titular de dados, ou por registros urgentes. A REP27 não informa tais taxas, mas isso não é regra geral. Esclareça antes de assinar.
• Períodos de Aviso e Rescisão: O processo para encerrar o mandato ou trocar de provedor raramente é detalhado. Pergunte sobre prazos de aviso e eventuais taxas associadas.
• Limites de Responsabilidade: A maioria dos representantes limita sua responsabilidade por prazos perdidos ou registros incorretos. Esses limites nem sempre são divulgados publicamente.
• Serviços Combinados: Provedores que oferecem serviços técnicos (ex.: SBOM, escaneamento) podem cobrar taxas extras significativas ou exigir contratos de longo prazo. Confirme escopo e preços por escrito.

Em resumo, o custo real da conformidade inclui não só a taxa do representante, mas também seus custos internos de engenharia, conformidade técnica e manutenção de processo de resposta a incidentes 24/7. Sempre solicite detalhamento completo e confirmação escrita de todos os termos antes de se comprometer.

Como Funciona a Nomeação: Passo a Passo

Nomear um representante autorizado CRA é um processo que exige planejamento e documentação cuidadosos. Aqui está um guia prático passo a passo baseado nas melhores práticas atuais e exigências legais:

1. Avalie a Aplicabilidade: Confirme que seu produto é um elemento digital (hardware/software) colocado no mercado da UE após 11 de setembro de 2026. Se sim, aplica-se o requisito de reporte 24h do CRA.
2. Selecione um Provedor: Compare provedores com base em preço publicado, escopo, exclusões e reputação. Solicite todos os termos e preços de renovação por escrito.
3. Contrato e Mandato: Assine um mandato escrito com o representante autorizado escolhido. A REP27 emite mandato assinado do Artigo 18 e certificado verificável em até 24 horas. Garanta que a entidade legal esteja estabelecida na UE e listada no registro comercial.
4. Atualize Documentação: Registre os dados do representante no seu runbook de conformidade. Prepare processo claro de reporte, incluindo quem pode declarar incidentes e como evidências são documentadas.
5. Preparação Interna: Nomeie pelo menos dois colaboradores como remetentes para a plataforma ENISA, idealmente em fusos horários diferentes. Pré-escreva templates de alerta precoce e atribua responsabilidade para notificação em 72 horas e comunicação ao usuário.
6. Resposta a Incidentes: Ao detectar vulnerabilidade ou incidente qualificável, notifique imediatamente seu representante. O representante registra o alerta precoce na ENISA/CSIRT em até 24 horas, depois acompanha com notificação em 72 horas e relatório final.
7. Registro de Dados: Mantenha registros detalhados de conhecimento, horários de envio e comunicações. Isso é crítico caso sua conformidade seja questionada por autoridades.
8. Revisão Contínua: Revise regularmente seus processos e atualize contatos, templates e responsabilidades conforme necessário.

Esse processo garante que você cumpra os prazos rigorosos do CRA e evite penalidades. A chave é preparação: defina gatilhos, atribua papéis e simule o fluxo antes da vigência da lei.

Riscos, Multas e Prazos de Conformidade

O Cyber Resilience Act introduz riscos legais e financeiros significativos por não conformidade. O Artigo 15 detalha procedimentos de fiscalização e penalidades. O risco mais imediato é perder o prazo de 24 horas para reporte de vulnerabilidades exploradas ou incidentes graves. O relógio começa quando você toma conhecimento, não quando a investigação termina. Atrasos podem resultar em multas de até €15 milhões ou 2,5% do faturamento global anual, o que for maior.

Outros riscos incluem:

• Atrasos no Acesso ao Mercado: Falha em nomear representante ou fornecer certificado verificável pode atrasar lançamentos ou travar processos de compra, especialmente em ciclos empresariais.
• Ações de Fiscalização: Autoridades podem iniciar investigações, exigir documentação ou impor medidas corretivas se obrigações de reporte não forem cumpridas.
• Danos à Reputação: Falhas públicas no reporte podem prejudicar sua marca e confiança dos clientes.
• Múltiplos Regimes de Reporte: Um único incidente pode desencadear reportes sob CRA, NIS2, GDPR e GPSR, cada um com prazos e autoridades diferentes. Por exemplo, um ataque ransomware explorando seu produto pode exigir três reportes distintos.

Os prazos de conformidade são rigorosos: o requisito de reporte em 24 horas aplica-se a partir de 11 de setembro de 2026 para produtos novos. Produtos legados colocados antes dessa data estão isentos da regra 24h, mas devem cumprir outras disposições do CRA. O período de suporte para atualizações de segurança — pelo menos cinco anos — é outro custo oculto que deve ser planejado e orçado como linha de produto, não projeto pontual.

Em resumo, os riscos da não conformidade são substanciais, e o custo de não se preparar é muito maior que o custo de nomear um representante qualificado.

Matriz de Decisão: Preciso de Representante Autorizado CRA?

Use a matriz abaixo para determinar se você precisa de um representante autorizado CRA:

Essa matriz cobre a maioria dos cenários. Em caso de dúvida, consulte seu assessor jurídico ou contate um provedor para esclarecimento. Lembre-se, o dever recai sobre o fabricante ou seu representante nomeado, não sobre importador ou distribuidor, a menos que coloquem o produto em nome próprio.

Checklist: Passos para Conformidade com Reporte 24h CRA

1. Mapeie seus produtos: Liste todos os produtos com elementos digitais vendidos na UE e suas datas de lançamento.
2. Avalie processos internos: Revise como vulnerabilidades são detectadas, escaladas e documentadas na sua organização.
3. Escolha um representante: Compare provedores, solicite confirmação escrita de todas as taxas, preços de renovação e escopo do serviço.
4. Assine o mandato: Obtenha mandato assinado do Artigo 18 e certificado verificável do provedor escolhido.
5. Atualize documentação: Adicione dados do representante no runbook e documentação de conformidade. Prepare templates de alerta precoce e notificação.
6. Atribua papéis de reporte: Nomeie pelo menos dois remetentes para a plataforma ENISA, idealmente em fusos horários diferentes.
7. Teste seu fluxo: Faça exercícios simulando vulnerabilidade explorada para garantir que todos conheçam responsabilidades e prazos.
8. Treine sua equipe: Eduque colaboradores sobre o que aciona o relógio de 24 horas e como escalar incidentes.
9. Acompanhe atualizações regulatórias: Mantenha-se informado sobre mudanças nos requisitos do CRA ou plataformas de reporte antes de setembro de 2026.
10. Revise e atualize regularmente: Reavalie processos e documentação anualmente ou após incidentes importantes.

Seguir essa checklist ajuda a garantir que você esteja preparado para cumprir as rigorosas obrigações de reporte do CRA e evitar penalidades caras.

Cenários Realistas: Qual Rota se Aplica?

• Empresa SaaS dos EUA vendendo para negócios na UE: A empresa é fabricante fora da UE que coloca produtos digitais no mercado da UE. Deve nomear representante autorizado para reporte do Artigo 18 (ex.: REP27, kadano, Euverify). A equipe interna de segurança detecta vulnerabilidades e notifica o representante, que faz os registros ENISA/CSIRT em até 24 horas. Não há importador ou distribuidor envolvido, então o dever é direto.
• Vendedor chinês na Amazon enviando dispositivos IoT para consumidores da UE: Se o vendedor for fabricante e estabelecido fora da UE, deve nomear representante autorizado. Se a Amazon agir como importador oficial, o dever de reporte pode passar para a Amazon. O vendedor deve esclarecer com a plataforma e, se necessário, nomear representante e atualizar documentação do produto.
• Loja online do Reino Unido vendendo roteadores com marca própria na UE: Como fabricante fora da UE, a empresa deve nomear representante autorizado para reporte 24h. Os dados do representante devem constar na documentação de conformidade, e processos internos devem estar prontos para escalonamento rápido de incidentes. Se a loja também atuar como importadora ou distribuidora em nome próprio, obrigações adicionais podem se aplicar.

Esses cenários demonstram a importância de mapear sua cadeia de suprimentos e esclarecer papéis. A rota mais simples para conformidade é nomear representante, documentar o processo e garantir que sua equipe esteja treinada e pronta para resposta rápida.