O Regulamento (UE) 2024/2847, de 23 de outubro de 2024, conhecido como Cyber Resilience Act ou Regulamento Ciber-Resiliência, foi publicado no Jornal Oficial da União Europeia em 20 de novembro de 2024 e entrou em vigor em 10 de dezembro de 2024.
Embora a sua aplicação geral apenas se inicie em 11 de dezembro de 2027, as obrigações de comunicação previstas no artigo 14.º tornam-se aplicáveis em 11 de setembro de 2026. A partir dessa data, os fabricantes abrangidos terão de comunicar vulnerabilidades ativamente exploradas e incidentes graves com impacto na segurança dos produtos com elementos digitais.
Para apoiar a preparação das entidades abrangidas, a Comissão Europeia publicou, em 27 de julho de 2026, orientações práticas sobre a aplicação do Cyber Resilience Act, dirigidas a fabricantes, programadores e empresas de todas as dimensões.
O regime aplica-se principalmente aos fabricantes que coloquem no mercado da União Europeia produtos com elementos digitais, incluindo:
Aplicações e outros produtos de software;
Sistemas operativos e navegadores;
Firewalls, antivírus, VPN e gestores de palavras-passe;
Routers, modems, switches e equipamentos de rede;
Dispositivos IoT e equipamentos domésticos inteligentes;
Equipamentos industriais conectados;
Componentes de hardware ou software comercializados separadamente;
Soluções de tratamento remoto de dados indispensáveis ao funcionamento do produto.
Uma solução cloud pode integrar o produto quando tiver sido desenvolvida pelo fabricante, ou sob a sua responsabilidade, e for necessária para executar uma das funções desse produto.
Em contrapartida, um serviço autónomo de SaaS, PaaS ou IaaS não fica automaticamente abrangido pelo Cyber Resilience Act apenas por ser prestado através da Internet. Estes serviços podem, contudo, estar sujeitos a outros regimes, nomeadamente à Diretiva NIS2 e à respetiva legislação nacional.
Um importador ou distribuidor também pode ser considerado fabricante quando comercialize o produto com o seu próprio nome ou marca, ou quando introduza uma alteração substancial num produto já colocado no mercado.
O software livre e de código-fonte aberto disponibilizado fora de uma atividade comercial encontra-se, em princípio, excluído. Os administradores de software de código-fonte aberto que prestem apoio sistemático e continuado a projetos destinados a atividades comerciais estão sujeitos a um regime específico e mais limitado.
A obrigação não abrange indistintamente todas as vulnerabilidades ou todos os incidentes.
Devem ser comunicadas:
Vulnerabilidades ativamente exploradas, quando exista evidência fiável de que um agente malicioso explorou a vulnerabilidade sem autorização;
Incidentes graves com impacto na segurança do produto, designadamente quando afetem ou possam afetar a disponibilidade, autenticidade, integridade ou confidencialidade de dados ou funções sensíveis ou importantes;
Incidentes que tenham conduzido, ou possam conduzir, à introdução ou execução de código malicioso no produto ou nos sistemas dos seus utilizadores.
A mera descoberta de uma vulnerabilidade por investigação ou teste de boa-fé não constitui, por si só, uma vulnerabilidade ativamente explorada sujeita a comunicação obrigatória. Poderá, no entanto, ser objeto de comunicação voluntária.
O prazo começa a contar quando o fabricante toma conhecimento da vulnerabilidade ativamente explorada ou do incidente grave.
Aviso inicial no prazo máximo de 24 horas;
Notificação completa no prazo máximo de 72 horas;
Relatório final até 14 dias depois de estar disponível uma medida corretiva ou de mitigação, como uma atualização de segurança.
O CSIRT competente pode ainda solicitar relatórios intermédios sobre a evolução da vulnerabilidade ou do incidente.
As comunicações serão efetuadas através da Single Reporting Platform — SRP, criada e gerida pela ENISA.
A notificação é dirigida ao CSIRT coordenador do Estado-Membro onde se encontra o estabelecimento principal do fabricante e fica simultaneamente acessível à ENISA.
> Informação e acesso à Single Reporting Platform
Para efeitos do regulamento, considera-se estabelecimento principal aquele onde são predominantemente tomadas as decisões relacionadas com a cibersegurança dos produtos.
Quando o fabricante não tiver estabelecimento principal na União Europeia, o CSIRT competente será determinado em função da localização do representante autorizado, importador, distribuidor ou, em último caso, do maior número de utilizadores.
A utilização da plataforma requer uma conta EU Login. A ENISA recomenda que o representante designado apenas inicie o registo e o respetivo processo de validação quando exista uma comunicação concreta a apresentar, em vez de criar antecipadamente um registo sem necessidade.
Para além da comunicação através da plataforma, o fabricante deve informar os utilizadores afetados e, quando adequado, todos os utilizadores do produto.
Essa informação deverá identificar a vulnerabilidade ou o incidente e indicar as medidas corretivas ou de mitigação que possam ser aplicadas, como:
Instalação de atualizações de segurança;
Alteração de configurações;
Desativação temporária de funcionalidades;
Renovação de credenciais;
Aplicação de medidas adicionais de controlo de acessos;
Substituição ou isolamento do equipamento afetado.
Quando o fabricante não informe os utilizadores em tempo útil, o CSIRT competente poderá fazê-lo se considerar a divulgação necessária e proporcional para prevenir ou reduzir o impacto.
As obrigações de comunicação também se aplicam aos produtos abrangidos que tenham sido colocados no mercado antes de 11 de dezembro de 2027.
Assim, os fabricantes não devem limitar a preparação aos novos produtos que venham a ser lançados após essa data. O processo de reporte deverá abranger igualmente produtos existentes que continuem a ser utilizados ou disponibilizados no mercado da União Europeia.
O incumprimento das obrigações dos artigos 13.º e 14.º poderá determinar coimas até:
15 milhões de euros; ou
2,5% do volume de negócios anual total a nível mundial do exercício anterior,
consoante o montante que for mais elevado.
As microempresas e pequenas empresas não estão sujeitas a coima pelo mero incumprimento do prazo inicial de 24 horas. Esta exceção não elimina a obrigação de comunicar nem abrange, de forma geral, os restantes prazos e deveres previstos no regulamento.
Os administradores de software de código-fonte aberto também beneficiam de um regime específico de exclusão de coimas, sem prejuízo dos deveres que lhes sejam aplicáveis.
Inventariar todos os produtos de software e hardware colocados no mercado da União Europeia;
Identificar as soluções cloud ou de tratamento remoto indispensáveis ao funcionamento desses produtos;
Determinar qual a entidade que assume juridicamente a posição de fabricante;
Identificar o estabelecimento principal e o CSIRT coordenador competente;
Designar um responsável principal e um substituto para as comunicações;
Confirmar que os responsáveis possuem uma conta EU Login ativa;
Criar critérios internos para distinguir vulnerabilidades comuns, vulnerabilidades ativamente exploradas e incidentes graves;
Estabelecer um circuito de escalamento que permita cumprir os prazos de 24 e 72 horas;
Preparar modelos de aviso inicial, notificação completa e relatório final;
Preparar modelos de comunicação aos clientes e utilizadores;
Garantir a conservação de evidências, registos técnicos e decisões tomadas;
Testar o procedimento através de um exercício simulado antes de 11 de setembro de 2026.
O início destas obrigações não deve ser confundido com a aplicação geral do Cyber Resilience Act. Em 11 de setembro de 2026 torna-se aplicável especificamente o regime de comunicação previsto no artigo 14.º. Os requisitos relativos à conceção segura, gestão de vulnerabilidades, documentação técnica, avaliação da conformidade e marcação CE serão, em regra, aplicáveis a partir de 11 de dezembro de 2027.
Cyber Resilience Act — Regulamento (UE) 2024/2847
Informação da Comissão Europeia sobre as obrigações de reporte
Single Reporting Platform — ENISA
Orientações da Comissão Europeia sobre o Cyber Resilience Act
