Triagem de Obrigações de Reporte CRA

Problema a que responde

Desde 11 de setembro de 2026, os fabricantes de produtos com elementos digitais estão obrigados a reportar vulnerabilidades ativamente exploradas e incidentes graves em prazos de 24 e 72 horas, também quanto a produtos já colocados no mercado.

Destinatários

• Fabricantes de software e de dispositivos conectados;
• Empresas que integram componentes digitais nos seus produtos;
• Subcontratantes tecnológicos que desenvolvem produto próprio.

Entregáveis

• Qualificação do fabricante e dos produtos abrangidos;
• Procedimento de reporte ao CSIRT coordenador e à ENISA;
• Modelo de informação aos utilizadores afetados;
• Articulação com as obrigações dos clientes ao abrigo do RGPD.

Metodologia

1. 01

   Âmbito

   Produtos e componentes abrangidos.

2. 02

   Eventos

   Critérios de vulnerabilidade explorada e incidente grave.

3. 03

   Procedimento

   Fluxo de reporte e prazos.

4. 04

   Articulação

   Ligação a clientes e ao RGPD.

Fundamento normativo

• Artigo 14.º do Regulamento (UE) 2024/2847, aplicável desde 11/09/2026;
• N.º 2 do artigo 33.º do RGPD, quando o fabricante atua também como subcontratante.

Resultados esperados

• Cumprimento das novas obrigações de reporte;
• Procedimento pronto para o primeiro evento;
• Relação coordenada com os clientes.

Articulação ecossistémica