PENTESTY · ANÁLISE EDITORIAL · · 4 min de leitura
CRA e as 24 horas: sua equipe sabe quando o relógio começa?
Um contador na plataforma não substitui o registro de ciência do evento. Organize a passagem entre segurança, produto e representantes responsáveis pela notificação.
Por Pentesty
O prazo tem escopo, gatilho e etapas
Segundo a Comissão Europeia, desde 11 de setembro de 2026 fabricantes abrangidos devem notificar vulnerabilidades ativamente exploradas e incidentes graves que afetem a segurança de produtos com elementos digitais. O artigo 14 prevê aviso inicial até 24 horas da ciência e notificação até 72 horas da ciência, ambos sem demora injustificada. O relatório final vence em até 14 dias após disponibilizar medida corretiva ou mitigadora para a vulnerabilidade; no incidente grave, em um mês após a notificação de 72 horas.
Mapeie o produto antes de discutir o formulário
Uma empresa brasileira que fornece software ou equipamento para o mercado europeu precisa avaliar seu papel e o enquadramento do produto com responsáveis qualificados. O título de uma notícia não transforma toda empresa em fabricante abrangido nem toda falha em ocorrência notificável. Registre a fundamentação adotada e quem deve revê-la quando mudar a forma de distribuir ou integrar o produto.
Associe cada produto a versões, componentes relevantes, clientes atendidos e responsáveis por segurança e manutenção. A triagem de vulnerabilidades ajuda a ligar um aviso ao ativo. Para notificação, acrescente quem recebe relatos de exploração, quem avalia a gravidade e quem possui autoridade para representar a organização.
Preserve a ciência do evento sem esperar o dossiê completo
A proposta da Pentesty é manter uma linha do tempo com evidência recebida, origem, horário e avaliação dos responsáveis. Preserve o conteúdo necessário para explicar a decisão, protegendo dados e detalhes sensíveis. Separe o recebimento de um rumor, a informação confiável sobre exploração e o enquadramento do produto; não ajuste retrospectivamente horários para acomodar uma aprovação tardia.
A ENISA informa, na FAQ atualizada em 15 de outubro de 2026, que o contador atual de 72 horas da plataforma usa 48 horas após o aviso inicial. A própria agência ressalva que o contador não substitui a obrigação legal. Mantenha o registro de ciência separado do lembrete da interface.
Ensaie a passagem entre equipes e a ausência de uma pessoa
Use um cenário fictício com produto e versões inventados, mensagens sintéticas de fornecedor e horários explícitos. Avalie separadamente os dois gatilhos e a informação necessária em cada etapa. Simule a indisponibilidade do responsável habitual e confira se o substituto consegue encontrar evidências e continuar o trabalho. Faça o exercício internamente, sem enviar notificações falsas ao portal regulatório.
- Triagem: registre o que sustenta o enquadramento e quais dúvidas exigem encaminhamento imediato.
- Preparação: identifique responsáveis pelo conteúdo técnico, revisão e submissão, com substitutos definidos.
- Comunicação: relacione cada informação enviada à sua fonte e preserve a versão efetivamente submetida.
- Continuidade: acompanhe correções, medidas temporárias e dados necessários ao relatório final correspondente.
Mantenha os regimes e as evidências separados
A ANPD descreve obrigações próprias para incidentes com dados pessoais. O aviso de 24 horas do CRA não é um prazo geral da LGPD. Um mesmo evento pode exigir avaliações distintas; mantenha uma matriz de gatilhos, destinatários e responsáveis, validada por quem tem competência jurídica para o caso.
A análise de alegações de vazamento complementa a distinção entre fato, declaração e hipótese. Depois do exercício, corrija o ponto de espera observado: inventário incompleto, contato desatualizado ou revisão sem substituto. Meça se a próxima equipe consegue reconstruir a decisão usando os registros disponíveis. Um ensaio e um pentest fornecem evidências delimitadas; não certificam conformidade jurídica.
Perguntas frequentes
Toda vulnerabilidade precisa ser notificada em 24 horas pelo CRA?
O gatilho tratado aqui é a vulnerabilidade ativamente explorada ou o incidente grave que afete a segurança do produto, dentro do escopo aplicável. A identificação de uma falha isolada não estabelece automaticamente esse enquadramento.
As 72 horas começam depois do aviso inicial?
Os limites de 24 e 72 horas partem da ciência do evento abrangido. Não some 72 horas ao primeiro aviso; acompanhe separadamente o relatório final adequado ao tipo de ocorrência.
Os principais requisitos do CRA já começaram todos?
A ENISA distingue a notificação de fabricantes desde 11 de setembro de 2026 dos principais requisitos aplicáveis em 11 de dezembro de 2027. As obrigações do artigo 24(3) para open-source software stewards, categoria específica definida pelo CRA, também começam nessa segunda data.
Como testar o processo sem criar uma notificação real?
Faça uma simulação interna com dados sintéticos, responsáveis e horários definidos. Verifique evidências, substituição de pessoas e preparação de cada etapa; encaminhe o enquadramento legal ao responsável qualificado.
Fontes e referências
- Comissão Europeia: obrigações de notificação do CRA
- ENISA: lançamento da plataforma e datas de aplicação
- ENISA: FAQ da plataforma, atualização de 15 de outubro
- ANPD: regulamento de comunicação de incidentes com dados pessoais
Análise original da Pentesty, publicada em 16 de outubro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.