Cyber Resilience Act: os prazos de 24h e 72h já se aplicam

As obrigações de comunicação do Regulamento de Ciber-Resiliência entram em vigor a 11 de setembro de 2026: 24 horas para o alerta, 72 para a notificação, pela plataforma da ENISA. Abrange empresas de todas as dimensões — e software conta.

A partir de 11 de setembro de 2026 passa a ser obrigatório comunicar às autoridades europeias vulnerabilidades que estejam a ser exploradas e incidentes graves em produtos com elementos digitais. É a primeira parte do Regulamento de Ciber-Resiliência a entrar verdadeiramente em funcionamento — e apanha muita gente que nem sabe que está abrangida.

A maior parte do que se escreveu sobre isto fala para o responsável de conformidade de um fabricante grande. Este texto responde a outra pergunta: se publicas uma aplicação, um plugin ou um software qualquer, isto é contigo?

O que muda a 11 de setembro de 2026

O Regulamento (UE) 2024/2847, conhecido por Cyber Resilience Act, está em vigor desde dezembro de 2024, mas as obrigações entram de forma escalonada. A 11 de setembro começa a aplicar-se o artigo 14.º, que trata da comunicação de informações.

Passam a ter de ser reportadas duas coisas:

• Vulnerabilidades ativamente exploradas em produtos com elementos digitais — ou seja, falhas que alguém já está a usar, não falhas teóricas.
• Incidentes graves com impacto na segurança do produto.

O resto do regulamento — os requisitos técnicos de segurança ao longo do ciclo de vida do produto — só se torna exigível no prazo de cumprimento de dezembro de 2027. O que muda agora é a obrigação de avisar.

Os prazos: 24 horas, 72 horas e o relatório final

Esta é a parte que interessa decorar, porque as janelas são curtas:

• 24 horas — alerta inicial, assim que se toma conhecimento.
• 72 horas — notificação, já com mais detalhe.
• 14 dias — relatório final no caso de vulnerabilidade ativamente explorada, contados a partir do momento em que existe uma medida corretiva ou de mitigação disponível.
• 1 mês — relatório final no caso de incidente grave, contado a partir da notificação das 72 horas.

Repare no detalhe do prazo de 14 dias: ele não começa a contar quando a falha aparece, mas quando já existe correção. É uma diferença que muda o planeamento de quem desenvolve sozinho e demora a corrigir.

Para onde se reporta

A comunicação é dirigida ao CSIRT — a equipa nacional de resposta a incidentes de segurança informática — do Estado-membro onde o fabricante tem o seu estabelecimento principal. Salvo circunstâncias excecionais, a informação fica simultaneamente disponível à ENISA, a agência europeia para a cibersegurança.

Na prática, isso faz-se por um só sítio: a Plataforma Única de Comunicação (Single Reporting Platform), criada e mantida pela ENISA, que fica operacional precisamente a 11 de setembro de 2026 — a mesma data em que a obrigação começa.

Quem é abrangido

A Comissão Europeia é direta na formulação: o regulamento aplica-se a fabricantes, criadores e empresas de todas as dimensões na UE. Não há isenção por ser pequeno.

E «produto com elementos digitais» é mais largo do que parece: não é só hardware ligado à internet. Software conta.

Dito isto, há limites e exceções — nomeadamente em torno do software de código aberto e do que se considera colocar um produto no mercado no âmbito de uma atividade comercial. É exatamente sobre isso que a Comissão publicou orientações a 27 de julho de 2026, e é aí que se deve confirmar o caso concreto, em vez de assumir que se está de fora.

A regra prática: se distribuis software no mercado europeu como atividade comercial, parte do princípio de que te diz respeito, e confirma na orientação oficial. O contrário — assumir que estás isento e descobrir tarde — sai muito mais caro.

O que fazer se publicas software

Nada disto exige um departamento jurídico. Exige três coisas simples, feitas antes de precisares delas:

1. Saber onde reportar antes de haver problema. Descobrir qual é o CSIRT do país onde tens o estabelecimento principal, com a plataforma da ENISA já localizada. Nas primeiras 24 horas de um incidente não se procura endereços.
2. Ter um canal por onde te avisem. Um endereço de contacto visível para quem encontre uma falha. Muita vulnerabilidade explorada é descoberta por terceiros, e o relógio das 24 horas começa quando tomas conhecimento.
3. Registar datas. Quando soubeste, quando avisaste, quando houve correção. Os prazos contam-se a partir de momentos concretos, e sem registo não se prova nada.

Por que isto aparece aqui

Este site fala sobre viver e trabalhar na Europa, e uma parte de quem lê trabalha com tecnologia — como funcionário, como freelancer ou publicando as suas próprias aplicações. Regras europeias que mudam o dia a dia de quem desenvolve entram na mesma categoria das regras de imigração que acompanhamos: prazo publicado, fonte oficial, consequência concreta.

Se estás a montar vida em Portugal e trabalhas na área, o guia dos documentos necessários para trabalhar em Portugal trata do lado burocrático, e o de como conseguir emprego morando fora do lado do trabalho.

Verificado a 19 de setembro de 2026

Os prazos e a plataforma descritos acima foram confirmados nas páginas oficiais da Comissão Europeia e da ENISA nesta data, já depois de as obrigações de comunicação terem entrado em vigor a 11 de setembro de 2026. Esta página regista a data em que a informação foi confirmada na fonte oficial, porque estas regras mudam e um texto sem data não deixa ninguém perceber se ainda serve.

Perguntas frequentes

O que muda a 11 de setembro de 2026 no Cyber Resilience Act?

Começam a aplicar-se as obrigações de comunicação: fabricantes de produtos com elementos digitais passam a ter de reportar vulnerabilidades ativamente exploradas e incidentes graves com impacto na segurança do produto.

Quais são os prazos para reportar?

Alerta inicial em 24 horas, notificação em 72 horas, e relatório final em 14 dias no caso de vulnerabilidade ativamente explorada (a contar de haver medida corretiva ou de mitigação disponível) ou em 1 mês no caso de incidente grave, a contar da notificação das 72 horas.

Para quem se reporta?

Para o CSIRT do Estado-membro onde o fabricante tem o estabelecimento principal, ficando a informação simultaneamente disponível à ENISA, salvo circunstâncias excecionais. Faz-se pela Plataforma Única de Comunicação mantida pela ENISA, operacional a partir de 11 de setembro de 2026.

Empresas pequenas estão isentas?

Não por serem pequenas. A Comissão Europeia refere fabricantes, criadores e empresas de todas as dimensões na UE. Existem limites e exceções, nomeadamente em torno do software de código aberto, tratados nas orientações publicadas pela Comissão em 27 de julho de 2026.

O regulamento já se aplica por inteiro?

Não. Está em vigor desde dezembro de 2024 e aplica-se de forma escalonada. A 11 de setembro de 2026 entram as obrigações de comunicação; o prazo geral de cumprimento é dezembro de 2027.

Software conta como produto com elementos digitais?

Sim, o âmbito não se limita a hardware. O que define a aplicação é colocar no mercado europeu um produto com elementos digitais no âmbito de uma atividade comercial — e é esse ponto, e as exceções, que as orientações da Comissão esclarecem.

Leia também

• Documentos necessários para trabalhar em Portugal: a ordem certa de tirar cada um
• Como conseguir emprego em Portugal morando fora: o que dá para adiantar antes de chegar
• Visto de nômade digital em Portugal 2026: os requisitos, os documentos e os 3.680€ por mês que ninguém avisa
• Nova Lei de Estrangeiros publicada: é a Lei n.º 62/2026 e entra em vigor a 11 de setembro
• IA da OpenAI invadiu site do governo da Austrália