Guia CRA • vulnerabilidades e suporte
Gestão de vulnerabilidades no CRA: processo, suporte e evidências
Fluxo prático para fabricantes estruturarem recebimento, triagem, correção, divulgação, atualização e reporte de vulnerabilidades no Cyber Resilience Act.
Compartilhe este guia com a equipe.
Os links preservam a fonte e identificam o canal de origem. Para Instagram e TikTok, use o compartilhamento do celular.
01 • sistema contínuo
O processo precisa funcionar durante todo o período de suporte
Os requisitos essenciais do CRA tratam da gestão eficaz de vulnerabilidades do produto e de seus componentes. Isso inclui identificar e documentar vulnerabilidades, corrigir sem demora indevida, distribuir atualizações de segurança, manter uma política coordenada de divulgação e informar os usuários quando necessário.
02 • recebimento e decisão
Um sinal só vira ação quando ganha contexto
- 01Receber
Mantenha endereço de contato, política de divulgação e canais internos monitorados.
- 02Preservar
Registre origem, horário, conteúdo, produto e restrições de acesso sem alterar a evidência.
- 03Confirmar alcance
Relacione componente, versões, configuração, exploração conhecida e mercados afetados.
- 04Avaliar e escalar
Aplique critérios técnicos e de negócio, acione responsáveis e mantenha incertezas explícitas.
- 05Corrigir e verificar
Implemente correção ou mitigação, teste regressão e documente risco residual.
- 06Comunicar e aprender
Distribua atualização, informe partes relevantes e revise avaliação de risco e controles.
03 • ciclo de vida
Período de suporte precisa de fundamento e capacidade
O fabricante deve determinar o suporte considerando uso esperado, finalidade, expectativas razoáveis, ambiente operacional e componentes de terceiros. Em regra, o período é de pelo menos cinco anos; quando o uso esperado for menor, pode corresponder a esse tempo. A decisão e seus fatores devem integrar a documentação técnica.
Duração, produtos cobertos, início, fim e forma de comunicação ao comprador.
Equipe, componentes, ferramentas e fornecedores disponíveis durante o período.
Canal seguro, autenticidade, teste, rollback e instruções ao usuário.
Atualizações de segurança permanecem acessíveis pelo período exigido.
04 • casos abrangidos
Prepare a decisão antes do relógio começar
A partir de 11 de setembro de 2026, fabricantes devem reportar vulnerabilidades ativamente exploradas e incidentes graves que afetem a segurança do produto, nos termos do artigo 14. A Comissão descreve alerta inicial em até 24 horas e notificação principal em até 72 horas após a tomada de conhecimento, com relatórios finais posteriores.
05 • recurso público
Registre o fluxo antes de automatizar
O modelo gratuito organiza sinal, produto, versão, componente, alcance, severidade, exploração, decisão, correção, comunicação, reporte e responsáveis. Ele não envia dados a autoridades e não deve receber segredos.
06 • verificação
Fontes oficiais
Modelo e conteúdo para preparação operacional. O envio oficial continua uma decisão humana da organização responsável.