Guia operacional • atualizado em 2 set. 2026
Cyber Resilience Act para fabricantes brasileiros.
O que produto, engenharia, segurança, qualidade e exportação precisam organizar antes que uma janela de 24 ou 72 horas comece.
01 • contexto
As datas essenciais do CRA
O Cyber Resilience Act é o Regulamento (UE) 2024/2847 para produtos com elementos digitais. As obrigações principais passam a ser aplicáveis em 11 de dezembro de 2027. Antes disso, em 11 de setembro de 2026, começam obrigações de reporte para vulnerabilidades ativamente exploradas e incidentes graves nos casos abrangidos.
Em 27 de julho de 2026, a Comissão publicou nova orientação com 67 exemplos, casos de uso e fluxos sobre escopo, serviços remotos, modificação substancial, período de suporte, reporte e avaliação de risco. Essa orientação ajuda a interpretar o regulamento, mas não substitui análise do produto e do papel econômico.
02 • escopo inicial
Quem deve investigar agora
Uma empresa brasileira merece prioridade de análise quando combina produto com elemento digital, disponibilização ou negociação na União Europeia e uma responsabilidade comercial que precisa ser confirmada. Equipamento conectado, software embarcado, aplicativo ou serviço remoto associado podem exigir investigação — a presença de software, sozinha, não conclui o enquadramento.
Se essas respostas não cabem em uma página sem contradições, existe uma lacuna operacional mesmo antes da conclusão jurídica.
03 • coordenação
Como pensar o fluxo CRA 24/72h
As janelas não devem ser tratadas como simples contagem regressiva. A equipe precisa reconhecer o sinal, confirmar os fatos mínimos, preservar registro e colocar a decisão nas mãos de quem tem autoridade.
- 0hReceber e registrar o sinal
Origem, horário, produto, versão, canal, sintoma e pessoa que recebeu.
- até 24hEscalar e preparar o alerta inicial
Conectar segurança, produto, direção e contato europeu sem preencher lacunas com suposição.
- até 72hAtualizar com informação disponível
Consolidar avaliação inicial, medidas, impacto conhecido e estado da investigação.
- depoisManter evidência e relatório final
Registrar decisões, correções, comunicação, aprovação e encerramento conforme o caso.
A decisão de que um evento é reportável e o envio pelo canal oficial permanecem com a organização e seus profissionais competentes. O Radar prepara o terreno; não toma essa decisão sozinho.
04 • plataforma oficial
O que precisa estar pronto para o SRP
A ENISA informa que a Single Reporting Platform estará operacional em 11 de setembro de 2026. O acesso usará EU Login, o envio será encaminhado ao CSIRT coordenador e à ENISA conforme o fluxo aplicável, e os campos já foram publicados em estrutura de 24 horas, 72 horas e relatório final.
Para fabricante não estabelecido na UE, a rota do CSIRT pode considerar o estabelecimento de um representante autorizado, se houver, conforme o artigo 14(7). Isso não autoriza concluir que todo fabricante brasileiro precisa nomear um representante sem analisar o caso. A ENISA orienta que a validação da representação ocorra quando houver uma notificação específica.
Conferir os campos e as instruções na FAQ oficial da ENISA ↗
05 • índice mínimo
Que evidências precisam ser localizáveis
O objetivo não é centralizar todos os arquivos em uma nova plataforma. É saber onde está a fonte, quem controla, qual versão vale e qual lacuna bloqueia a próxima decisão.
06 • risco de execução
Cinco erros que custam tempo
- Começar pelo documento final.Sem produto, versão e dono, o arquivo vira uma fotografia sem operação.
- Tratar todo software da mesma forma.Escopo, exclusões, papel econômico e serviços associados precisam ser confirmados.
- Confundir maturidade com conformidade.Um bom nível de processo ajuda, mas não é veredito sobre requisito ou produto.
- Deixar o parceiro europeu fora do fluxo.Representante, importador ou distribuidor podem depender de fatos que estão no Brasil.
- Prometer certeza antes das evidências.Hipóteses explícitas são mais seguras que respostas rápidas sem fonte.
07 • começar pequeno
Plano de sete dias para localizar a primeira lacuna
- Dia 1Escolher uma família de produto e um país europeu.
- Dia 2Nomear responsável, suplente e aprovador.
- Dia 3Desenhar o caminho do sinal até a decisão.
- Dia 4Listar dez evidências e seus donos, sem mover arquivos.
- Dia 5Confirmar contato e dependência do parceiro europeu.
- Dia 6Simular um caso e registrar onde o fluxo parou.
- Dia 7Priorizar três correções com prazo e responsável.
08 • verificação
Fontes oficiais usadas neste guia
Conteúdo informativo e operacional. Não constitui parecer jurídico, avaliação de conformidade, ensaio, certificação ou decisão de reporte. Confirme o caso com profissionais competentes.