Reporte CRA • atualizado em 2 set. 2026

CRA: reporte em 24 e 72 horas e operação do SRP

Entenda os gatilhos, prazos e o fluxo do SRP para fabricantes: EU Login, representantes, ausência de API e evidências do reporte CRA.

Responsável editorial: Cícero Grangeiro da SilvaRevisado em 2 set. 2026Fontes oficiais verificáveisLeitura: 11 minutos
Distribuição responsável

Compartilhe este guia com a equipe.

Os links preservam a fonte e identificam o canal de origem. Para Instagram e TikTok, use o compartilhamento do celular.

LinkedInWhatsAppFacebookX

01 • decisão inicial

Nem toda falha inicia um reporte CRA

O artigo 14 trata de dois gatilhos: vulnerabilidade ativamente explorada e incidente grave com impacto na segurança de um produto com elementos digitais. A empresa precisa distinguir sinal, hipótese, evento confirmado e obrigação de reporte sem perder a trilha do que sabia em cada momento.

VulnerabilidadeExiste evidência confiável de exploração ativa?
IncidenteO evento produz impacto grave na segurança do produto?
ProdutoFamília, modelo, versão e serviços associados estão delimitados?
AutoridadeQuem pode concluir o gatilho e aprovar a notificação?

O Radar organiza fatos e responsabilidades. A conclusão sobre reportabilidade e o envio oficial devem permanecer com a organização e profissionais competentes.

02 • atualização oficial

O que a ENISA confirmou para a operação do SRP

Na FAQ atualizada em 31 de agosto de 2026, a ENISA detalhou como organizações devem se preparar para a Single Reporting Platform. A plataforma está prevista para entrar em operação em 11 de setembro de 2026, quando começam as obrigações de reporte do artigo 14.

TemaConfirmação oficialPreparação interna
AcessoRepresentantes designados usam EU Login com autenticação de dois fatores.Definir titular, suplente e dispositivo de contingência.
EquipeUma organização pode ter um representante principal e até 20 secundários.Distribuir cobertura sem compartilhar credenciais.
FluxoO mesmo registro progride pelas etapas de alerta, notificação e relatório final.Manter um dossiê único, versionado e rastreável.
IntegraçãoNão haverá API pública nesta fase.Automatizar a coleta interna e preservar revisão humana no envio.
Não é necessário cadastrar a organização preventivamente.A ENISA recomenda fazer o registro quando houver necessidade de reportar. Mesmo assim, papéis, EU Login, autenticação de dois fatores e contingência devem ser preparados e ensaiados antes do evento.

03 • relógio regulatório

O que muda entre 24 horas, 72 horas e o relatório final

A partir de 11 de setembro de 2026, fabricantes abrangidos deverão usar a Single Reporting Platform. A Comissão descreve um alerta inicial em até 24 horas e uma notificação principal em até 72 horas após a tomada de conhecimento.

  1. 24h
    Alerta inicial

    Registrar o evento, o produto e os fatos disponíveis sem preencher lacunas com suposições.

  2. 72h
    Notificação principal

    Consolidar natureza, avaliação inicial, medidas adotadas e orientações disponíveis.

  3. 14 dias
    Vulnerabilidade explorada

    Relatório final até 14 dias depois que a medida corretiva ou mitigadora estiver disponível.

  4. 1 mês
    Incidente grave

    Relatório final em até um mês após a apresentação da notificação de 72 horas.

Prazo curto não autoriza informação inventada.Separe fato confirmado, hipótese, fonte, responsável e horário. A qualidade do registro protege a decisão e facilita as atualizações.

04 • governança

Uma matriz mínima para não depender de uma pessoa

PapelResponsabilidadeEvidência
RecebedorRegistrar o sinal, o horário e a origem sem alterar o relato.Registro inicial
CoordenadorAcionar produto, segurança, qualidade, direção e contato europeu.Linha do tempo
AprovadorDecidir, com suporte competente, sobre gatilho, conteúdo e envio.Registro da decisão
SuplenteAssumir a função durante ausência ou indisponibilidade do titular.Escala de cobertura

Importador, distribuidor, representante autorizado e parceiro europeu podem precisar de informação do fabricante. A rota deve ser confirmada para o produto e para o país envolvido.

05 • prontidão

O pacote de informação deve existir antes do incidente

  • Identidade do produtoFamília, modelo, versão, firmware, componentes e serviço remoto associado.
  • Descrição do sinalOrigem, horário, sintoma, exploração conhecida, impacto e evidência disponível.
  • Medidas adotadasContenção, correção, comunicação, orientação ao usuário e estado de implementação.
  • Rota europeiaEntidade notificante, estabelecimento relevante, representante quando aplicável e CSIRT coordenador.
  • Controle de versãoQuem alterou cada campo, com qual fonte e em qual horário.

06 • teste

Simule sem enviar nada ao órgão

Escolha um cenário fictício, acione a equipe e meça cinco tempos: reconhecer o produto, localizar o dono, reunir os fatos mínimos, obter decisão e preparar o conteúdo. O teste deve terminar com lacunas nomeadas e responsáveis definidos — nunca com uma notificação real de ensaio.

Quer localizar o primeiro bloqueio do fluxo?O Radar Express organiza oito dimensões sem upload e libera um plano inicial.
Fazer diagnóstico gratuito →

07 • verificação

Fontes oficiais

Comissão Europeia — reporte CRAgatilhos, prazos e SRP ↗Resumo do regulamentoartigos, escopo e calendário ↗Regulamento (UE) 2024/2847texto oficial ↗FAQ do SRP — atualizada em 31 ago. 2026EU Login, representantes, fluxo e ausência de API ↗

Conteúdo informativo e operacional. Não constitui parecer jurídico, decisão de reporte ou envio a autoridade.