Esconder um ciberataque acaba de se tornar ilegal na Europa — os fabricantes têm 24 horas para reportar

Vender um dispositivo ligado na Europa passa a ter uma obrigação que não existia na semana passada: descobrir um ataque informático ou um incidente grave de segurança e as autoridades devem ser notificadas no prazo de 24 horas. A Lei Europeia da Ciber-resiliência cruzou o seu primeiro grande limiar de aplicação esta semana, e a cadeia é específica — uma notificação completa segue dentro de 72 horas, com um relatório final devido 14 dias após a disponibilização de uma correção, ou no prazo de um mês para incidentes mais amplos.

A obrigação abrange o que a lei designa por ‘produtos com elementos digitais’ — uma categoria suficientemente ampla para incluir smartphones, termóstatos inteligentes, routers ligados, aplicações de fitness e plataformas na cloud. Criticamente, aplica-se a produtos já no mercado da UE, não apenas a novos lançamentos. Um dispositivo enviado há dois anos e ainda em uso está dentro do âmbito se tiver funcionalidade ligada. Software gratuito distribuído comercialmente está sujeito às mesmas regras.

Antes de 11 de setembro, a relação entre um fabricante e um incidente de segurança era largamente governada por políticas internas. As empresas divulgavam ataques quando escolhiam fazê-lo, muitas vezes após semanas de revisão interna, consulta jurídica e avaliação de risco de marca. Algumas nunca divulgavam. Essa discricionariedade desapareceu agora na Europa. Os relatórios são enviados à Equipa Nacional de Resposta a Incidentes de Segurança Informática (CSIRT) do Estado-Membro da UE onde se situa o estabelecimento principal do fabricante, com cópia para a Agência da União Europeia para a Cibersegurança, ENISA, através de uma Plataforma Única de Comunicação dedicada.

A questão da preparação é séria. Quando as obrigações de comunicação foram finalizadas, os fabricantes tiveram aproximadamente três meses para construir a infraestrutura interna — um inventário dos produtos afetados, protocolos de escalonamento claros e integração técnica com a Plataforma Única de Comunicação. Os consultores jurídicos que trabalham com fabricantes alertam que os prazos deixam quase nenhum tempo para construir o processo após o início de um incidente. Uma empresa que descubra uma violação à meia-noite de uma sexta-feira deve apresentar o seu relatório inicial antes da meia-noite de sábado, independentemente do fim de semana ou feriados.

O benefício para o consumidor é real, mas indireto. Os fabricantes também devem notificar os utilizadores afetados sobre incidentes de segurança e as mitigações disponíveis. Se uma empresa não notificar os utilizadores atempadamente, as autoridades nacionais de cibersegurança podem intervir e emitir o alerta elas próprias. Este não é um regime de notificação que o utilizador comum veja no seu telemóvel — opera através de canais regulatórios — mas cria uma obrigação executável de que os ataques não podem simplesmente ser absorvidos em silêncio por uma equipa jurídica.

11 de setembro é a parte mais restrita da obrigação. O corpo mais completo da Lei Europeia da Ciber-resiliência — que exige que os produtos ligados sejam concebidos com segurança incorporada, que impõe processos de tratamento de vulnerabilidades e que impõe avaliações de conformidade para as categorias de produtos de maior risco — não se aplica até 11 de dezembro de 2027. Esse prazo exige alterações de conceção, protocolos de teste e processos de certificação que simplesmente não podem ser aplicados às linhas de produtos existentes em poucos meses. A indústria tem mais de um ano, mas o trabalho técnico já está em curso nos principais fabricantes.

A abordagem da UE torna a Europa o primeiro grande bloco regulatório a impor prazos vinculativos de divulgação de vulnerabilidades em todo o mercado de tecnologia de consumo, e não apenas em infraestruturas críticas. A rapidez com que as CSIRT nacionais desenvolvem a capacidade para processar estes relatórios — e se a aplicação segue as falhas de divulgação nos primeiros meses — determinará se 11 de setembro marca uma verdadeira mudança ou um prazo no papel.

Etiquetas: cibersegurança, violação de dados, Comissão Europeia, Cyber Resilience Act, dispositivos ligados, ENISA