Preparação para a notificação prevista no artigo 14.º do CRA

Preparação antes de uma notificação

Antes de ocorrer um incidente, o fabricante deve saber quais os produtos abrangidos, quem pode apresentar notificações, qual o CSIRT coordenador que as recebe e em que Estados-Membros os produtos foram disponibilizados.

CSIRT coordenador

A notificação é apresentada através do ponto de contacto eletrónico do CSIRT designado como coordenador do Estado-Membro em que o fabricante tem o seu estabelecimento principal na União e deve ser simultaneamente acessível à ENISA.

Regulamento (UE) 2024/2847, artigo 14.º, n.º 7

No caso de um fabricante da UE, o estabelecimento principal é o Estado-Membro onde são tomadas principalmente as decisões de cibersegurança relativas ao produto. Se não for possível determinar esse Estado-Membro, aplica-se como critério subsidiário aquele onde se situa o estabelecimento do fabricante na União com o maior número de trabalhadores.

No caso de um fabricante sem estabelecimento principal na União, o artigo 14.º, n.º 7, determina o Estado-Membro do CSIRT coordenador pela seguinte ordem, com base nas informações de que o fabricante dispõe:

1. O Estado-Membro onde está estabelecido o representante autorizado que atua relativamente ao maior número de produtos desse fabricante.
2. O Estado-Membro onde está estabelecido o importador que coloca no mercado o maior número de produtos desse fabricante.
3. O Estado-Membro onde está estabelecido o distribuidor que disponibiliza no mercado o maior número de produtos desse fabricante.
4. O Estado-Membro onde se encontra o maior número de utilizadores dos produtos desse fabricante.

Produtos disponibilizados por Estado-Membro

O alerta precoce de 24 horas solicita os Estados-Membros onde o fabricante sabe que o produto afetado foi disponibilizado. A SRP também encaminha as informações para outros CSIRT dos Estados-Membros onde o produto está disponível.

• Vendas diretas e canais de distribuição na UE;
• Mercados em linha, lojas de aplicações e canais de transferência utilizados por utilizadores da UE;
• Importadores e distribuidores que colocam o produto no mercado ou o disponibilizam em Estados-Membros específicos;
• Versões do produto, versões de firmware, funções dependentes da nuvem ou variantes de modelo que afetem a notificação.

Preparação dos dados da notificação

A ENISA descreve a SRP como um ponto de entrada único. O fabricante apresenta a notificação uma vez, e a plataforma encaminha-a para o CSIRT coordenador e para a ENISA. A notificação continua a depender da disponibilidade interna de dados sobre o produto e a segurança.

• Quem está autorizado a apresentar a notificação;
• Que produto, versão, componente ou função do serviço é afetado;
• Se o evento é tratado como uma vulnerabilidade explorada ativamente ou um incidente grave;
• O que se sabe, o que ainda está a ser investigado e que medidas de mitigação estão disponíveis;
• Que utilizadores ou Estados-Membros podem ser afetados;
• Como o fabricante informará os utilizadores afetados quando o artigo 14.º o exigir.

Identificação de eventos notificáveis

As condições que tornam obrigatória uma notificação são explicadas em Notificação de vulnerabilidades. O fabricante tem de identificar esses eventos com rapidez suficiente para cumprir os prazos de 24 e 72 horas.