Notificação de vulnerabilidades ao abrigo do Regulamento da Ciber-Resiliência da UE

Quando é obrigatória a notificação

O critério não é a categoria do produto, a pontuação CVSS nem a mera existência de uma vulnerabilidade. O artigo 14.º pergunta se o fabricante tomou conhecimento de um evento notificável num produto com elementos digitais.

Outras vulnerabilidades, ameaças cibernéticas, quase-acidentes e incidentes de menor impacto podem continuar a ser relevantes para o tratamento de vulnerabilidades ou para notificações voluntárias. Não são automaticamente notificações obrigatórias ao abrigo do artigo 14.º.

Vulnerabilidade explorada ativamente

«vulnerabilidade explorada ativamente» designa uma vulnerabilidade para a qual existam evidências fiáveis de que um agente malicioso a explorou num sistema sem autorização do respetivo proprietário;

Regulamento (UE) 2024/2847, artigo 3.º, n.º 42

A definição tem três elementos. Tem de existir uma vulnerabilidade, têm de existir evidências fiáveis de exploração e essa exploração tem de ser maliciosa e não autorizada. Uma via de exploração teórica ou o resultado de um scanner não são suficientes, por si só.

Uma vulnerabilidade de dia zero pode ser notificável, mas apenas se o fabricante tiver evidências fiáveis de que um agente malicioso a explorou. Uma comunicação de boa-fé ao abrigo de um programa de recompensa por bugs ou uma constatação laboratorial sem evidências de exploração maliciosa anterior não preenchem o critério obrigatório do artigo 14.º, embora a notificação voluntária possa continuar a estar disponível.

O conhecimento fiável pode resultar de várias vias:

• Um cliente ou parceiro comunica uma intrusão e apresenta evidências de que a vulnerabilidade do produto foi explorada;
• Uma entidade governamental, um investigador de segurança ou um relatório de informações sobre ameaças identifica uma exploração no produto;
• A telemetria, monitorização ou investigação do próprio fabricante deteta evidências de exploração.

A vulnerabilidade também tem de estar contida no produto com elementos digitais. Se um componente integrado tiver uma vulnerabilidade que não possa ser explorada no produto do fabricante, esse facto não transforma, por si só, a vulnerabilidade numa vulnerabilidade explorada ativamente nesse produto apenas porque o componente é afetado noutro local.

Incidente grave que afeta a segurança do produto

Um incidente grave também tem de estar relacionado com o produto. Um incidente geral de TI da empresa não é suficiente, por si só. O incidente tem de afetar a segurança do produto com elementos digitais.

Nos termos do artigo 14.º, um incidente é grave quando:

• Afeta negativamente ou pode afetar negativamente a capacidade do produto para proteger a disponibilidade, autenticidade, integridade ou confidencialidade de dados ou funções sensíveis ou importantes;
• Levou ou pode levar à introdução ou execução de código malicioso no produto ou nas redes e sistemas de informação de um utilizador.

24 horas, 72 horas e relatório final

O artigo 14.º estabelece notificações faseadas. A primeira é um alerta precoce e não tem de constituir um dossier técnico completo. As fases posteriores acrescentam as informações disponíveis à medida que o fabricante investiga e mitiga o evento.

1. Alerta precoce: sem demora injustificada e no prazo de 24 horas após o fabricante tomar conhecimento.
2. Notificação principal: sem demora injustificada e no prazo de 72 horas após o fabricante tomar conhecimento, salvo se as informações pertinentes já tiverem sido fornecidas.
3. Relatório final de uma vulnerabilidade explorada ativamente: o mais tardar 14 dias após estar disponível uma medida corretiva ou de mitigação.
4. Relatório final de um incidente grave: no prazo de um mês após a notificação do incidente de 72 horas.

Os prazos de 24 e 72 horas começam quando o fabricante toma conhecimento do evento notificável. Estas fases não são períodos de espera: as notificações têm de ser apresentadas sem demora injustificada. Os prazos do relatório final têm pontos de partida distintos: a disponibilização de uma medida corretiva ou de mitigação para uma vulnerabilidade e a apresentação da notificação do incidente para um incidente grave.

Plataforma Única de Notificação

Para efeitos das notificações referidas no artigo 14.º, n.os 1 e 3, e no artigo 15.º, n.os 1 e 2, e a fim de simplificar as obrigações de notificação dos fabricantes, a ENISA cria uma plataforma única de notificação. A gestão e manutenção do funcionamento diário dessa plataforma única de notificação competem à ENISA. A arquitetura da plataforma única de notificação permite que os Estados-Membros e a ENISA estabeleçam os seus próprios pontos de contacto eletrónicos para notificações.

Regulamento (UE) 2024/2847, artigo 16.º, n.º 1

As notificações ao abrigo do artigo 14.º são apresentadas através da Plataforma Única de Notificação. A ENISA lançou a capacidade operacional inicial em 11 de setembro de 2026; a plataforma está agora disponível para notificações obrigatórias.

Preparação para a notificação

Para apresentar notificações a tempo, os fabricantes necessitam de um procedimento de notificação através da SRP, de um CSIRT coordenador, de informações sobre os Estados-Membros onde o produto é fornecido e de dados internos do produto acessíveis. A página sobre preparação para a notificação explica estas medidas.

Leia Preparação para a notificação ao abrigo do artigo 14.º depois de esclarecer os critérios de acionamento.

Casos-limite