UE exige que fabricantes de carteiras conectadas comuniquem falhas exploradas em 24 horas

As regras da UE exigem que os fabricantes comerciais de carteiras de hardware conectadas e de software de carteiras abrangidos pelo escopo alertem as autoridades de cibersegurança no prazo de 24 horas após descobrirem uma vulnerabilidade explorada ativamente ou um incidente grave de segurança. A exigência entrou em vigor em 11 de setembro de 2026, ao abrigo do Regulamento de Ciber-resiliência da UE (Cyber Resilience Act). A lei aplica-se a hardware e software disponibilizados no mercado da UE. Um produto deve ter uma utilização pretendida ou razoavelmente previsível que inclua uma ligação direta ou indireta de dados a um dispositivo ou rede. Carteiras de hardware conectadas fornecidas comercialmente e aplicações de carteiras descarregáveis podem cumprir esse teste. A orientação da UE não identifica marcas de carteiras nem declara que todos os serviços ou projetos de carteiras estão abrangidos. A primeira comunicação é um alerta precoce que deve ser feito sem demora indevida e, o mais tardar, 24 horas depois de o fabricante tomar conhecimento da vulnerabilidade ou do incidente. A comunicação deve indicar os Estados-membros onde se sabe que o produto foi disponibilizado. No caso de um incidente grave, deve informar se há suspeita de atos ilícitos ou maliciosos. Uma notificação mais completa deve ser apresentada no prazo de 72 horas, salvo se as informações relevantes já tiverem sido fornecidas. Para uma vulnerabilidade explorada ativamente, essa notificação inclui informações gerais sobre o produto, a exploração e a vulnerabilidade. Inclui também medidas corretivas ou de mitigação. Para um incidente grave, inclui a natureza do incidente, uma avaliação inicial e as informações de mitigação disponíveis. O relatório de uma vulnerabilidade deve ser apresentado no máximo 14 dias após ficar disponível uma medida corretiva ou de mitigação. O relatório final de um incidente grave deve ser apresentado um mês após a notificação de 72 horas. Os fabricantes apresentam a comunicação uma vez através da Plataforma Única de Comunicação (Single Reporting Platform) lançada pela ENISA. A plataforma envia a notificação à Equipa designada de Coordenação de Resposta a Incidentes de Segurança Informática. Os fabricantes devem informar os utilizadores afetados quando for necessária alguma ação. A regra abrange produtos dentro do escopo colocados no mercado antes de 11 de dezembro de 2027. Produtos gratuitos e de código aberto fornecidos comercialmente também podem sujeitar os fabricantes a obrigações. Software não monetizado fornecido pelo seu fabricante não deverá ser considerado atividade comercial. Colaboradores individuais não são tratados como fabricantes relativamente a software fora da sua responsabilidade. Os responsáveis por software de código aberto terão deveres de comunicação separados a partir de 11 de dezembro de 2027. Os requisitos mais amplos de segurança de produtos do Regulamento de Ciber-resiliência também entrarão em vigor nessa data.