28 de setembro de 2026. Há uma data que merece atenção de quem fabrica, integra, compra ou utiliza tecnologia conectada na Europa: 11 de setembro de 2026. A partir desse dia, passaram a aplicar-se as obrigações de notificação do Cyber Resilience Act (CRA) relativas a vulnerabilidades ativamente exploradas e a incidentes graves que afetem a segurança de produtos com elementos digitais.

Não se trata ainda da aplicação integral do regulamento — essa etapa está prevista para 11 de dezembro de 2027. Mas trata-se de uma mudança operacional relevante: a cibersegurança deixa de ser apenas uma promessa inscrita numa ficha técnica, numa campanha comercial ou numa lista de funcionalidades. Passa a exigir capacidade concreta de reconhecer um incidente, decidir, reunir informação e comunicar rapidamente através da Single Reporting Platform (SRP), operada pela ENISA.

Para o universo da segurança física conectada, esta evolução é particularmente importante. Uma câmara IP, um sistema de controlo de acessos, um alarme ligado à rede, um router, um sensor ou uma plataforma de monitorização não são somente equipamentos: são também pontos de entrada, componentes de uma cadeia de fornecimento e, por vezes, fontes de dados sensíveis. A segurança de um objeto digital já não pode ser avaliada apenas no momento da instalação.

11 de setembro: a camada operacional do CRA entrou em cena

O CRA entrou em vigor em 10 de dezembro de 2024 e estabelece um enquadramento horizontal para produtos de hardware e software com elementos digitais disponibilizados no mercado da União Europeia. A Comissão Europeia explica que o objetivo é elevar o nível de cibersegurança ao longo do ciclo de vida desses produtos, incluindo requisitos ligados à gestão de vulnerabilidades.

Desde 11 de setembro de 2026, os fabricantes abrangidos devem reportar vulnerabilidades ativamente exploradas e incidentes graves que afetem a segurança dos seus produtos. O canal previsto é a SRP da ENISA, concebida como infraestrutura europeia de coordenação entre fabricantes, equipas de resposta a incidentes de segurança informática (CSIRTs) e autoridades competentes.

A Comissão indica uma sequência exigente: alerta inicial em 24 horas, notificação mais completa em 72 horas e relatório final. No caso de vulnerabilidades exploradas, esse relatório deve ser entregue até 14 dias após a disponibilização de uma medida corretiva; para incidentes graves, o prazo indicado é de um mês. Estes prazos não significam que qualquer falha técnica tenha de ser reportada. O critério é mais delimitado e também mais sério: exploração ativa ou gravidade com impacto na segurança do produto.

É precisamente aqui que está a mudança de cultura. O prazo de 24 horas transforma a resposta a incidentes numa questão de governação. Não basta que uma equipa técnica consiga criar uma atualização: uma organização precisa de saber quem avalia os sinais, quem qualifica a situação, quem valida a informação e quem tem autoridade para acionar o reporte.

Produtos de segurança conectados: a superfície de ataque acompanha a funcionalidade

Durante anos, o discurso comercial sobre equipamentos conectados concentrou-se em imagem, alcance, autonomia, armazenamento, deteção ou acesso remoto. Tudo isso continua a contar. Porém, a conectividade acrescenta uma pergunta que não pode ficar em segundo plano: como é mantida a segurança do produto quando surge uma falha?

O contexto ajuda a explicar a urgência. No ENISA Threat Landscape 2026, publicado em 22 de setembro, a agência europeia destaca a persistência do ransomware entre os incidentes de maior impacto, a continuidade dos ataques DDoS hacktivistas, a exploração de vulnerabilidades e o peso das dependências digitais. A utilização de IA por atores maliciosos cresce, mas não elimina os vetores conhecidos: credenciais comprometidas, phishing, falhas não corrigidas, configurações frágeis e serviços expostos continuam a ser problemas muito concretos.

Em equipamentos de proteção patrimonial e vigilância, a consequência é direta. Uma solução de videovigilância ligada à rede pode reforçar a visibilidade sobre um local, mas deve ser encarada como um ativo digital que requer atualizações, palavras-passe adequadas, segmentação de rede e acompanhamento do suporte do fornecedor. O mesmo raciocínio aplica-se a uma câmera espiã Wi-Fi, quando o uso é legítimo e conforme com as regras de privacidade aplicáveis: conectividade sem uma política clara de atualização pode converter uma funcionalidade numa exposição.

Não é necessário transformar cada dispositivo num motivo de alarme. É necessário abandonar a ideia de que o risco termina depois da compra. A pergunta mais madura deixou de ser apenas “o equipamento funciona?” e passou a incluir “quem responde quando algo deixa de ser seguro?”

O que esta novidade altera para fabricantes, integradores e compradores

Para fabricantes: resposta comprovável, não apenas documentação

Os fabricantes precisam de processos que funcionem sob pressão. Isso inclui receber e triar relatos de vulnerabilidades, avaliar se existe exploração ativa, determinar a relevância do incidente para a segurança do produto, preservar evidências e preparar comunicações consistentes. As orientações publicadas pela Comissão em 27 de julho de 2026 procuraram precisamente apoiar empresas em temas como escopo, avaliação de riscos, modificações substanciais, períodos de suporte e obrigações de reporte.

Na prática, a questão não é só ter um endereço de contacto para segurança. É demonstrar que existe uma cadeia de decisão viável dentro das janelas previstas. Um processo que dependa exclusivamente de uma pessoa indisponível, de informação técnica dispersa ou de fornecedores sem compromisso de suporte dificilmente corresponde ao espírito desta nova fase.

Para integradores e revendedores: a escolha do fornecedor ganha uma nova dimensão

Quem recomenda ou integra soluções não substitui o fabricante nas suas obrigações legais, mas participa na qualidade da escolha feita pelo cliente. Na seleção de um sistema de alarme anti-intrusão, de uma câmara ligada à Internet ou de um software de supervisão, as perguntas comerciais e técnicas devem convergir.

Vale a pena procurar respostas objetivas: qual é o período de suporte? Como são distribuídas as atualizações? Existe um canal de divulgação de vulnerabilidades? A documentação permite configurar o produto de forma segura? Há dependências de serviços na nuvem ou de aplicações de terceiros? E, sobretudo, o fornecedor consegue explicar como atua perante um incidente relevante?

O CRA não converte automaticamente cada catálogo numa garantia absoluta. Porém, torna menos aceitável a opacidade sobre manutenção, correções e responsabilidades. A compra de tecnologia de segurança tende a aproximar-se cada vez mais de uma decisão de ciclo de vida — e não apenas de preço, desempenho ou prazo de entrega.

Para compradores B2B: a cibersegurança deve entrar no caderno de encargos

Para empresas, profissionais e organizações, a consequência mais útil é simples: incluir a segurança do produto na fase de aquisição. Em vez de esperar por uma falha, convém pedir informação sobre atualizações, gestão de vulnerabilidades, fim de suporte, contacto técnico e procedimentos de resposta a incidentes.

Esta abordagem também interessa a quem trabalha a proteção de informação e espaços sensíveis. A contraespionagem não se limita à deteção física de dispositivos ou sinais: hoje inclui atenção aos equipamentos digitais que entram numa sala, se ligam a uma rede ou recolhem dados. Uma política de inventário, atualização e desativação no fim de vida pode ser tão importante como a escolha inicial do equipamento.

Reporte europeu não é sinónimo de vigilância sobre utilizadores

É importante evitar uma leitura errada desta novidade. A obrigação tratada pelo CRA não cria uma exigência geral de monitorizar utilizadores finais nem equivale a enfraquecer criptografia. O foco é o reporte de vulnerabilidades exploradas e de incidentes graves relativos à segurança dos produtos digitais, dirigido às estruturas europeias de resposta e coordenação.

Ao mesmo tempo, uma visão crítica continua necessária. Informações sobre vulnerabilidades e incidentes podem ser sensíveis: se forem divulgadas cedo demais, podem facilitar novos ataques; se forem retidas sem justificação, podem atrasar a proteção de utilizadores e organizações expostas. A regulamentação europeia prevê, em circunstâncias excecionais e por razões de cibersegurança, condições para atrasar a disseminação de determinadas informações. O equilíbrio entre rapidez, confidencialidade e interesse público será uma das provas reais deste sistema.

Para Europe-Connection, esta discussão é relevante porque segurança não significa acumular tecnologia sem critério. Significa compreender os limites, as responsabilidades e a manutenção dos meios utilizados. Produtos conectados usados de forma legítima devem ser proporcionais ao objetivo, configurados com cuidado e integrados numa prática responsável de proteção de pessoas, bens e informação.

Setembro de 2026 não fecha o processo — torna-o mensurável

O marco de 11 de setembro não deve ser apresentado como “conformidade total” com o CRA. As principais obrigações do regulamento terão aplicação plena em dezembro de 2027. Mas seria um erro menorizar a importância do que já começou: o reporte de incidentes obriga o mercado a testar agora a sua capacidade de resposta.

Até aqui, muitas declarações de segurança podiam permanecer abstratas. A partir de agora, perante uma vulnerabilidade explorada ou um incidente grave, contam os factos: a organização conseguiu identificar o problema? Tinha dados suficientes? Coordenou equipas? Protegeu os utilizadores? Comunicou no prazo? Corrigiu a falha?

É essa a passagem de uma segurança declarada para uma segurança verificável. Para quem compra ou utiliza dispositivos conectados, a melhor consequência possível é uma exigência mais clara sobre suporte, transparência e responsabilidade. Para quem fornece esses produtos, é o início de uma fase em que a cibersegurança terá de ser demonstrada ao longo da vida útil do equipamento — e não apenas anunciada no momento da venda.

Fontes

• Comissão Europeia, obrigações de reporte no CRA: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
• Comissão Europeia, resumo do Cyber Resilience Act: https://digital-strategy.ec.europa.eu/en/policies/cra-summary
• Comissão Europeia, orientações para a implementação do CRA, 27 de julho de 2026: https://digital-strategy.ec.europa.eu/en/news/commission-publishes-new-guidance-support-businesses-implementation-cyber-resilience-act
• ENISA, Single Reporting Platform: https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp
• ENISA, Threat Landscape 2026: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2026