Esconder um ataque hacker acaba de se tornar ilegal na Europa — fabricantes têm 24 horas para notificar

Vender um dispositivo conectado na Europa agora vem com uma obrigação que não existia na semana passada: descobrir um hack ou um incidente grave de segurança, e as autoridades devem ser notificadas em até 24 horas. A Lei de Resiliência Cibernética da UE cruzou seu primeiro grande marco de aplicação nesta semana, e a cadeia é específica — uma notificação mais completa deve ser enviada em até 72 horas, com um relatório final devido 14 dias após uma correção se tornar disponível, ou dentro de um mês para incidentes mais amplos.

A obrigação cobre o que a lei chama de ‘produtos com elementos digitais’ — uma categoria ampla o suficiente para incluir smartphones, termostatos inteligentes, roteadores conectados, aplicativos de fitness e plataformas em nuvem. Criticamente, aplica-se a produtos já no mercado da UE, não apenas a novos lançamentos. Um dispositivo enviado dois anos atrás e ainda em uso está dentro do escopo se tiver funcionalidade conectada. Software livre distribuído comercialmente cai sob as mesmas regras.

Antes de 11 de setembro, a relação entre um fabricante e um incidente de segurança era amplamente governada por política interna. As empresas divulgavam hacks quando escolhiam, muitas vezes após semanas de revisão interna, consultoria jurídica e avaliação de risco de marca. Algumas nunca divulgavam nada. Essa discricionariedade agora acabou na Europa. Os relatórios vão para a Equipe Nacional de Resposta a Incidentes de Segurança Cibernética do estado-membro da UE onde o fabricante tem seu estabelecimento principal, com cópias para a Agência da União Europeia para a Cibersegurança, ENISA, por meio de uma Plataforma Única de Relato dedicada.

A questão do preparo é séria. Quando as obrigações de relato foram finalizadas, os fabricantes tiveram aproximadamente três meses para construir a infraestrutura interna — um inventário de produtos afetados, protocolos claros de escalonamento e integração técnica com a Plataforma Única de Relato. Assessores jurídicos que trabalham com fabricantes alertam que as janelas não deixam quase tempo para construir o processo depois que um incidente já começou. Uma empresa que descobre uma violação à meia-noite de uma sexta-feira deve enviar seu relatório inicial antes da meia-noite de sábado, independentemente de fim de semana ou feriados.

O benefício visível para o consumidor é real, mas indireto. Os fabricantes também devem notificar os usuários afetados sobre incidentes de segurança e as mitigações disponíveis. Se uma empresa falhar em notificar os usuários de forma oportuna, as autoridades nacionais de cibersegurança podem intervir e emitir o alerta elas mesmas. Este não é um regime de notificação que o usuário médio verá no celular — ele opera por meio de canais regulatórios — mas cria uma obrigação executável de que hacks não podem simplesmente ser absorvidos silenciosamente por uma equipe jurídica.

11 de setembro é a parte mais restrita da obrigação. O corpo mais amplo da Lei de Resiliência Cibernética — que exige que produtos conectados sejam projetados com segurança incorporada, impõe processos de tratamento de vulnerabilidades e estabelece avaliações de conformidade para as categorias de produto de maior risco — não se aplica até 11 de dezembro de 2027. Esse prazo exige mudanças de design, protocolos de teste e processos de certificação que simplesmente não podem ser encaixados em linhas de produtos existentes em poucos meses. A indústria tem mais de um ano, mas o trabalho técnico já está em andamento nos principais fabricantes.

A abordagem da UE faz da Europa o primeiro grande bloco regulatório a impor prazos vinculativos de divulgação de vulnerabilidades em todo o mercado de tecnologia de consumo, e não apenas em infraestrutura crítica. A rapidez com que os CSIRTs nacionais desenvolvem capacidade para processar esses relatórios — e se a fiscalização segue as falhas de divulgação nos primeiros meses — determinará se 11 de setembro marca uma mudança real ou um prazo no papel.

Tags: cibersegurança, Comissão Europeia, violação de dados, Cyber Resilience Act, dispositivos conectados, ENISA