Quem vende software na Europa passou a ter 24 horas para avisar

A leitura óbvia é que isso é assunto europeu. Não é, e a razão é banal: a obrigação acompanha o produto, não a sede da empresa.

Se um fabricante brasileiro vende no mercado europeu um roteador, uma câmera, um controlador industrial, um aplicativo ou uma biblioteca comercial, ele é fabricante para efeito do regulamento. O escopo do CRA é largo de propósito. Produto com elemento digital é praticamente qualquer coisa que execute código e se conecte, o que inclui o hardware conectado que a indústria brasileira exporta e o software vendido por licença ou assinatura.

O que muda na prática

Duas mudanças de natureza, não de grau.

A primeira é o relógio. Vinte e quatro horas é prazo de plantão, não de processo. Conta a partir do momento em que o fabricante toma ciência de que existe exploração ativa, e ciência inclui o e-mail de um pesquisador, o relato de um cliente e o alerta do próprio time de suporte. Organização que trata divulgação de vulnerabilidade como fluxo de jurídico com reunião semanal não tem como cumprir esse prazo.

A segunda é o canal. Uma plataforma única, com formulário padronizado, que distribui a notificação às autoridades competentes. Isso resolve um problema real para quem vende em vários países do bloco, e ao mesmo tempo cria um registro auditável, datado, centralizado, de quem soube o quê e quando.

Item	Definição
Quem reporta	Fabricantes de produtos com elementos digitais disponibilizados no mercado da União Europeia, e stewards de software de código aberto.
O que reporta	Vulnerabilidade ativamente explorada e incidente grave com impacto na segurança do produto.
Prazo do alerta inicial	24 horas a partir da ciência.
Canal	Single Reporting Platform da ENISA, único portal com validade legal.
Sanção	Até 15 milhões de euros ou 2,5% do faturamento global anual, o maior valor entre os dois.

O efeito de mercado começa antes da primeira multa

Regulamento com sanção alta produz movimento de compra muito antes de produzir autuação, e o padrão já é conhecido de quem acompanhou a entrada em vigor do GDPR e da NIS2.

Três frentes tendem a se mexer primeiro. Gestão de vulnerabilidade de produto, que é categoria distinta de gestão de vulnerabilidade de infraestrutura e costuma estar mal coberta em fabricante de hardware. Inventário de componentes, porque responder em 24 horas exige saber qual versão de qual biblioteca está em qual firmware embarcado, e a SBOM deixa de ser exigência de licitação para virar insumo de prazo regulatório. E processo de divulgação coordenada, que boa parte dos fabricantes brasileiros simplesmente não tem, no sentido de não existir endereço publicado para receber relato de pesquisador.

Há também o efeito de cadeia, que é o mais silencioso. O fabricante europeu que precisa reportar em 24 horas vai repassar a exigência contratualmente para seus fornecedores de componente e de software, com prazo menor que o dele. Quem fornece para essa cadeia recebe a obrigação sem nunca ter lido o regulamento.

O paralelo brasileiro

Não existe no Brasil equivalente direto ao artigo 14. A LGPD trata de incidente com dado pessoal e comunicação à ANPD, o que é outro recorte: o gatilho é o dado, não o produto. Falha explorada em um controlador industrial vendido por empresa brasileira pode não gerar nenhuma obrigação local e gerar obrigação europeia em 24 horas.

Para quem vende nos dois mercados, o resultado prático é que o processo mais rigoroso vira o padrão da casa, porque manter dois fluxos paralelos de resposta com prazos diferentes é caro e falha na hora errada.

Leitura LATAMSEC

Para o conselho e o jurídico: a primeira pergunta é de escopo, e ela é respondida pelo comercial, não pela segurança. Algum produto nosso, em qualquer versão, está disponível no mercado europeu, inclusive por meio de distribuidor ou de integrador? Se a resposta for sim ou incerta, o prazo de 24 horas já está correndo desde sexta.

Para quem responde pelo produto: existe hoje um canal publicado para um pesquisador externo relatar falha, e existe alguém nomeado que recebe esse relato fora do horário comercial? Prazo de um dia não sobrevive a caixa de entrada compartilhada.

Para quem compra: a exigência de notificação em 24 horas vira cláusula de contrato ao longo dos próximos ciclos de renovação. Vale antecipar essa conversa com o fornecedor enquanto ela ainda é negociação e não auditoria.