A partir de 11 de setembro de 2026, os fabricantes são obrigados a comunicar vulnerabilidades ativamente exploradas e incidentes graves com impacto na segurança dos produtos com elementos digitais. Em conformidade com o artigo 71.o, n.o 2, da ANR, os administradores de software de código aberto estão sujeitos a obrigações de comunicação de informações (artigo 24.o, n.o 3) a partir de 11 de dezembro de 2027.
Quais são as principais regras?
A ANR exige que os fabricantes notifiquem vulnerabilidades ativamente exploradas e incidentes graves com impacto na segurança do seu produto com elementos digitais. Têm de apresentar um alerta precoce no prazo de 24 horas após terem tomado conhecimento e uma notificação completa no prazo de 72 horas. Deve ser apresentado um relatório final o mais tardar 14 dias após a disponibilidade de uma medida corretiva para vulnerabilidades ativamente exploradas e no prazo de um mês a contar da notificação de 72 horas para incidentes graves. Estão igualmente previstas obrigações de comunicação de informações para os administradores de software de código-fonte aberto, em conformidade com o artigo 24.o, n.o 3, da ANR.
Os fabricantes comunicam informações apenas uma vez através da Plataforma Única de Comunicação de Informações (PUR) das ANR. A notificação é dirigida à Equipa de Resposta a Incidentes de Segurança Informática (CSIRT) do seu estabelecimento principal e, salvo circunstâncias particularmente excecionais, as informações são disponibilizadas simultaneamente à ENISA. A CSIRT que recebe inicialmente a notificação partilhará sem demora a notificação com todas as outras CSIRT em cujo território o produto com elementos digitais foi disponibilizado.
Em circunstâncias excecionais e com base em motivos justificados relacionados com a cibersegurança, a CSIRT pode decidir adiar a divulgação a outras CSIRT: em 11 de dezembro de 2025, a Comissão adotou um ato delegado que especifica mais pormenorizadamente os termos e condições de aplicação desses motivos relacionados com a cibersegurança.
Onde devem os fabricantes apresentar as suas notificações?
Nos termos do artigo 16.o da ANR, e em estreita cooperação com a rede de CSIRT, a ENISA criou a Plataforma Única de Comunicação de Informações (PUR) das ANR, operacional a partir de 11 de setembro de 2026. Os fabricantes e os administradores de software de código aberto são obrigados a apresentar as suas notificações através dessa plataforma.
A ligação para a Plataforma Única de Comunicação de Informações da ENISA pode ser consultada na página Web da Plataforma Única de Comunicação de Informações da ENISA.
Onde podem ser encontradas mais informações sobre as obrigações de comunicação de informações e o plano de recuperação e resiliência?
A ENISA publicou uma série de recursos sobre a forma de utilizar o PRR das ANR, incluindo perguntas frequentes, orientações para os utilizadores, um glossário do PRR das ANR e materiais de formação. Todos esses recursos podem ser consultados na página Web da Plataforma Única de Comunicação de Informações (PUR) da ENISA.
A secção 9.1 das orientações da Comissão sobre as ANR, bem como a secção 5 das perguntas mais frequentes da Comissão sobre a aplicação das ANR, contêm também esclarecimentos adicionais sobre as obrigações de comunicação de informações.
Organismos de cooperação pertinentes
Documentos de referência e ligações
Página Web da ENISA na Plataforma Única de Comunicação de Informações
Perguntas mais frequentes sobre a aplicação das ANR
Orientações da Comissão sobre as agências de notação de risco
Ato delegado relativo às CSIRT que retêm notificações a divulgar através da Plataforma Única de Comunicação de Informações
Conteúdo relacionado
Visão geral