UE impõe alerta em 24 horas a fabricantes

Desde 11 de setembro, qualquer empresa que venda um dispositivo ligado à internet ou software comercial com a sua própria marca na UE tem 24 horas para alertar as autoridades, a partir do momento em que sabe que atacantes estão a explorar uma falha no produto. A obrigação abrange também produtos que já estão no mercado, incluindo equipamentos vendidos há muito tempo (Regulation, European Commission). Assim, a informação de uma empresa sobre um ataque pode chegar às autoridades de cibersegurança de toda a UE num só dia. O alerta, porém, não instala uma correção nos dispositivos dos utilizadores.

A obrigação de notificar é a primeira parte do Cyber Resilience Act, a lei da UE sobre segurança dos produtos digitais, a entrar em vigor. As regras sobre a forma como os produtos devem ser concebidos só se aplicam a partir de 11 de dezembro de 2027 (ENISA).

O que põe o relógio a contar

Há dois tipos de ocorrência que obrigam a uma notificação. A primeira é uma vulnerabilidade explorada ativamente: deve haver provas fiáveis de que alguém usou uma falha de forma maliciosa e sem autorização. A segunda é um incidente grave que afete a segurança do produto, mesmo que não se tenha comprovado a existência de uma falha. Segundo as orientações do centro nacional neerlandês de cibersegurança, a denúncia privada de um erro por um investigador não desencadeia a obrigação se não houver sinais de ataque (Dutch NCSC).

O prazo começa quando o fabricante toma conhecimento do problema; não conta desde o primeiro ataque nem depende de já existir uma correção. A primeira notificação tem de ser enviada no prazo de 24 horas e uma comunicação mais completa, no prazo de 72 horas, ambos contados a partir desse mesmo momento, e não da primeira submissão (ENISA FAQ).

Há ainda um relatório final, cujo prazo varia consoante o motivo da notificação tenha sido uma vulnerabilidade explorada ou um incidente. O fabricante tem também de informar os utilizadores afetados sobre como se podem proteger (Regulation).

Para onde vai o alerta

Todas as notificações são enviadas através da Single Reporting Platform, gerida pela ENISA, a agência de cibersegurança da UE. O fabricante dirige o relatório ao CSIRT do país onde tem a sua principal sede na UE. Um CSIRT é a equipa nacional que recebe alertas de cibersegurança e responde a incidentes. Essa equipa transmite depois a notificação às suas congéneres de todos os países onde o produto é vendido (ENISA).

As notificações não são públicas e algumas podem descrever falhas ainda sem correção. Em casos excecionais, a equipa que coordena a resposta pode, por isso, adiar a partilha com os restantes países, embora os prazos do fabricante continuem a contar (Regulation). A regra procura conter um risco concreto: os detalhes de uma vulnerabilidade sem correção podem tornar-se mais perigosos à medida que se espalham.

Quem tem de estar preparado

A lei considera «fabricante» quem vende o produto em nome próprio. A sede e a dimensão da empresa são irrelevantes. A definição abrange tanto o controlador de manutenção remota de um fabricante alemão de máquinas como a aplicação comercial de uma empresa irlandesa, mesmo quando a aplicação pode ser descarregada gratuitamente (Silicon Republic).

O principal desafio é operacional: tem de haver alguém com autoridade para notificar que consiga detetar um ataque, avaliar a situação e enviar o relatório, mesmo num domingo à noite. A 11 de setembro, a associação alemã de engenharia eletrotécnica VDE instou os fabricantes a criarem processos de deteção e encaminhamento dos alertas (VDE).

Uma reportagem francesa publicada pouco antes da entrada em vigor da regra indicava que as notificações eram feitas manualmente, sem uma interface para submissões automáticas (ZDNet France). Cada notificação depende, portanto, de alguém estar disponível quando o prazo começa.

As empresas que falhem os prazos respondem perante as autoridades nacionais de fiscalização do mercado, que podem investigar se os produtos cumprem as regras e aplicar coimas. As sanções podem chegar a 15 milhões de euros ou 2,5% do volume de negócios mundial (Regulation). Os comunicados de lançamento explicam o processo, mas não indicam quantas notificações foram recebidas (ENISA, European Commission).

A Europa dispõe agora de um canal único para comunicar o que um fabricante sabe sobre um ataque. A informação chega às equipas nacionais de cibersegurança de todos os países onde o produto é vendido, incluindo quando se trata de equipamentos antigos que continuam a ser usados. O canal acelera a circulação da informação entre autoridades; os utilizadores só ficam protegidos quando uma correção eficaz chega aos seus dispositivos.

A ENISA e a Comissão Europeia poderão avaliar se os alertas mais rápidos conduzem a correções mais rápidas. Para isso, terão de divulgar dois dados: quantas notificações recebem e quanto tempo os utilizadores esperam até uma correção chegar aos seus dispositivos.