A Agência da União Europeia para a Cibersegurança (ENISA) anunciou que a Single Reporting Platform (SRP) — a plataforma única de comunicação de incidentes ao abrigo do Cyber Resilience Act (CRA) — entra em funcionamento a 11 de setembro de 2026. A partir dessa data, fabricantes de produtos com elementos digitais vendidos na UE, e responsáveis por software de código aberto envolvidos no seu desenvolvimento, passam a ter de comunicar vulnerabilidades ativamente exploradas e incidentes graves através deste canal único.
Resposta rápida: segundo a ENISA, a SRP simplifica a comunicação, reduz o esforço de submissões múltiplas às várias autoridades nacionais, e ajuda a sensibilizar para as ameaças em curso. A agência vai continuar a publicar orientação prática sobre como usar a plataforma, incluindo um factsheet (já disponível, com versões previstas nas 24 línguas da UE), FAQ e glossário atualizados, um guia de utilizador, e brevemente tutoriais e outros materiais de apoio.
Os prazos que a SRP obriga a cumprir
Segundo o factsheet da ENISA, o processo de comunicação assenta em três momentos: um alerta precoce nas primeiras 24 horas após se tomar conhecimento da vulnerabilidade ou incidente; uma notificação mais detalhada, com avaliação inicial, no prazo de 72 horas; e um relatório final — até 14 dias após haver uma correção disponível, no caso de vulnerabilidades, ou até um mês após a notificação das 72 horas, no caso de incidentes graves.
Cada submissão é encaminhada automaticamente para o CSIRT nacional que a recebe, para os CSIRT de outros Estados-membros onde o produto esteja também disponível, e para a própria ENISA — evitando que a entidade tenha de contactar cada autoridade separadamente.
Guia em português, com base no factsheet oficial
Para facilitar a consulta por parte dos leitores portugueses, a Cibersegurança.PT preparou um guia em português adaptado a partir do factsheet oficial da ENISA, com o mesmo conteúdo essencial reorganizado para leitura rápida, e uma nota adicional sobre o enquadramento nacional (Centro Nacional de Cibersegurança e Regime Jurídico da Cibersegurança).
📄 Descarregar o guia em português (PDF)
Porque é que isto importa em Portugal
Para os fabricantes e responsáveis de software de código aberto com produtos no mercado português, a entrada em funcionamento da SRP a 11 de setembro marca o início de uma obrigação legal concreta, com prazos curtos e critérios técnicos definidos pelo próprio CRA. Vale a pena começar já a preparar os processos internos de deteção e resposta, para não ser apanhado de surpresa quando o primeiro incidente reportável ocorrer.
Esta informação tem caráter noticioso e baseia-se em comunicação publicada pela Agência da União Europeia para a Cibersegurança (ENISA). Consulte a página oficial da SRP na ENISA e o FAQ oficial para a informação legal vinculativa e atualizações futuras.