← Voltar para Blog de Segurança

A aplicação do CRA começa com a primeira reunião do grupo administrativo, o Conselho de IA avança sua estratégia e a ENISA lança uma pesquisa de preparação para PMEs

Uma semana marcante para a regulamentação da segurança cibernética da UE. A Lei de Resiliência Cibernética passa do papel à prática com a primeira reunião do Grupo de Cooperação Administrativa. O AI Board convoca sua sessão 7th para moldar a estratégia de fiscalização. A ENISA realiza inquéritos às PME sobre a preparação para a ANR. O Programa Europa Digital articula-se para enfrentar as ameaças em evolução. E os avisos do FBI sobre a inteligência russa visando aplicativos de mensagens criptografadas ressaltam por que o relato de incidentes NIS2 é mais importante do que nunca.

---

🏛️ Lei de Resiliência Cibernética: Primeiro Grupo de Cooperação Administrativa se reúne

O Grupo de Cooperação Administrativa reúne autoridades nacionais de fiscalização do mercado de todos os estados membros da UE. Seu mandato: coordenar a aplicação dos requisitos de segurança cibernética para todos os produtos com elementos digitais vendido no mercado único europeu.

O que isso significa para as organizações

A activação do grupo sinaliza que a aplicação já não é teórica. As autoridades de fiscalização do mercado estão agora a coordenar:

• Procedimentos de execução harmonizados: Garantir a aplicação consistente dos requisitos CRA em todos os estados membros 27
• Protocolos de teste de produto: Estabelecer metodologias comuns para verificar a conformidade da segurança cibernética dos produtos
• Cooperação transfronteiriça: Simplificar o processo de remoção simultânea de produtos não conformes de vários mercados nacionais
• Quadros de penalidade: Alinhar as abordagens às sanções, que podem atingir € 15 milhões ou 2.5% de volume de negócios anual global

Cronograma crítico de CRA

Data	Obrigação
Set 2026	Começam as obrigações de comunicação de vulnerabilidades e incidentes
Dez 2027	Conformidade total exigida para todos os produtos com elementos digitais
Em andamento	Atualizações de segurança necessárias para a vida útil do produto ou anos mínimos de 5

---

🤖 AI Board convoca reunião 7 sobre estratégia de fiscalização

Também em março 20, o O Conselho de IA da UE realizou sua reunião 7th, reunindo representantes de todos os Estados-Membros para discutir os últimos desenvolvimentos na estratégia de IA da Comissão. O Conselho é o principal órgão de governança responsável por garantir a aplicação consistente do Lei da UE sobre IA em toda a União.

Principais pontos de discussão

• Normas harmonizadas: Progressos no desenvolvimento de normas técnicas para conformidade de sistemas de IA de alto risco, que deverão ser aplicadas a partir de Agosto 2026
• Modelos de IA de uso geral: Abordagens de aplicação para fornecedores de modelos básicos, incluindo transparência e obrigações de direitos autorais
• Organismos nacionais de execução: Coordenação entre as autoridades de IA dos Estados-Membros sobre metodologias de inspeção e partilha de conhecimentos especializados
• Diretrizes do AI Office: Revisão dos documentos de orientação mais recentes do Gabinete de IA da UE sobre práticas proibidas de IA, que estão em vigor desde fevereiro 2025

---

📊 ENISA pesquisa PME sobre preparação para CRA

Em março 18, a ENISA lançou um pesquisa direcionada para pequenas e médias empresas para avaliar o seu conhecimento e preparação para a Lei de Resiliência Cibernética. A pesquisa visa compreender três dimensões críticas:

• Níveis de conscientização sobre CRA: As PME sabem que a regulamentação existe e compreendem as suas obrigações?
• Prontidão e maturidade: Quão preparadas estão as PME para cumprir os requisitos de segurança cibernética dos seus produtos?
• Necessidades de suporte: Que tipo de orientação, ferramentas e recursos as PME considerariam mais úteis?

Isto é significativo porque As PME representam a maioria dos fabricantes de produtos na UE. Muitos não possuem equipes de segurança dedicadas e podem ter dificuldades para atender aos requisitos do CRA — principalmente documentação SBOM, processos de tratamento de vulnerabilidades e procedimentos de avaliação de conformidade.

---

💶 O Programa Europa Digital adapta-se às ameaças em evolução

Em março 19, a Comissão Europeia anunciou que o O Programa Europa Digital está a ser reestruturado para melhor responder às crescentes necessidades de segurança digital da Europa. O programa financia a capacitação em segurança cibernética, incluindo:

• Redes SOC nacionais: Centros de operações de segurança transfronteiriços para detecção de ameaças e compartilhamento de inteligência
• Habilidades de segurança cibernética: Programas de formação para resolver a escassez crónica de profissionais de segurança cibernética nos Estados-Membros
• Ferramentas de apoio às PME: Recursos práticos e assistência de certificação para organizações menores que enfrentam conformidade com NIS2 e CRA
• Cibersegurança de IA: Financiamento para pesquisas sobre capacidades de detecção e resposta a ameaças baseadas em IA

Separadamente, o Centro Europeu de Competências em Cibersegurança (ECCC) abriu um novo concurso Horizonte Europa no valor €56.2 milhões em março 17, visando especificamente pesquisa e inovação em segurança cibernética. Isto representa uma das maiores rondas de financiamento dedicadas à I&D em matéria de cibersegurança na UE.

---

🔐 Aviso do FBI: a inteligência russa tem como alvo mensagens criptografadas - implicações NIS2

Em março 20, o FBI emitiu um anúncio de serviço público alertando que Atores de ameaças russos ligados à inteligência estão visando ativamente usuários de Signal, WhatsApp e outros aplicativos de mensagens criptografadas através de sofisticadas campanhas de phishing. Milhares de contas já foram comprometidas.

Por que isso é importante para a conformidade com NIS2

A campanha de ataque tem implicações diretas para organizações sujeitas às obrigações NIS2:

• Relatório de incidentes: Se seus funcionários usarem mensagens criptografadas para comunicações comerciais e suas contas estiverem comprometidas, isso poderá acionar o NIS2 Aviso antecipado de 24 horas e Notificação de incidente de 72 horas requisitos
• Risco da cadeia de abastecimento: Contas de mensagens comprometidas podem ser usadas para se passar por contatos confiáveis, violando potencialmente as comunicações da cadeia de suprimentos cobertas por NIS2
• Medidas de segurança: NIS2 requer medidas técnicas “apropriadas e proporcionais” – as organizações devem revisar se as políticas de mensagens criptografadas incluem mecanismos de autenticação resistentes a phishing
• Ameaças patrocinadas pelo Estado: NIS2 aborda explicitamente os atores de ameaças do Estado-nação. Este alerta do FBI fornece informações concretas que devem ser incorporadas nas avaliações de riscos organizacionais

---

📈 Atualização de status NIS2 e DORA

NIS2: Aceleração da cooperação transfronteiriça

• ENISA continua a sua presidência da Rede de Agências da UE (EUAN) através da 2026, tendo a governação da segurança cibernética em todas as instituições da UE como prioridade máxima
• Estratégia Internacional atualizada da ENISA (publicado em fevereiro 9) reforça o alinhamento com as políticas internacionais de cibersegurança da UE e promove os valores da UE na governação global da cibersegurança
• ENISA como raiz CVE: Desde novembro 2025, a ENISA atua como um programa CVE-Root, centralizando a coordenação europeia de vulnerabilidades - uma capacidade que apoia diretamente os requisitos de divulgação de vulnerabilidades de NIS2
• Metodologia de exercícios de segurança cibernética (publicado em fevereiro 16) fornece às organizações uma estrutura estruturada para a construção de exercícios internos de segurança cibernética - apoiando diretamente os requisitos de teste de NIS2

DORA: Ponto de verificação de conformidade do primeiro trimestre 2026

A Lei de Resiliência Operacional Digital está em vigor desde janeiro 17, 2025. As entidades financeiras devem agora estar em total conformidade. Principais atividades para o primeiro trimestre 2026:

• Registros completos de riscos de terceiros de TIC com todos os provedores de serviços críticos e importantes identificados
• Enviar relatórios de incidentes relacionados com as TIC utilizando os modelos normalizados das Autoridades Europeias de Supervisão
• Realize a primeira rodada de testes de penetração liderados por ameaças (TLPT) para instituições financeiras significativas
• Finalizar acordos de partilha de informações com pares da indústria através de ISACs estabelecidos

---

🗓️ Próximos Prazos Regulatórios

Data	Regulamento	Marco
Junho 2026	NIS2	Países Baixos: Prazo para autoavaliação da entidade
Agosto 2026	Lei da UE sobre IA	Aplicam-se obrigações do sistema de IA de alto risco
Set 2026	CRA	Começam as obrigações de relatórios de vulnerabilidades e incidentes
Quarto trimestre de 2026	DORA	Conclusão do primeiro ciclo TLPT para entidades significativas
2027	Lei da UE sobre IA	Aplicam-se obrigações do modelo de IA de uso geral
Dez 2027	CRA	É necessária conformidade total do produto

---

✅ Itens de ação de conformidade esta semana

1. CRA: Acompanhar os resultados do Grupo de Cooperação Administrativa. Comece o inventário de produtos e a documentação SBOM, caso ainda não o tenha feito. Faltam seis meses para 2026 de setembro.
2. Lei da UE sobre IA: Classifique seus sistemas de IA em relação às categorias de risco. Obrigações de alto risco se aplicam a partir de agosto 2026 – daqui a menos de cinco meses.
3. Inquérito ENISA às PME: Se você é uma PME que fabrica produtos digitais, participe da pesquisa de preparação para CRA para definir os recursos de suporte que receberá.
4. NIS2: Emitir comunicado interno sobre a campanha de phishing de mensagens da inteligência russa. Revise as políticas de segurança de mensagens criptografadas. Atualizar a documentação de avaliação de ameaças.
5. DORA: Garantir que os relatórios de incidentes de TIC do primeiro trimestre sejam arquivados. Definição completa do escopo do TLPT para entidades financeiras significativas. Verifique a integridade do registro de riscos de terceiros.
6. Financiamento: Reveja o convite €56.2M Horizonte Europa do ECCC — o financiamento desta escala em I&D em cibersegurança é raro. Os prazos de inscrição são normalmente 90 dias.