A União Europeia colocou em vigor a Lei de Resiliência Cibernética, conhecida pela sigla CRA. A norma alcança fabricantes de carteiras de criptomoedas classificadas como produtos com elementos digitais. Agora, essas empresas devem comunicar vulnerabilidades exploradas ativamente em até 24 horas após tomarem conhecimento do problema. Além disso, o mesmo prazo vale para incidentes graves que afetem a segurança dos produtos.

Depois do alerta inicial, os fabricantes devem apresentar uma notificação mais detalhada em até 72 horas. O prazo também começa quando a empresa toma conhecimento da vulnerabilidade ou do incidente. Posteriormente, a companhia precisa entregar um relatório final com informações sobre o caso e as medidas adotadas. Assim, a CRA estabelece uma sequência obrigatória para comunicação, correção e documentação dos problemas.

CRA define prazos para fabricantes de carteiras

Nas vulnerabilidades exploradas ativamente, o relatório final deve chegar em até 14 dias após a disponibilização de uma medida corretiva. Já nos incidentes graves, o prazo termina um mês depois da notificação apresentada em 72 horas. Embora as obrigações de comunicação dos fabricantes já estejam ativas, outras regras da CRA seguem um cronograma próprio. Os responsáveis por software de código aberto passarão a cumprir suas obrigações específicas a partir de 11 de dezembro de 2027.

Os requisitos de comunicação da CRA integram uma estrutura mais ampla de segurança cibernética. Nesse contexto, fabricantes devem considerar a proteção desde a concepção do produto. Também precisam disponibilizar correções de segurança e manter o suporte pelo período aplicável. Portanto, a norma amplia a responsabilidade sobre a manutenção de softwares e dispositivos vendidos no mercado europeu.

Multas podem alcançar 15 milhões de euros

O descumprimento dos principais requisitos de segurança e das obrigações dos fabricantes pode gerar multas de até 15 milhões de euros. Como alternativa, a penalidade pode atingir 2,5% do faturamento anual mundial, prevalecendo o valor mais alto. Esse grupo abrange falhas relacionadas à segurança do produto e ao aviso de vulnerabilidades dentro do prazo. Da mesma forma, a ausência de atualizações de segurança pode motivar medidas das autoridades competentes.

Outras violações previstas pela CRA podem resultar em multas de até 10 milhões de euros ou 2% do faturamento anual mundial. Nesse grupo, podem entrar falhas de importadores e distribuidores no cumprimento de suas próprias obrigações. Por exemplo, a comercialização sem a verificação da marcação CE ou sem a documentação exigida pode provocar sanções. Assim, a fiscalização também alcança diferentes participantes da cadeia de fornecimento.

Informações incorretas também geram penalidades

O fornecimento de informações falsas, incompletas ou enganosas às autoridades pode gerar multa de até 5 milhões de euros. Em outra modalidade de cálculo, a penalidade pode corresponder a 1% do faturamento anual mundial, conforme o maior valor. Dependendo da infração, as autoridades também podem restringir, retirar ou determinar o recall de produtos no mercado da União Europeia. Com isso, empresas que não corrigirem problemas graves podem perder o acesso ao bloco.

Usuários podem receber correções mais rápidas

Para os usuários, a regra tende a acelerar a distribuição de atualizações emergenciais de firmware e software. Além disso, os fabricantes deverão fornecer informações sobre vulnerabilidades corrigidas quando disponibilizarem as atualizações, respeitadas as exceções de segurança. Desse modo, o ecossistema poderá receber informações mais claras sobre problemas relevantes e suas correções. A mudança reduz a possibilidade de falhas conhecidas permanecerem sem comunicação adequada.

Em contrapartida, projetos independentes de código aberto podem enfrentar custos adicionais para atender às exigências aplicáveis. Alguns deles podem restringir o acesso de endereços IP da União Europeia caso não consigam cumprir as regras. Por outro lado, usuários de carteiras físicas ganham proteção durante o período de suporte informado para cada produto. Os fabricantes deverão manter correções de segurança durante esse intervalo, inclusive para modelos mais antigos ainda cobertos.

Uma falha que provoque perdas financeiras também pode reforçar ações civis contra o fabricante, conforme as circunstâncias do caso. Contudo, os custos de conformidade podem levar algumas empresas a revisar suas estruturas de preços. Como resultado, carteiras físicas premium podem chegar ao varejo com valores mais altos. A CRA combina prazos rígidos de comunicação com obrigações contínuas de segurança e suporte.
 

	Receba nossas últimas notícias em primeira mão.  Adicione-nos como sua fonte preferida no Google  e toque em “Favorito” para priorizar nossas atualizações.