MADRID 9 set. (Portaltic/EP) -
A partir desta sexta-feira, 11 de setembro, o setor de segurança cibernética entrará em uma nova etapa com a Lei de Resiliência Cibernética (Cyber Resilience Act), que exigirá que as empresas notifiquem as vulnerabilidades ativamente exploradas e os incidentes graves que afetem a segurança de seus produtos digitais, sob pena de multas de até 15 milhões de euros.
As ameaças à segurança cibernética evoluem rapidamente e, diante disso, as organizações estão repensando suas estratégias para construir resiliência, indo além da capacidade de responder a um ataque e incluindo desde a preparação de seus profissionais até a detecção de ameaças e o desenvolvimento de estratégias de defesa, sobretudo com métodos capazes de se adaptar ao mesmo ritmo que seus ambientes tecnológicos.
Nesse contexto, a Europa também deseja garantir que as empresas cumpram esses objetivos e acelerar essa mudança no foco da segurança cibernética. Para isso, elaborou a Lei de Resiliência Cibernética (Cyber Resilience Act, ou CRA), uma regulamentação que estabelece requisitos obrigatórios de segurança cibernética para produtos de “hardware” e “software” com componentes digitais comercializados na União Europeia.
Essa regulamentação, que entrou em vigor em dezembro de 2024, abrange desde aplicativos até todos os equipamentos e programas de computador — smartphones, sistemas operacionais ou roteadores, mas também monitores de bebês, relógios inteligentes, firewalls etc. — que deverão cumprir requisitos mínimos de segurança cibernética, proporcionais ao nível de risco associado a cada um deles.
Com isso, a Comissão Europeia pretende enfrentar uma problemática presente em muitos produtos digitais. É o caso de níveis insuficientes de segurança ou da falta de atualizações necessárias em tempo hábil, “enquanto empresas e consumidores têm dificuldade em identificar quais produtos oferecem garantias adequadas”, conforme explicaram a esse respeito os representantes da distribuidora de soluções de TI, Ingram Micro.
Isso se deve ao fato de que, a partir de sua posição, a empresa observa o papel de fabricantes, parceiros e clientes em matéria de segurança cibernética e pode avaliar as necessidades do mercado e o impacto que a nova regulamentação tem sobre as empresas.
“As organizações precisam se antecipar, conhecer os riscos associados à sua infraestrutura e dispor de uma estratégia que lhes permita reagir rapidamente quando ocorrer um incidente. A Lei de Resiliência Cibernética (Cyber Resilience Act) reforça precisamente essa visão de segurança ao longo de todo o ciclo de vida da tecnologia”, afirmou a esse respeito o diretor de Soluções Avançadas da Ingram Micro, Martin Trullás.
NOVA FASE DE APLICAÇÃO DA CRA: OBRIGAÇÕES DE NOTIFICAÇÃO
Assim, antes da aplicação completa das obrigações desta Lei de Ciberresiliência europeia, prevista para 11 de dezembro de 2027, o distribuidor de soluções lembrou que as empresas deverão levar em conta uma nova fase de implementação, que começa nesta sexta-feira, 11 de setembro, e que, caso não se adaptem, poderá acarretar consequências “significativas”.
Concretamente, a partir desta sexta-feira, as obrigações de notificação passarão a ser aplicadas. Ou seja, os fabricantes terão que notificar as vulnerabilidades exploradas ativamente e os incidentes graves que afetem a segurança de seus produtos com componentes digitais.
Além disso, a lei determina que esses incidentes devem ser notificados rapidamente, com um prazo de alerta precoce de, no máximo, 24 horas a partir do momento em que se toma conhecimento do problema e uma notificação com todas as informações necessárias em um prazo máximo de 72 horas.
No entanto, a Ingram Micro destacou que a lei não visa apenas que as empresas comuniquem seus incidentes, mas também introduz requisitos de segurança cibernética que abrangem desde o planejamento até o projeto, desenvolvimento e manutenção dos produtos, com a obrigação de gerenciar suas vulnerabilidades ao longo de todo o seu ciclo de vida.
Isso se deve ao fato de que a segurança “não pode ser acrescentada no final do processo”, mas “precisa fazer parte da tecnologia desde o momento em que ela é projetada e acompanhá-la durante toda a sua vida útil”, como afirmou Trullás.
Portanto, o executivo destacou que as empresas devem revisar seus processos e garantir que fabricantes, distribuidores, parceiros e clientes “trabalhem de forma ainda mais coordenada”, o que geralmente requer um período prolongado. Isso significa que 2027 não deve ser interpretado como o momento em que se deve começar a se preparar para cumprir a regulamentação; segundo Trullás, “a primeira mudança já ocorre neste mês de setembro”.
Também vale destacar que, para as infrações mais graves a essa regulamentação, as empresas poderão enfrentar multas de até 15 milhões de euros ou o equivalente a 2,5% do faturamento anual global da empresa em questão.
REFORÇAR A CIBERSEGURANÇA EM TODOS OS NÍVEIS
Além disso, a Ingram Micro esclareceu que a regulamentação não afeta apenas o fabricante, mas também estabelece obrigações para os diferentes agentes econômicos envolvidos na comercialização do produto digital.
Portanto, os requisitos do CRA devem ser respeitados ao longo de toda a cadeia de valor. Isso implica saber qual tecnologia é incorporada a uma infraestrutura, como suas vulnerabilidades foram gerenciadas, quais atualizações serão recebidas ou quais garantias o fabricante oferece durante o período de suporte, conforme explicou a empresa.
Tudo isso significa que, na hora de tomar decisões tecnológicas, as organizações terão que ter a segurança cibernética em mente o tempo todo.
Um exemplo disso é uma empresa que renova seus equipamentos, incorporando câmeras de videovigilância conectadas. Ela não deverá mais avaliar apenas o desempenho ou o custo dos equipamentos, mas também “saber como eventuais vulnerabilidades serão gerenciadas, por quanto tempo receberão atualizações de segurança ou quais mecanismos existem para responder a um incidente”. Ou seja, a segurança cibernética passa a ser uma questão que deve ser tratada de forma conjunta.
É por isso que a regulamentação europeia exige que empresas e consumidores possam identificar facilmente os serviços e produtos que incorporam características adequadas de segurança cibernética, os quais deverão ser marcados com o símbolo “CE” para atestar sua conformidade com os requisitos da legislação da União Europeia para sua comercialização.
“As ameaças continuarão evoluindo independentemente do cronograma regulatório. No entanto, as organizações que aproveitarem esse período para se antecipar não só estarão mais bem preparadas para cumprir o novo marco, mas também para enfrentar um cenário de segurança cibernética cada vez mais complexo e serem mais resilientes”, afirmou Trullás.
No entanto, a Ingram Micro destacou que, segundo seu conhecimento, “o canal tecnológico pode desempenhar um papel relevante como elo entre fabricantes, parceiros e clientes”. Assim, como distribuidora global e ao trabalhar com um amplo ecossistema de fornecedores de tecnologia e especialistas em segurança, a plataforma garantiu que pode ajudar no acesso a soluções e conhecimentos para “reforçar a proteção de seus clientes” nesta nova etapa.
Esta notícia foi traduzida por um tradutor automático