João Miguel Mesquita
A partir de 11 de setembro, os fabricantes abrangidos pelo Cyber Resilience Act(CRA) terão de fazer uma comunicação inicial de vulnerabilidades ativamente exploradas e incidentes graves de segurança no prazo máximo de 24 horas, seguindo-se uma notificação mais completa em 72 horas. O processo será realizado através da plataforma única criada para o CRA.
A novidade não está apenas na obrigação de comunicar, mas na velocidade com que os fabricantes terão de detetar problemas, avaliá-los e reagir. Isso transforma a capacidade de resposta a incidentes numa componente cada vez mais visível da qualidade do próprio produto.
Para CIOs e responsáveis de tecnologia em Portugal, esta alteração introduz um critério adicional na escolha de fornecedores. Já não basta avaliar funcionalidades, preço ou compatibilidade. Passa a ser relevante perceber se o fabricante consegue identificar vulnerabilidades, manter o produto atualizado e responder quando uma falha começa efetivamente a ser explorada.
A cibersegurança e a capacidade de atualização tendem, assim, a entrar de forma mais explícita nos critérios de compras tecnológicas. Para quem adquire equipamentos IoT, hardware ou determinados produtos de software, a relação com o fornecedor prolonga-se muito para além do momento da compra.
O efeito estende-se também ao comércio eletrónico. Marketplaces, distribuidores e lojas que vendam produtos com elementos digitais dependem da capacidade dos fabricantes para cumprir estas novas obrigações. Uma cadeia de fornecimento pode ter um produto competitivo em preço e funcionalidades e, ainda assim, revelar fragilidades se o fabricante não estiver preparado para reagir a um incidente de segurança.
É aqui que o CRA ganha particular relevância empresarial. A segurança deixa de ser apenas uma característica técnica analisada pelas equipas de TI e começa a aproximar-se das decisões comerciais e de compra.
Para marketplaces e departamentos de compras portugueses, a questão passa progressivamente a ser simples: não apenas o que faz o produto, mas quem o mantém seguro depois de vendido.
