De acordo com a Lei de Ciberresiliência da UE, os fabricantes de carteiras de criptomoedas comerciais agora têm 24 horas para sinalizar uma vulnerabilidade explorada ativamente ou um incidente de segurança grave às autoridades cibernéticas nacionais. O regime de divulgação acelerada entrou em vigor em 11 de setembro de 2026 e se aplica a qualquer 'produto com elementos digitais' com uma conexão de dados direta ou indireta, abrangendo carteiras de hardware conectadas fornecidas comercialmente e aplicativos de carteira para download. As notificações são encaminhadas através da Plataforma de Relato Única da ENISA para o CSIRT nacional coordenador, com uma notificação mais completa prevista para dentro de 72 horas e um relatório de vulnerabilidade devido dentro de 14 dias após uma medida corretiva.
Por que isso é importante
A CRA reformula a segurança das carteiras de uma prática recomendada da indústria para uma função de responsabilidade regulada do produto. Os fabricantes de carteiras agora operam em um cronômetro voltado para o regulador que espelha as normas de divulgação de eletrônicos de consumo. Projetos de código aberto não recebem uma isenção geral: produtos gratuitos e de código aberto fornecidos comercialmente ainda podem enfrentar obrigações do fabricante, enquanto contribuintes não remunerados e software de fabricante não monetizado ficam de fora. Os administradores de código aberto formam uma categoria legal separada cujas obrigações de relato começam apenas em 11 de dezembro de 2027. A regra também abrange linhas de produtos existentes: qualquer coisa colocada no mercado da UE antes de 11 de dezembro de 2027 opera no mesmo cronômetro de 24 horas.
Impacto no mercado
Para os fornecedores de carteiras de hardware, a janela aperta o cálculo de custos em torno de correções silenciosas. Operadores menores com equipes de resposta a incidentes reduzidas agora enfrentam o mesmo cronômetro de alerta precoce que os fabricantes de dispositivos multinacionais, e os provedores de carteiras provavelmente precisarão de pessoal de conformidade dedicado ou relacionamentos com CSIRTs de terceiros. O portal da ENISA centraliza a visibilidade para cada regulador europeu, de modo que um único evento de divulgação passa de um problema privado de confiança do cliente para um evento regulatório multijurisdicional em um dia. Otimista para marcas de carteiras com bons históricos de segurança e políticas públicas de divulgação de vulnerabilidades; pessimista para fornecedores que historicamente confiaram em correções silenciosas. Seguradoras cibernéticas que oferecem cobertura para carteiras distribuídas na UE provavelmente reavaliarão o prazo de 24 horas nas condições da apólice.
Perguntas frequentes
-
O que a regra de divulgação de 24 horas da UE para carteiras de criptomoedas realmente exige?
De acordo com a Lei de Ciberresiliência, os fabricantes de carteiras comerciais devem apresentar um alerta precoce às autoridades cibernéticas nacionais dentro de 24 horas após descobrir uma vulnerabilidade explorada ativamente ou um incidente de segurança grave, seguido por uma notificação mais completa dentro de 72…
-
Quais carteiras de criptomoedas a CRA abrange?
A CRA abrange carteiras de hardware conectadas fornecidas comercialmente e aplicativos de carteira para download que atendem ao teste de 'produto com elementos digitais', ou seja, produtos com uma conexão de dados direta ou indireta. A orientação da UE não nomeia marcas específicas; a cobertura depende do produto e de…
-
As carteiras de criptomoedas de código aberto estão isentas do cronômetro de 24 horas?
Não. A orientação da Comissão sobre código aberto trata produtos gratuitos e de código aberto fornecidos comercialmente como abrangidos, embora contribuintes não remunerados e software de fabricante não monetizado fiquem fora da definição. Os administradores de código aberto formam uma categoria separada cujas…
-
Onde os fabricantes devem apresentar a divulgação de 24 horas?
As notificações são feitas através da Plataforma de Relato Única da ENISA, que encaminha a notificação para a Equipa Nacional de Resposta a Incidentes de Segurança Informática coordenadora designada e distribui para outras equipas nacionais relevantes e para a própria ENISA.
-
O cronômetro de 24 horas se aplica a carteiras já no mercado?
Sim. A regra de relato abrange produtos colocados no mercado da UE antes de 11 de dezembro de 2027, abrangendo linhas de produtos existentes no novo regime, em vez de apenas capturar carteiras vendidas pela primeira vez após a entrada em vigor dos principais requisitos da lei.
WuBlockchain
WatcherGuru
CoinDesk