A partir de 11 de setembro de 2026, entram em vigor as primeiras exigências previstas no Artigo 14 do Cyber Resilience Act (CRA), a nova legislação europeia voltada à segurança cibernética. A norma atinge principalmente empresas que comercializam produtos com elementos digitais dentro do mercado europeu, mas também alcança mantenedores de projetos de código aberto, que passam a ser classificados como “guardiões open source” (open-source stewards) diante da lei.
Nos últimos anos, quem mantém softwares abertos já vinha enfrentando um volume crescente de relatos de vulnerabilidades e demandas de coordenação de segurança. É uma realidade bem conhecida da Patchstack, empresa que afirma ter coordenado mais da metade de todas as vulnerabilidades identificadas no ecossistema WordPress, figurando entre as CNAs (Autoridades de Numeração de CVEs) mais ativas do mundo.
Antes de detalhar a nova solução lançada pela empresa para ajudar mantenedores a cumprir a legislação, é importante entender as obrigações que o Artigo 14 impõe a fabricantes e responsáveis por projetos abertos. Um ponto chama atenção: a norma vale para todo e qualquer produto ou software, mesmo aqueles já disponibilizados no mercado europeu antes de 11 de setembro de 2026.
Obrigatoriedade de reportar explorações ativas e incidentes graves
Segundo o CRA, fabricantes de softwares e produtos conectados precisarão comunicar dois tipos de ocorrência a partir da data definida: vulnerabilidades sendo ativamente exploradas por atacantes e incidentes de segurança classificados como graves. Essas notificações devem ser enviadas às autoridades nacionais de cibersegurança e à ENISA, agência europeia de segurança cibernética, por meio de uma plataforma única da União Europeia.
Os prazos estabelecidos são curtos: um alerta inicial precisa ser enviado em até 24 horas, seguido de uma notificação mais completa em até 72 horas, e, posteriormente, um relatório final detalhado. Além disso, os fabricantes têm a obrigação de informar os usuários afetados sobre o que ocorreu e quais medidas de proteção devem adotar.
Quem está sujeito à norma
Um exemplo prático ajuda a entender o alcance da lei: um plugin de WordPress com código sob licença GPL e, portanto, aberto, mas que possui uma versão premium ou qualquer outra forma de geração de receita para seu criador. Nesse caso, quem comercializa o plugin é tratado como fabricante, e não como guardião open source. Já um plugin totalmente gratuito e sem qualquer intenção comercial, mas mantido por funcionários de uma entidade legal, seria classificado como um guardião open source.
As obrigações do Artigo 14 valem para ambos os perfis. A diferença está nas penalidades: guardiões open source não podem ser multados, mas a União Europeia ainda pode adotar outras medidas para retirar um produto não conforme do mercado europeu.
A regra não se limita ao WordPress — vale para qualquer ecossistema de software aberto. O exemplo é citado porque, nesse universo específico, código aberto não significa necessariamente gratuito: embora todos os plugins de WordPress sejam licenciados sob GPL, a maioria dos mais populares tem finalidade comercial.
O que e quando precisa ser reportado
A legislação prevê dois cenários de notificação obrigatória — vulnerabilidades ativamente exploradas e incidentes graves de segurança — cada um com prazos rígidos, divididos em três etapas:
- Alerta inicial (24 horas): deve ser enviado sem demora e, em qualquer hipótese, dentro de 24 horas após a identificação da exploração ativa da vulnerabilidade ou do incidente grave.
- Notificação de exploração ativa ou incidente grave (72 horas): deve trazer informações gerais e uma avaliação inicial, também sem atraso injustificado e no máximo em 72 horas.
- Relatório final: no caso de vulnerabilidades ativamente exploradas, deve ser entregue em até 14 dias após a disponibilização de uma medida corretiva, como um patch de segurança. Para incidentes graves, o prazo é de até um mês após a notificação de 72 horas.
Como funciona o processo de notificação
Todos esses relatos devem ser enviados por meio da Plataforma Única de Notificação (SRP, na sigla em inglês) da União Europeia. Para isso, os mantenedores precisam primeiro criar uma conta pessoal no sistema EU Login, que exige autenticação multifator (MFA) para acesso à plataforma.
A SRP não conta com uma API própria, e cada relatório precisa ser preenchido manualmente em três formulários distintos. Diante do prazo rígido de 24 horas para o alerta inicial, recomenda-se que os mantenedores criem suas contas com antecedência, facilitando o cumprimento dos prazos quando uma vulnerabilidade explorada ativamente ou um incidente grave precisar ser comunicado.
Serviço gerenciado da Patchstack como representante designada
A partir de agora, a Patchstack passa a oferecer uma plataforma de acesso gratuito* para que mantenedores de projetos open source consigam cumprir integralmente as exigências do Artigo 14 do CRA. O serviço inclui:
- Monitoramento da exploração ativa de vulnerabilidades individuais, com coleta de evidências e notificação ao mantenedor no momento em que as exigências do Artigo 14 passam a se aplicar;
- Atuação da Patchstack como Representante Designada (AR) oficial do mantenedor, cumprindo as exigências do Artigo 14 e garantindo o respeito aos prazos de cada formulário de notificação;
- Disponibilização de um canal único de mVDP (programa de divulgação responsável de vulnerabilidades) e de um programa de recompensas por falhas (bug bounty) para um ou vários softwares e produtos.
A plataforma mVDP da Patchstack foi desenvolvida para esse fim em parceria com o Conselho Europeu de Inovação (EIC). A empresa é certificada em conformidade com o GDPR, além de possuir certificações ISO 27001 e SOC 2 Type 2, sendo sediada na União Europeia.
Atualmente, mais de mil produtos e projetos open source já utilizam o mVDP da Patchstack para coordenação de vulnerabilidades. Segundo a empresa, suas parcerias com as principais companhias de hospedagem web do mundo, aliadas à precisão e à escala da ferramenta Patchstack RapidMitigate, colocam a companhia em posição privilegiada para oferecer a detecção mais rápida e detalhada de vulnerabilidades já conhecidas e exploradas (KEVs) do mercado.
Mantenedores de projetos open source podem criar uma conta gratuita diretamente no site da Patchstack.
*A empresa informa que pode, no futuro, cobrar uma taxa por relatório para cobrir os custos de conformidade com o Artigo 14, caso o volume de notificações se torne muito elevado e a Plataforma Única de Notificação não passe a oferecer uma API.
