Regulação europeia de cibersegurança passa a valer também para carteiras cripto

A União Europeia colocou no ar, no dia 11 de setembro, uma plataforma única para receber avisos de falhas de segurança em produtos digitais. A ferramenta foi criada pela ENISA, agência de cibersegurança do bloco, atendendo a uma exigência da Lei de Resiliência Cibernética, conhecida pela sigla CRA em inglês.

A norma é ampla e cobre praticamente qualquer produto com componente digital vendido no mercado europeu. Carteiras cripto entram nessa categoria quando são fabricadas comercialmente e têm algum tipo de conexão de dados, direta ou indireta, com um dispositivo ou rede. Isso inclui tanto aparelhos físicos quanto aplicativos vendidos por empresas.

A própria Comissão Europeia evita citar marcas específicas. O enquadramento de cada produto depende de como ele é fabricado, distribuído e comercializado, além de possíveis exceções previstas na lei.

Antes da criação da plataforma, fabricantes já sabiam que teriam obrigações de notificação. O que mudou de fato em setembro foi o funcionamento prático desse processo, que agora segue um roteiro com três prazos distintos.

Três janelas para avisar as autoridades

O primeiro aviso precisa chegar às autoridades em até 24 horas depois que o fabricante toma conhecimento de uma vulnerabilidade sendo explorada ou de um incidente grave. Esse alerta inicial já deve indicar em quais países o produto afetado está disponível.

Em até 72 horas, uma notificação mais detalhada precisa ser enviada, salvo quando essas informações já tiverem sido incluídas no aviso anterior. Para falhas exploradas, o documento traz dados técnicos sobre o produto e a vulnerabilidade, além das medidas corretivas já adotadas. Para incidentes graves, o foco passa a ser a natureza do episódio e uma primeira avaliação de impacto.

Existe ainda um relatório final, com prazos que variam conforme o tipo de evento. No caso de uma vulnerabilidade explorada, o documento deve ser enviado até 14 dias depois que uma medida corretiva estiver disponível. Já para incidentes graves, o prazo final é de um mês contado a partir do envio da notificação de 72 horas.

Todo esse fluxo passa por um único canal. O fabricante registra a ocorrência na plataforma da ENISA, que direciona a informação para o time de resposta a incidentes do país onde a empresa tem sede. Esse time repassa o aviso, sem demora, para as equipes equivalentes dos demais países onde o produto circula.

Há uma exceção prevista para situações sensíveis. Por razões justificadas de segurança cibernética, o time de resposta que recebeu o primeiro aviso pode atrasar o repasse da informação a outras equipes nacionais, segundo o que estabelece um ato delegado divulgado pela Comissão perto do fim de 2025.

A regra alcança quem já vendia

Um ponto que costuma passar despercebido é o alcance retroativo da regra. A obrigação de notificação também vale para produtos que já estavam sendo vendidos antes da entrada em vigor da lei, desde que se enquadrem nos critérios do texto.

Software de código aberto não fica automaticamente fora dessas obrigações. Segundo orientação da própria Comissão, produtos gratuitos e abertos fornecidos comercialmente por seus fabricantes também podem gerar responsabilidades legais. Quando a atividade não tem fins comerciais, ela costuma escapar do enquadramento da norma, e desenvolvedores individuais, quando atuam por conta própria e sem caráter comercial, não são enquadrados como fabricantes.

Mantenedores de projetos de código aberto formam uma categoria jurídica separada dentro da lei. Suas obrigações específicas de notificação só começam a valer em dezembro de 2027, mesma data em que entram em vigor as regras mais amplas de segurança de produto previstas na CRA.

O setor de carteiras cripto já vinha sob pressão antes dessa mudança regulatória.

Antes mesmo desta regra, o segmento vivia sob vigilância. Relatos de ataques a fabricantes de hardware e de falhas na etapa interna em que as chaves são criadas se repetiram nos últimos anos, contexto que ajuda a entender por que os reguladores do bloco voltaram a atenção para esse nicho.

Para empresas que vendem carteiras na Europa, o efeito prático imediato é organizacional. Times de segurança precisam ter um processo pronto para identificar, documentar e reportar falhas dentro de janelas curtas, o que exige rotina interna bem definida.

Fica em aberto, por enquanto, qualquer lista pública e detalhada de quais marcas de carteira já se enquadram formalmente na lei. Sem um posicionamento oficial caso a caso, o ônus da interpretação recai sobre cada fabricante, e a assimetria é clara. Quem dispõe de time jurídico e de compliance respira mais aliviado, enquanto projetos menores e iniciativas de código aberto encaram a mesma régua com menos estrutura para responder dentro de prazos apertados.