Funcionalidades
Notificações CRA, PSIRT e SBOM
Uma investigadora comunica uma falha no seu produto. A partir daí todos sabem onde está a comunicação, que prazo está a correr e o que os seus clientes vão saber.
As comunicações de vulnerabilidades chegam por e-mail a uma caixa qualquer, e se é preciso notificar a autoridade decide-se sob pressão de tempo.
Como o Complass ajuda
Receber as comunicações num só lugar
Um formulário de comunicação próprio para a sua empresa, além de security.txt segundo a RFC 9116 e um rascunho da sua política de divulgação coordenada, que revê e adapta.
Avaliação com estado claro
Recebida, em avaliação, confirmada, corrigida, publicada: cada comunicação tem o seu estado e as suas notas. Se a receção não for confirmada após 5 dias úteis, o Complass lembra-o.
A obrigação de notificação do art. 14.º do CRA à vista
Se a vulnerabilidade for explorada ativamente, cria diretamente a partir da comunicação um incidente CRA: alerta precoce, notificação, relatório final, relatório intercalar a pedido e informação aos utilizadores, cada um com prazo calculado e o conteúdo exigido.
Não esquecer os fornecedores
Se a vulnerabilidade estiver num componente integrado, o Complass lembra-o de informar o fabricante do componente.
Aviso de segurança para os seus clientes
Da comunicação resulta um aviso de segurança em formato CSAF, se quiser aprovado por uma segunda pessoa, publicado na sua página de avisos e enviado por e-mail aos seus subscritores, com comprovativo de envio.
Base legal e normativa
- Art. 13 CRAArtigo 13 Regulamento de Ciber-Resiliência Obrigações dos fabricantes1. Quando colocam um produto com elementos digitais no mercado, os fabricantes devem assegurar que esse produto foi concebido, desenvolvido e produzido em conformidade com os requisitos essenciais de cibersegurança constantes da parte I do anexo I. 2. Para efeitos do cumprimento do n.o 1, os fabricantes devem efetuar uma avaliação dos riscos de cibersegurança associados a um produto com elementos digitais e ter em …Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
- Art. 14 CRAArtigo 14 Regulamento de Ciber-Resiliência Obrigações dos fabricantes em matéria de comunicação de informações1. Os fabricantes devem notificar qualquer vulnerabilidade ativamente explorada existente no produto com elementos digitais de que tomem conhecimento simultaneamente à CSIRT designada como coordenadora, nos termos do n.o 7 do presente artigo, e à ENISA. Os fabricantes devem notificar essa vulnerabilidade ativamente explorada através da plataforma única de comunicação de informações criada nos termos do artigo 16.o. …Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
- CRA anexo I parte II
- BSI TR-03183-2
- RFC 9116
Calcular prazos de notificação do CRA, sem registo
Esta página descreve funcionalidades do Complass e não constitui aconselhamento jurídico.
SBOM: saber o que há no produto a partir de Professional: SBOM, comparar pacotes
SBOM por produto e versão
Importação a partir de CycloneDX 1.4 a 1.6 e SPDX 2.2 e 2.3, a partir de Excel ou por script de recolha. Com «Guardar estado» surge uma versão imutável com soma de verificação.
O que mudou
Comparar duas versões: componentes adicionados, removidos e alterados num relance.
Exportação segundo BSI TR-03183-2
CycloneDX 1.6, SPDX 2.3 e SPDX 3.0.1 bem como VEX, verificados antes da saída face aos campos obrigatórios.
Dossiê cibernético CE, CSAF e VEX na página de conformidade do produto
Perguntas frequentes
O Complass submete a notificação à ENISA?
Não. O Complass calcula os prazos e prepara os conteúdos de cada fase de notificação. A notificação é submetida por si na plataforma de notificação, registando a hora e o número de processo.
O que preciso para isso?
As comunicações de vulnerabilidades, os incidentes CRA e os avisos de segurança fazem parte do referencial CRA. O SBOM e o dossiê cibernético CE fazem parte do módulo de gestão de vulnerabilidades.
A política de divulgação está pronta a usar?
É um rascunho elaborado com os seus dados. Reveja-o e adapte-o antes de o publicar.
Teste o Complass com os seus próprios dados
Crie o seu próprio acesso de teste, se quiser com um projeto de exemplo por referencial. Se preferir ver primeiro o Complass, peça uma demonstração.