Cyber Resilience Act Exige Notificação de Ciberataques em 24 Horas para Produtos Digitais no Setor de Jogo Europeu

A Cyber Resilience Act (CRA) da União Europeia já produz efeitos concretos no setor de jogos. Desde 11 de setembro de 2026, as obrigações de notificação de vulnerabilidades exploradas ativamente e incidentes graves de segurança se aplicam a diversos produtos e soluções digitais usados por operadores e fornecedores europeus, conforme reportado pela Azarplus. Embora a aplicação plena ocorra apenas em 11 de dezembro de 2027, o requisito inicial força a preparação imediata de processos de detecção e comunicação.

Os produtos abrangidos incluem aplicativos móveis, clientes baixáveis de cassino, pôquer ou apostas, terminais de apostas, quiosques, máquinas conectadas, sistemas de gestão de contas, leitores de cartões e terminais de pagamento. Um cassino ou sportsbook acessível apenas via navegador não se enquadra automaticamente, salvo funcionalidades específicas que alterem essa condição. Operadores que comercializam aplicativos sob marca própria podem assumir o papel de fabricante, transferindo as obrigações para si.

Abrangência e Prazos da Norma Europeia

As certificações próprias do jogo não substituem os requisitos da CRA, que demandam documentação técnica, declaração de conformidade UE e, quando cabível, marcação CE. A primeira comunicação deve ocorrer em até 24 horas após certeza razoável de exploração de vulnerabilidade ou incidente grave. Informações adicionais seguem em 72 horas, com relatório final em 14 dias para vulnerabilidades ou um mês para incidentes. As notificações fluem para a ENISA (Agência da União Europeia para a Cibersegurança) e o CSIRT coordenador, exigindo coordenação com RGPD, NIS2, DORA e condições de licenças de jogo.

Implicações para o Mercado Brasileiro sob a Lei 14.790/2023

A Lei 14.790/2023, que regula as apostas de quota fixa no Brasil e é executada pela Secretaria de Prêmios e Apostas (SPA/MF), estabelece obrigações de integridade, prevenção à lavagem de dinheiro e conformidade tributária com alíquota de 12% sobre o GGR, mas não define prazos de notificação cibernética alinhados aos 24 horas da CRA. O mecanismo de ligação opera por meio da exposição internacional: operadores brasileiros licenciados pela SPA que atuam no mercado europeu ou utilizam componentes digitais afetados pela norma precisam adaptar procedimentos de resposta a incidentes, o que pode elevar custos de compliance e revisar contratos com fornecedores de tecnologia. A fonte europeia não detalha impactos diretos no Brasil, de modo que ainda não se sabe se a SPA emitirá orientações específicas ou se a Receita Federal incorporará esses prazos em futuras fiscalizações.

Reporting: Azarplus

Generated by SCCG’s automated editorial system from published source reporting. SCCG Management holds editorial responsibility.