Os fornecedores de carteiras cripto que operam na União Europeia vão passar a enfrentar alguns dos prazos de divulgação de cibersegurança mais apertados já aplicados ao setor. As novas regras da UE exigem um alerta precoce no prazo de 24 horas após a deteção de um exploit, seguido de uma notificação completa no prazo de 72 horas. Os fornecedores que não cumprirem ficam sujeitos a coimas administrativas até 17,3 milhões de dólares.
As exigências colocam os fornecedores de carteiras sob o mesmo tipo de urgência há muito esperado dos bancos e dos operadores de infraestruturas críticas em matéria de comunicação de falhas. Para uma indústria que tem sofrido repetidos ataques e exploits de grande visibilidade, o prazo comprimido deixa pouca margem para investigação interna antes de as autoridades terem de ser informadas de que algo correu mal.
O que significam os prazos na prática
A janela de 24 horas aplica-se a um aviso inicial e precoce, destinado a sinalizar que ocorreu um incidente ainda antes de se compreender a sua extensão total. O prazo de 72 horas abrange uma notificação mais completa, dando às autoridades uma imagem mais detalhada do exploit, do seu impacto e da resposta dada pelo fornecedor.
Para os fornecedores de carteiras, isto significa construir ou atualizar processos internos para detetar e escalar incidentes com rapidez suficiente para cumprir ambos os prazos. As empresas que historicamente levavam dias ou semanas a confirmar e divulgar publicamente uma falha terão agora de notificar os reguladores muito mais cedo, independentemente de terem ou não concluído a sua própria análise forense.
As coimas estabelecem um teto firme
A coima administrativa máxima por incumprimento das obrigações de comunicação está fixada em 17,3 milhões de dólares. Este valor representa o teto que os reguladores podem impor aos fornecedores considerados como tendo falhado os prazos ou não tendo reportado de todo, e não uma penalização fixa aplicada em todos os casos.
A dimensão da coima potencial indica que as autoridades da UE pretendem que as regras tenham peso real, em vez de funcionarem como uma exigência simbólica. Para os fornecedores de carteiras mais pequenos, em particular, a perspetiva de uma coima de oito dígitos deverá acelerar o investimento em capacidade de resposta a incidentes.
As regras juntam-se a um padrão mais amplo de aperto por parte da UE relativamente à cibersegurança e à resiliência operacional ligadas às criptomoedas, na sequência de medidas anteriores destinadas a integrar os prestadores de serviços de ativos digitais em quadros regulatórios originalmente concebidos para instituições financeiras tradicionais. Os fornecedores de carteiras que servem clientes na UE terão agora de tratar a divulgação rápida de falhas como uma função essencial de conformidade, e não como uma reflexão tardia.
