Prazos de cibersegurança e conformidade em 2027: 11 datas para a sua agenda

As datas de 2027 em resumo

Cada linha leva ao detalhe mais abaixo. As datas indicam quando a regra começa a valer, e algumas dependem de como o regulamento conta os meses, então verifique a fonte oficial antes de planejar o trabalho em um dia específico.

1. 12 de janeiro de 2027: fim do suporte do Windows Server 2016

O Windows Server 2016 deixa de receber atualizações de segurança da Microsoft em 12 de janeiro de 2027, a menos que você pague pelas Extended Security Updates (ESU). A ESU está disponível por até três anos e, para servidores fora do Azure, é cobrada por meio do Azure Arc a partir de 13 de janeiro de 2027. Servidores migrados para o Azure recebem a ESU sem custo adicional. Qualquer controlador de domínio, servidor de arquivos ou servidor de aplicações de negócio com 2016 ainda em execução em janeiro é um sistema sem patch em sua rede, e seguradoras cibernéticas e auditores perguntam sobre isso. Nosso guia sobre o fim do suporte do Windows Server 2016 trata das opções: atualizar, migrar ou contratar a ESU.

2. 12 de janeiro de 2027: o Data Act acaba com as tarifas de troca de nuvem na UE

A partir de 12 de janeiro de 2027, os provedores de nuvem e de processamento de dados na UE não podem cobrar dos clientes pela troca para outro provedor ou pela volta a servidores próprios, incluindo as tarifas de saída de dados (egress) da migração. Este é o Artigo 29 do Data Act. As regras de portabilidade mais amplas do Capítulo VI (períodos de aviso prévio, exportação de dados, apoio à migração) valem desde 12 de setembro de 2025 e, até janeiro, os provedores só podem cobrar os custos diretos da troca. Tarifas normais de serviço e multas proporcionais por rescisão antecipada de um contrato com prazo determinado não contam como tarifas de troca, então leia os termos do seu contrato antes de planejar uma saída. Se sua empresa depende de um provedor de nuvem, o fim das tarifas de troca deixa mais barato testar um plano de saída. Nosso artigo sobre riscos de dependência da Microsoft explica por que vale a pena ter esse plano.

3. 15 de março de 2027: certificados TLS limitados a 100 dias

A partir de 15 de março de 2027, os certificados TLS publicamente confiáveis valem no máximo 100 dias, contra 200 dias desde março de 2026. O cronograma vem do Ballot SC-081v3 do CA/Browser Forum, que as autoridades de certificação e os fabricantes de navegadores adotaram em abril de 2025. O limite cai novamente para 47 dias em março de 2029, e o período para reutilizar a validação de domínio diminui no mesmo cronograma, para 10 dias até 2029. Um certificado que hoje é renovado à mão uma vez por ano passa a ser renovado pelo menos quatro vezes por ano. Aproveite para listar todos os seus certificados públicos, descobrir quem renova cada um e migrá-los para a renovação automatizada por meio da ACME ou das ferramentas do seu provedor de certificados. Um certificado vencido derruba um site, uma API ou um portal de VPN sem que nenhum atacante precise agir.

4. 18 de março de 2027: FCA e PRA começam a exigir comunicação de incidentes e de terceiros

Essa data é britânica, mas alcança grupos brasileiros com operações em Londres. A partir de 18 de março de 2027, as empresas de serviços financeiros no Reino Unido, incluindo subsidiárias britânicas de bancos e gestoras brasileiras, devem comunicar incidentes operacionais que atinjam os limites definidos e informar o regulador sobre contratos relevantes com terceiros, conforme a FCA PS26/2. A PRA e o Bank of England publicaram regras equivalentes, de modo que empresas reguladas pelos dois e infraestruturas do mercado financeiro seguem um único regime. Os incidentes são comunicados em etapas, começando por um relatório inicial, e as notificações sobre terceiros valem para contratos que sustentam serviços de negócio importantes (important business services). No Brasil, o grupo já reporta incidentes ao Banco Central pelas regras brasileiras e, se também opera na UE, está sujeito desde 17 de janeiro de 2025 à comunicação de incidentes do DORA. Cada regime tem seus próprios modelos e limites. Nosso artigo sobre DORA para serviços financeiros cobre o lado da UE, e nossa página sobre prazos de notificação de incidentes por país põe os dois lado a lado.

5. 13 de maio de 2027: DPDP Rules da Índia entram plenamente em vigor

As Digital Personal Data Protection Rules (DPDP Rules) da Índia, publicadas em 13 de novembro de 2025, fazem a maior parte das obrigações valer 18 meses depois, por volta de 13 de maio de 2027. Essa etapa inclui a notificação de incidentes: avise o Data Protection Board e cada pessoa afetada sem demora e depois envie ao Board um relatório detalhado dentro de 72 horas. Também entram os avisos de consentimento, as salvaguardas de segurança e os direitos das pessoas cujos dados você trata. Se você tem clientes, funcionários ou um centro de desenvolvimento na Índia, inclua agora as DPDP Rules na sua matriz de notificação. Elas se somam à regra de seis horas do CERT-In, que é aplicada desde 2022 e não mudou. Nossa página de prazos de notificação explica as duas.

6. 2 de agosto de 2027: modelos GPAI mais antigos precisam cumprir o AI Act

Os modelos de IA de uso geral colocados no mercado da UE antes de 2 de agosto de 2025 devem cumprir o AI Act até 2 de agosto de 2027, conforme o artigo 111(3). Os modelos colocados no mercado após essa data tiveram de cumprir desde o primeiro dia, e a Comissão pode fiscalizar essas obrigações, inclusive com multas, desde 2 de agosto de 2026. O prazo vale para os fornecedores dos modelos, não para as empresas que usam seus produtos. Mesmo assim, ele afeta você como cliente: peça aos seus fornecedores de IA a documentação técnica e o resumo dos dados de treinamento, porque você precisará de ambos para sua própria avaliação do AI Act. Nosso guia de conformidade com o AI Act explica os papéis.

7. 12 de setembro de 2027: regras do Data Act sobre cláusulas abusivas alcançam contratos antigos

A partir de 12 de setembro de 2027, as regras do Data Act sobre cláusulas contratuais abusivas também se aplicam aos contratos B2B de compartilhamento de dados assinados até 12 de setembro de 2025. Até agora, as regras valiam só para contratos assinados depois dessa data. Pelo artigo 50, a extensão só alcança contratos antigos por prazo indeterminado ou que vençam em 11 de janeiro de 2034 ou depois. Uma cláusula que uma empresa impõe a outra e que se afasta muito das boas práticas comerciais não é vinculante. Se você compra ou fornece dados sob contratos de longo prazo, revise-os antes de setembro de 2027, começando pelas cláusulas de responsabilidade, acesso aos dados e rescisão.

8. 12 de outubro de 2027: fim do SQL Server 2017, do Windows 11 24H2 e do ano 2 do ESU do Windows 10

A Microsoft encerra o suporte estendido para SQL Server 2017 em 12 de outubro de 2027. No mesmo dia, as edições Enterprise e Education do Windows 11 versão 24H2 param de receber atualizações (Home e Pro 24H2 já pararam em 13 de outubro de 2026) e termina o ano 2 das Extended Security Updates comerciais do Windows 10. O ano 3 do ESU do Windows 10 custa o dobro do ano 2, US$ 244 por dispositivo pelo preço de lista, e é o último que a Microsoft oferece. Verifique as páginas do ciclo de vida da Microsoft para cada produto que você executa e inclua as atualizações no orçamento de 2027. Nossos guias sobre o fim do suporte do Windows 10 e sobre orçamento de TI tratam dos custos.

9. 2 de dezembro de 2027: começam a valer as obrigações do AI Act para IA de alto risco

A partir de 2 de dezembro de 2027, fornecedores e implantadores de sistemas de IA de alto risco listados no Anexo III do AI Act, como IA usada em recrutamento, análise de crédito ou acesso à educação, precisam cumprir os requisitos de alto risco do regulamento. A data original era 2 de agosto de 2026. O Digital Omnibus on AI (Regulamento (UE) 2026/1744, em vigor desde 27 de julho de 2026) adiou a data porque as normas harmonizadas não estavam prontas, e levou a IA de alto risco embarcada em produtos do Anexo I para 2 de agosto de 2028. Os implantadores têm deveres próprios: supervisão humana, guarda de registros, informação às pessoas afetadas e, em alguns usos públicos e financeiros, uma avaliação de impacto sobre direitos fundamentais. Se você usa IA para selecionar candidatos a empregos ou avaliar clientes, comece o inventário agora. Nosso cronograma de fiscalização do AI Act reúne todas as datas.

10. 11 de dezembro de 2027: o Cyber Resilience Act passa a valer por inteiro

A partir de 11 de dezembro de 2027, os produtos com elementos digitais vendidos na UE devem cumprir os requisitos essenciais de cibersegurança do Cyber Resilience Act e trazer a marcação CE que comprova isso. Isso inclui a maior parte do hardware e do software que se conecta a um dispositivo ou a uma rede, de câmeras inteligentes a aplicativos de desktop. Duas partes já valem: as regras para organismos notificados desde 11 de junho de 2026, e o dever de comunicar vulnerabilidades exploradas ativamente e incidentes graves desde 11 de setembro de 2026. Antes de dezembro, os fabricantes precisam de uma lista de componentes de software (SBOM), de um período de suporte declarado e de um processo de tratamento de vulnerabilidades. Importadores e distribuidores precisam verificar se os produtos que vendem estão em conformidade. Nosso guia do Cyber Resilience Act trata das classes de produtos e dos caminhos de conformidade.

11. Dezembro de 2027: empresas reguladas precisam aceitar a carteira europeia de identidade digital

Até o fim de dezembro de 2027, bancos e outros serviços privados obrigados por lei ou contrato a usar autenticação forte do usuário precisam aceitar a carteira europeia de identidade digital (EUDI Wallet) quando o usuário escolher entrar com ela. A obrigação vem do artigo 5f do Regulamento eIDAS revisado, que fixa o prazo em 36 meses após a entrada em vigor dos principais atos de execução, em dezembro de 2024. Plataformas online de grande porte (VLOPs) têm a mesma obrigação. Micro e pequenas empresas estão isentas. Os Estados-Membros precisam oferecer a carteira aos cidadãos até o fim de 2026, então os clientes vão começar a pedir. Se você opera um login de clientes regulado na UE, defina com seu provedor de identidade, ao longo de 2027, como vai dar suporte à carteira.

Como usar esta lista

Copie as datas que valem para você no seu registro de riscos ou calendário de conformidade, com um responsável e uma data de início para o trabalho, além do prazo final. A maioria exige meses de preparação: uma migração de servidor, um projeto de automação de certificados ou um inventário de sistema de IA não cabe na última semana. Revise a lista a cada trimestre, porque as datas mudam. A data de alto risco do AI Act já mudou uma vez. Nosso guia de roadmap de cibersegurança mostra como transformar prazos como estes num plano com orçamento.