Orçamento do Reino Unido prevê consulta sobre responsabilizar fornecedores de software por violações cibernéticas

O orçamento mais recente do Reino Unido compromete o governo a abrir, no próximo ano, uma consulta sobre quem deve arcar com a responsabilidade por violações cibernéticas. A fonte descreve isso como o primeiro passo formal para responsabilizar fornecedores de software por produtos inseguros. Ainda é uma consulta, não uma regra: não há texto legal, prazo de vigência nem definição de escopo no material.

O documento também prevê £154 milhões para defesas cibernéticas movidas por IA. Desse total, £70 milhões vão para um centro de exposição a vulnerabilidades do NCSC. Para times de gestão de vulnerabilidades, é o ponto mais concreto do pacote, já que mostra para onde o dinheiro público vai na detecção e no tratamento de exposição.

A cobertura anterior do CEVIU mostra uma linha de endurecimento em andamento. Em 4 de setembro de 2026, o CEVIU noticiou "Reino Unido endurece regras para fornecedores de tecnologia em infraestruturas críticas", sobre emendas ao projeto de lei de Cibersegurança e Resiliência para proibir fornecedores de alto risco em setores sensíveis. Em 3 de março de 2026, em "Governo do Reino Unido Reduz em 84% o Tempo de Correção de Vulnerabilidades Cibernéticas com Novo Serviço de Monitoramento", o governo dizia ter reduzido o tempo mediano de correção de falhas em domínios de 50 para 8 dias. A novidade agora é o foco no fornecedor de software e na responsabilidade por produtos inseguros, além do financiamento do centro de exposição a vulnerabilidades do NCSC.

Para quem opera segurança ou vende software no mercado britânico, a leitura é que a pressão regulatória pode migrar do cliente que sofre a violação para quem entregou o produto. Ainda não há obrigação, mas vale acompanhar a consulta e revisar práticas de desenvolvimento seguro e gestão de correções.