Projeto MCP formaliza orientação sobre notificação de incidentes para a CRA da UE

Os mantenedores do Model Context Protocol uniram o pull request #3526, "docs: add EU Cyber Resilience Act stewardship guidance", em 13 de novembro de 2026, definindo como o projeto vai cumprir suas obrigações de notificação de incidentes sob a Lei de Resiliência Cibernética da União Europeia (CRA).

O que mudou

• Os mantenedores do MCP uniram o pull request #3526, "docs: add EU Cyber Resilience Act stewardship guidance", em 13 de novembro de 2026.
• A mudança altera os arquivos SECURITY.md, docs/community/policies.mdx e docs/community/contributor-ladder.mdx.
• O GitHub Security Advisories passa a ser o canal formal de notificação de emergência de vulnerabilidades sob a Lei de Resiliência Cibernética da UE (CRA).
• Quem reporta uma vulnerabilidade agora precisa indicar se ela está sendo ativamente explorada ou está ligada a um incidente em andamento.
• Core e Lead Maintainers precisam escalar imediatamente vulnerabilidades ativamente exploradas ou incidentes graves ao steward da CRA na Linux Foundation, com prazos de 24 horas para o alerta antecipado e 72 horas para a notificação, espelhando o artigo 14 da CRA.
• Foi criado um canal privado #security-disclosures como via interna de notificação, enquanto cada repositório dos SDKs do MCP mantém seu próprio arquivo SECURITY.md separado.

O que isso significa para quem constrói com IA

Mantenedores de servidores e SDKs do MCP agora têm um caminho documentado de conformidade para os prazos de notificação de incidentes da Lei de Resiliência Cibernética da UE. A orientação é a primeira resposta formal do protocolo às obrigações da CRA que afetam qualquer implantação de MCP voltada à UE. Quem reporta vulnerabilidades e quem mantém o projeto já sabe qual canal usar, com que velocidade a escalada precisa acontecer e quem fala pelo projeto diante do steward da CRA, já que mantenedores designados representam o projeto com uma só voz perante a Linux Foundation, mesmo que cada repositório dos SDKs do MCP mantenha seu próprio arquivo SECURITY.md.

Fontes

• docs: add EU Cyber Resilience Act stewardship guidance (Model Context Protocol (GitHub), 13 de novembro de 2026, oficial)

Escrito com ajuda de IA, apenas a partir das fontes listadas acima. Antes de ir ao ar, verificações automáticas conferiram as datas, as fontes e todas as versões de idioma.