Orientações da Comissão Europeia sobre o CRA

01O que é isto

Art. 26 exige que a Comissão publique orientações para ajudar os operadores económicos a aplicar o CRA, com especial destaque para facilitar a conformidade das pequenas e médias empresas. Em 27 July 2026 a Comissão aprovou o conteúdo dessas orientações (referência do documento C(2026) 5252). O documento tem cerca de 80 páginas e aborda as questões mais frequentemente colocadas pelos fabricantes.

As orientações são não vinculativas e não altera a lei: uma interpretação autorizada do CRA só pode ser dada pelo Tribunal de Justiça da UE. Mas as autoridades de fiscalização do mercado e os organismos notificados recorrem a ela para obter uma leitura coerente e harmonizada, pelo que constitui o complemento natural do Regulamento.

02O que conta como um produto

A maior parte das orientações incide sobre âmbito de aplicação, a área mais questionada. Um produto com elementos digitais é um produto de software ou hardware (e o respetivo processamento de dados à distância) cuja utilização inclui uma ligação de dados direta ou indireta. Art. 3(1)

• O local onde o software é executado determina-o; o software que é executado no dispositivo do utilizador (uma aplicação transferida, uma extensão do navegador, um cliente instalado localmente) é um produto com elementos digitais. O software meramente acedido à distância através de um navegador não o é, apenas com base nesse facto.
• Aplicações Web e sítios Web; uma aplicação Web utilizada apenas através de um navegador, e um sítio Web que se limita a apresentar informação, geralmente não são produtos com elementos digitais. Só ficam abrangidos quando se qualificam como processamento de dados à distância que apoia a função de um produto.
• Código-fonte; a definição de software do CRA abrange tanto o código-máquina como o código-fonte, mas a mera partilha de código de fonte aberta num repositório público geralmente não constitui "colocação no mercado". Art. 3(4)

Se não tiver a certeza sobre o enquadramento do seu produto, a Fast Check e o explicador em linguagem simples percorrem o âmbito na prática.

03Software de fonte aberta

As orientações estabelecem em pormenor o regime adaptado e mais leve para o código aberto. O software de código aberto não comercial, desenvolvido fora de uma atividade comercial, está em grande medida fora do âmbito; o fator determinante é atividade comercial e se o software é colocado no mercado.

• Quando o FOSS é "colocado no mercado"; as orientações analisam a cobrança de um preço, a monetização de serviços conexos ou a exigência de dados pessoais, o apoio pago, os donativos, os regimes de financiamento e as estruturas sem fins lucrativos, bem como a integração de FOSS por outros fabricantes.
• Responsáveis por software de código aberto; um conjunto definido e proporcionado de deveres centrado em apoiar a segurança e a viabilidade continuada do software.
• FOSS importante; os produtos importantes (classe I ou II) colocados no mercado como software livre e de código aberto podem seguir os procedimentos de conformidade mais leves da categoria por defeito. Art. 32(5)

04Modificações substanciais

Se uma alteração é uma modificação substancial determina se é necessária uma nova avaliação de conformidade. O Considerando 39 enquadra-o: um produto é substancialmente modificado quando uma alteração altera o seu nível de risco de cibersegurança de uma forma que o fabricante ainda não tinha considerado na sua avaliação de risco. Art. 3(30)

• As atualizações de segurança geralmente não são modificações substanciais; o seu objetivo é reduzir o risco, pelo que uma correção de segurança que não altere a finalidade prevista do produto nem introduza novos riscos não conta, por si só.
• É uma questão de risco, não de dimensão; o critério é o impacto da alteração no perfil de risco de cibersegurança (novos vetores de ameaça, novos cenários de ataque, ou uma alteração da probabilidade ou do impacto), e não a dimensão da alteração.
• A consequência; um produto substancialmente modificado é tratado como recentemente colocado no mercado. Quando alguém que não o fabricante original realiza a alteração, assume as obrigações de fabricante relativamente à parte modificada. Art. 21 · 22

O Guia de marcação CE abrange a avaliação de conformidade desencadeada por uma nova colocação no mercado.

05Período de apoio

O período de apoio é o período durante o qual as vulnerabilidades devem ser tratadas. Deve refletir durante quanto tempo o produto é razoavelmente esperado que esteja em utilização. Art. 13(8)

• Cinco anos é um mínimo, não um valor por defeito; o período deve ser de, pelo menos, cinco anos, salvo se se prever que o produto será utilizado por menos tempo. Os produtos que se preveja razoavelmente que estejam em utilização por mais tempo devem ter períodos de apoio mais longos.
• Informe os utilizadores; indique a data de termo (pelo menos o mês e o ano) no momento da compra, e notifique os utilizadores quando esta expirar, sempre que tecnicamente exequível. Art. 13(19)
• Flexibilidade para o software; os fabricantes podem, em determinadas condições, corrigir vulnerabilidades apenas na versão mais recente, quando os utilizadores possam atualizar gratuitamente e sem custos adicionais. Art. 13(10)
• Após uma modificação substancial; reavalie o período em função dos mesmos critérios; este não é automaticamente reiniciado nem prolongado.

Planeie o seu com o planeador de período de apoio e fim de vida.

06Produtos importantes e críticos

A classificação determina a via de conformidade. Um produto é importante if its funcionalidade essencial corresponde a uma categoria do Anexo III (classe I ou II), e crítico se corresponder ao Anexo IV; tudo o resto é um produto por defeito que pode efetuar uma autoavaliação. Art. 7 · 8 · 32

• A funcionalidade essencial é o critério; as principais características do produto, sem as quais este não cumpriria a sua finalidade prevista. As funções acessórias não alteram a classe, e a mera integração de um componente importante ou crítico não torna todo o produto importante ou crítico: um smartphone que incorpora um sistema operativo não é, por si só, um "sistema operativo".
• Uma funcionalidade essencial; para efeitos de escolha da via de conformidade, considera-se que um produto tem uma única funcionalidade essencial, identificada na sua documentação técnica.
• As definições de categoria; as descrições técnicas das categorias importante e crítica constam do Regulamento de Execução (UE) 2025/2392 da Comissão.

Compare o seu produto com as categorias através da localizador de classe de produto.

07Processamento de dados à distância

As soluções de processamento de dados à distância fazem parte de um produto com elementos digitais apenas quando são necessário para o produto desempenhar as suas funções. Art. 3(2) As orientações oferecem um critério prático: o processamento é efetuado "à distância"; a sua ausência impediria o produto de desempenhar uma das suas funções; e o software foi concebido e desenvolvido pelo fabricante, ou sob a sua responsabilidade.

Ilustra o critério com casos de utilização desenvolvidos (uma aplicação de banca móvel, um termóstato inteligente, um leitor de livros eletrónicos, um robô industrial e uma rede móvel) que mostram onde se situa a fronteira entre um produto e um mero serviço.

08Comunicação e vulnerabilidades

As orientações também esclarecem os deveres contínuos: o Article 14 reporting de vulnerabilidades ativamente exploradas e incidentes graves, e o Anexo I vulnerability-handling requisitos: comunicar a montante e partilhar correções de segurança, resolver vulnerabilidades exploráveis conhecidas, e realizar testes e revisões de segurança eficazes e regulares. Art. 14 · Annex I

09Outras fontes oficiais

As orientações complementam dois outros pontos de referência oficiais que vale a pena ler em conjunto.

Normas harmonizadas. Os requisitos essenciais do Anexo I são redigidas em termos de resultados; assim que uma norma harmonizada relevante for citada no Jornal Oficial, segui-la confere uma presunção de conformidade. O pedido de normalização da Comissão M/606 foi aceite pelo CEN, CENELEC e ETSI em 2025 e abrange cerca de 41 normas. As duas normas horizontais centrais (desenvolvimento seguro e tratamento de vulnerabilidades) são esperadas até 30 August 2026, as normas verticais de produto até 30 October 2026, e as restantes normas horizontais até 30 October 2027, cerca de um ano antes da aplicação plena.