O Cyber Resilience Act, explicado

01O que é o CRA

O Cyber Resilience Act (Regulamento (EU) 2024/2847) é a primeira lei à escala da UE a estabelecer requisitos obrigatórios de cibersegurança para produtos com elementos digitais; hardware e software; ao longo de todo o seu ciclo de vida. Transfere a responsabilidade pela segurança para as organizações que colocam estes produtos no mercado, em vez de a deixar a cargo dos utilizadores. Art. 1

Na prática, um produto só pode ser disponibilizado no mercado da UE se cumprir os requisitos essenciais estabelecidos no Anexo I e o fabricante cumpriu as obrigações a ele associadas. A conformidade é demonstrada através de uma avaliação da conformidade, de uma Declaração UE de conformidade e da Marcação CE. Pode consultar a redação vinculativa no texto integral do regulamento.

Não tem a certeza se algum disto se aplica a si? O Verificação Rápida do CRA estabelece o âmbito e a classe provável antes de prosseguir a leitura.

02A quem se aplica

O Regulamento abrange produtos com elementos digitais cujo uso previsto ou razoavelmente previsível inclua uma ligação de dados direta ou indireta. Essa definição é deliberadamente ampla: dispositivos de consumo ligados, hardware empresarial, aplicações móveis e de desktop, sistemas operativos, bibliotecas e componentes estão todos abrangidos, salvo se se aplicar uma exclusão específica. As obrigações distribuem-se ao longo da cadeia de abastecimento: Art. 13–28

• Fabricantes; assumem as obrigações principais: conceção segura, documentação técnica, avaliação da conformidade e gestão de vulnerabilidades. O guia do fabricante e o guia do programador de software estabelecem o percurso completo.
• Importadores; só podem colocar no mercado produtos conformes e devem verificar se as obrigações do fabricante foram cumpridas antes de o fazerem.
• Distribuidores; devem agir com a devida diligência e verificar se a Marcação CE e a documentação estão presentes. O guia do importador e distribuidor abrange estas obrigações.

O CRA aplica-se independentemente do local de estabelecimento do fabricante: uma empresa fora da UE que vende para a União está abrangida e deve garantir que um operador económico na UE é responsável pelas obrigações relevantes. Soluções de processamento remoto de dados que são necessários para que um produto desempenhe as suas funções são tratados como parte desse produto e estão igualmente abrangidos. Art. 2 · 3(2)

03Classes de produtos

A via de conformidade exigida depende do grau de criticidade do produto. A maioria dos produtos é autoavaliada; as categorias de maior risco listadas nos anexos estão sujeitas a procedimentos mais rigorosos. A classificação segue a funcionalidade essencial, e não todas as funcionalidades que eventualmente inclua. Art. 6–7 · Anexo III–IV

Quando mais de uma categoria puder aplicar-se, aplica-se a classe mais restritiva. Para confrontar o seu produto com as categorias dos Anexos III e IV, utilize o localizador de classe de produto.

04Obrigações essenciais

Os requisitos essenciais do Anexo I dividem-se em dois grupos: as propriedades que o produto deve ter e os processos que o fabricante deve executar. O matriz de conformidade acompanha cada uma delas com a respetiva referência de artigo. Anexo I

• Segurança desde a conceção e por defeito; fornecido com uma configuração segura e uma superfície de ataque minimizada.
• Sem vulnerabilidades exploráveis conhecidas; fornecido isento de falhas exploráveis conhecidas.
• Tratamento de vulnerabilidades; um processo para identificar, documentar, corrigir e divulgar problemas.
• Atualizações de segurança; atualizações gratuitas e oportunas durante o período de apoio; geralmente previsto ser de pelo menos cinco anos, salvo se o uso esperado do produto for mais curto.
• Lista de materiais de software (SBOM); manter uma SBOM que abranja os componentes do produto num formato de leitura automática de uso corrente.
• Notificação; notificar as vulnerabilidades ativamente exploradas e os incidentes graves à ENISA e ao CSIRT competente, com um aviso prévio no prazo de 24 horas (ver abaixo).

05Conformidade e Marcação CE

A demonstração de conformidade segue uma sequência fixa, e o percurso é determinado pela classe do produto. Art. 28 · 32 · Anexo V · VII

• Compilar a documentação técnica; o processo de evidências descrito no Anexo VII, conservado durante dez anos após a colocação do produto no mercado.
• Realizar a avaliação da conformidade; os produtos por defeito podem ser autoavaliados (Módulo A); os produtos importantes utilizam normas harmonizadas ou um organismo notificado; os produtos críticos requerem certificação.
• Elabore a declaração UE de conformidade; uma declaração assinada estruturada de acordo com o Anexo V. O gerador de declarações de conformidade gera-a por si.
• Apor a marcação CE; o sinal visível de que o acima referido está concluído.

O guia passo a passo Guia de Marcação CE percorre cada via em detalhe, e o calculadora de custos fornece um valor indicativo para atingir a conformidade para a sua classe.

06Obrigações de notificação

A partir de 11 de setembro de 2026, os fabricantes devem notificar vulnerabilidades ativamente exploradas e incidentes graves que afetam a segurança dos seus produtos à ENISA e ao CSIRT nacional competente, através da plataforma de notificação única criada ao abrigo do artigo 16.º. Esta é a primeira das principais obrigações do CRA a produzir efeitos. Art. 14 · 16

• 24 horasAviso prévio, a partir do momento em que tome conhecimento de uma vulnerabilidade ativamente explorada ou de um incidente grave.
• 72 horasNotificação mais detalhada, incluindo as medidas corretivas ou de mitigação tomadas.
• 14 diasRelatório final assim que a vulnerabilidade for corrigida ou, no caso de um incidente, assim que for tratado.

Cumprir estes prazos na prática significa conhecer os seus componentes e monitorizá-los continuamente. O SBOM e analisador de vulnerabilidades confronta a sua lista de materiais com a NVD e a base de dados de vulnerabilidades da UE para que possa agir dentro do prazo de 24 horas. Para uma análise completa do que é considerado objeto de notificação e quem recebe cada notificação, consulte o guia de notificação de incidentes e vulnerabilidades.

07Cronologia e sanções

O regulamento já está em vigor; as suas obrigações entram progressivamente em aplicação ao longo dos anos seguintes. Art. 71

• Dez. 2024Entrada em vigor (10 de dezembro de 2024).
• set. 2026As obrigações de notificação aplicam-se (11 de setembro de 2026).
• 2026As principais datas relativas às normas harmonizadas e à classificação de produtos vencem-se (30 de agosto / 30 de outubro de 2026).
• Dez. 2027Aplicação plena; a maioria das disposições aplica-se (11 de dezembro de 2027).

08Questões comuns

Mais respostas, cada uma com a respetiva referência de artigo, encontram-se na página completa de FAQ.

09O que fazer a seguir

Comece por confirmar se o Ato se aplica ao seu produto, depois siga as orientações elaboradas para o seu papel e acompanhe os requisitos até à sua conclusão.