Perguntas frequentes

A classificação segue a funcionalidade central do produto, e não todas as funcionalidades que este inclui. Se a função central corresponder a uma categoria mencionada no anexo III, o produto é «importante» (Classe I ou II); se corresponder ao anexo IV, é «crítico»; caso contrário, é «por defeito». Uma capacidade como a gestão de identidades ou uma VPN, incluída apenas como funcionalidade, não torna o produto «importante», a menos que seja a sua finalidade central. Quando puder aplicar-se mais do que uma categoria, aplica-se a classe mais rigorosa. Art. 7

O software de fonte aberta não comercial desenvolvido fora de uma atividade comercial está, em grande medida, fora do âmbito de aplicação. Os responsáveis pela gestão de software de fonte aberta têm um conjunto de obrigações mais leve e adaptado. Os componentes de fonte aberta fornecidos no âmbito de uma atividade comercial podem ser abrangidos pelo âmbito de aplicação.

Os serviços autónomos estão, em geral, fora do âmbito do CRA. No entanto, as soluções de tratamento de dados à distância necessárias para que um produto desempenhe as suas funções são tratadas como parte desse produto e estão abrangidas. Estar fora do âmbito do CRA não significa não estar regulamentado: os serviços web e na nuvem podem estar sujeitos a outras regras da EU, nomeadamente a NIS2 (Directive (EU) 2022/2555) para entidades de média e grande dimensão em setores abrangidos, e o GDPR para dados pessoais. Art. 3(2)

Sim. O CRA aplica-se aos produtos colocados no mercado da UE, independentemente do local onde o fabricante está estabelecido. Os fabricantes estabelecidos fora da UE devem assegurar que um operador económico estabelecido na União é responsável pelas obrigações pertinentes.

Estão repartidos por duas partes do anexo I: as propriedades de segurança que o produto deve possuir (seguro por predefinição, confidencialidade, integridade, disponibilidade, superfície de ataque minimizada, atualizações de segurança) e os processos de tratamento de vulnerabilidades que o fabricante deve operar (SBOM, correção, divulgação coordenada). Anexo I

Sim. Os fabricantes devem identificar e documentar os componentes contidos no produto, nomeadamente através da elaboração de uma lista de materiais de software (SBOM) num formato de uso comum e legível por máquina. Anexo I · II(1)

O período de apoio é o tempo durante o qual o fabricante deve fornecer atualizações de segurança. Deve refletir o período durante o qual se espera razoavelmente que o produto seja utilizado: cinco anos por defeito, mais curto quando a utilização prevista for mais curta e mais longo quando for mais longa. Art. 13(8)

As vulnerabilidades ativamente exploradas e os incidentes graves que afetem a segurança do produto devem ser notificados à ENISA e ao CSIRT competente. É devido um alerta precoce no prazo de 24 horas após o conhecimento do facto, seguido de uma notificação mais completa e de um relatório final. Art. 14

O regulamento entrou em vigor em 10 de dezembro de 2024. As obrigações de notificação aplicam-se a partir de setembro de 2026 (21 meses depois) e a maior parte das obrigações aplica-se a partir de dezembro de 2027 (36 meses depois). Art. 71

As violações dos requisitos essenciais ou das obrigações do fabricante podem dar origem a coimas até €15 milhões ou 2,5% do volume de negócios anual total a nível mundial, consoante o valor mais elevado. Aplicam-se limites máximos inferiores a outras infrações e à prestação de informações incorretas.

Sim, desde 11 de setembro de 2026, o dia em que o próprio dever do artigo 14.º entrou em vigor. A plataforma está em funcionamento em portal.cra-srp.enisa.europa.eu; seleciona a função Assigned Representative e inicia sessão com uma conta EU Login que tenha a autenticação multifator ativada. A ENISA publicou o endereço nas suas FAQ do SRP a 10 de setembro de 2026, juntamente com um AR User Manual e os termos e condições da plataforma. Quatro elementos não chegaram com ela: a notificação voluntária ao abrigo do artigo 15.º, uma API de notificação, um campo de conhecimento para vulnerabilidades ativamente exploradas e um contador de 72 horas que mede a partir do conhecimento e não da submissão do seu alerta precoce, o que significa que o relógio no ecrã pode mostrar uma notificação como em atraso antes de o prazo legal ter decorrido. A plataforma funciona apenas em inglês por agora. Consulte o guia de notificação. Art. 14 · 16

O pedido de normalização M/606 da Comissão foi aceite pelo CEN, CENELEC e ETSI em 2025, abrangendo cerca de 41 normas (horizontais e específicas de produtos). Na sequência da proposta de alteração da Comissão de julho de 2026 ao M/606, que adiou os prazos de 2026 em dois meses, as duas normas horizontais essenciais (desenvolvimento seguro e tratamento de vulnerabilidades) são agora esperadas até 31 de outubro de 2026, as normas verticais de produtos até 31 de dezembro de 2026 e as restantes normas horizontais até 30 de outubro de 2027, antes da plena aplicação em dezembro de 2027. Seguir uma norma harmonizada citada confere uma presunção de conformidade. Anexo I

Siga o procedimento de avaliação da conformidade aplicável à classe do seu produto, compile a documentação técnica, elabore e assine a declaração UE de conformidade e, em seguida, aponha a marcação CE. Os produtos por defeito podem autoavaliar-se; os produtos importantes e críticos exigem procedimentos mais rigorosos. Art. 28 · 32

Comece pelo CRA Fast Check para confirmar o âmbito de aplicação e a classe, siga o guia redigido para o seu papel e utilize a matriz de conformidade para acompanhar os requisitos essenciais até à sua conclusão.

As obrigações de notificação do artigo 14.º tornam-se exequíveis. A partir dessa data, os fabricantes devem notificar as vulnerabilidades ativamente exploradas e os incidentes graves à ENISA e ao CSIRT competente através da plataforma de notificação única. É a primeira das principais obrigações do CRA a entrar em vigor, muito antes da aplicação plena em 11 de dezembro de 2027. Consulte o guia de notificação. Art. 14 · 71

Não. Apenas vulnerabilidades ativamente exploradas e incidentes graves que afetam a segurança do seu produto são objeto de notificação ao abrigo do artigo 14.º. As vulnerabilidades que encontra e corrige antes de serem exploradas são tratadas através do seu processo ordinário de gestão de vulnerabilidades, e não do canal de notificação. O guia de notificação define o teste e os prazos. Art. 14

Através da plataforma de notificação única da ENISA, em funcionamento desde 11 de setembro de 2026 em portal.cra-srp.enisa.europa.eu, que encaminha a sua notificação para a ENISA e para a CSIRT nacional competente. Envia um alerta precoce no prazo de 24 horas após tomar conhecimento, uma notificação mais completa no prazo de 72 horas e um relatório final no prazo de 14 dias após a disponibilização de uma medida corretiva para uma vulnerabilidade, ou no prazo de um mês após a notificação das 72 horas no caso de incidentes graves. O início de sessão é feito através do EU Login com autenticação multifator. Consulte o passo a passo guia de notificação. Art. 14 · 16

Em geral, não só por si. As Orientações da Comissão esclarecem que o software que é executado no dispositivo do utilizador (uma aplicação descarregada, uma extensão de navegador, um cliente instalado localmente) é um produto com elementos digitais, ao passo que uma aplicação web utilizada apenas através de um navegador, ou um sítio web que se limita a apresentar informação, não o é. Um serviço remoto só é abrangido quando constitui tratamento de dados à distância necessário para que um produto desempenhe as suas funções. Estar fora do âmbito do CRA não é o mesmo que não estar regulamentado: um serviço exclusivamente web pode ainda ser abrangido pela NIS2 (para prestadores de média e grande dimensão) e pelo GDPR. Art. 3 Consulte o Visão geral das orientações da Comissão.

Pode alterar a resposta, porque o CRA regula produtos, não serviços. O mesmo código empacotado como aplicação instalável (incluindo uma compilação Capacitor, Electron ou semelhante) é executado no dispositivo do utilizador e é um produto com elementos digitais, pelo que o CRA se aplica. Disponibilizado apenas como aplicação web progressiva no navegador, é um serviço web e está, em geral, fora do âmbito do CRA enquanto produto; o backend com que comunica só é abrangido quando constitui tratamento de dados à distância de que um produto necessita para desempenhar as suas funções. Duas ressalvas: um serviço exclusivamente web não está por regulamentar (a NIS2 pode aplicar-se a prestadores de média e grande dimensão, e o GDPR aos dados pessoais), e a fronteira entre produto e serviço pode esbater-se, pelo que 'disponibilizar uma PWA' deve ser tratado como uma decisão de arquitetura e não como uma isenção garantida. Art. 3 Consulte o Visão geral das orientações da Comissão.

Apenas quando a atualização é uma modificação substancial: uma alteração que altera o risco de cibersegurança do produto de uma forma que a sua avaliação de risco ainda não previa. As atualizações de segurança normais geralmente não constituem modificações substanciais. Quando uma atualização é substancial, o produto modificado é tratado como recentemente colocado no mercado e é exigida uma nova avaliação de conformidade para as partes afetadas. Art. 3(30) O Orientações da Comissão estabelece o critério.