Perguntas frequentes

A classificação segue a funcionalidade central do produto, e não todas as funcionalidades que este inclui. Se a função central corresponder a uma categoria mencionada no anexo III, o produto é «importante» (Classe I ou II); se corresponder ao anexo IV, é «crítico»; caso contrário, é «por defeito». Uma capacidade como a gestão de identidades ou uma VPN, incluída apenas como funcionalidade, não torna o produto «importante», a menos que seja a sua finalidade central. Quando puder aplicar-se mais do que uma categoria, aplica-se a classe mais rigorosa. Art. 7

O software de fonte aberta não comercial desenvolvido fora de uma atividade comercial está, em grande medida, fora do âmbito de aplicação. Os responsáveis pela gestão de software de fonte aberta têm um conjunto de obrigações mais leve e adaptado. Os componentes de fonte aberta fornecidos no âmbito de uma atividade comercial podem ser abrangidos pelo âmbito de aplicação.

Os serviços autónomos estão, em geral, fora do âmbito do CRA. No entanto, as soluções de processamento de dados à distância necessárias para que um produto desempenhe as suas funções são tratadas como parte desse produto e estão abrangidas pelo âmbito de aplicação. Art. 3(2)

Sim. O CRA aplica-se aos produtos colocados no mercado da UE, independentemente do local onde o fabricante está estabelecido. Os fabricantes estabelecidos fora da UE devem assegurar que um operador económico estabelecido na União é responsável pelas obrigações pertinentes.

Estão repartidos por duas partes do anexo I: as propriedades de segurança que o produto deve possuir (seguro por predefinição, confidencialidade, integridade, disponibilidade, superfície de ataque minimizada, atualizações de segurança) e os processos de tratamento de vulnerabilidades que o fabricante deve operar (SBOM, correção, divulgação coordenada). Anexo I

Sim. Os fabricantes devem identificar e documentar os componentes contidos no produto, nomeadamente através da elaboração de uma lista de materiais de software (SBOM) num formato de uso comum e legível por máquina. Anexo I · II(1)

O período de apoio é o tempo durante o qual o fabricante deve fornecer atualizações de segurança. Deve refletir o período durante o qual se espera razoavelmente que o produto seja utilizado: cinco anos por defeito, mais curto quando a utilização prevista for mais curta e mais longo quando for mais longa. Art. 13(8)

As vulnerabilidades ativamente exploradas e os incidentes graves que afetem a segurança do produto devem ser notificados à ENISA e ao CSIRT competente. É devido um alerta precoce no prazo de 24 horas após o conhecimento do facto, seguido de uma notificação mais completa e de um relatório final. Art. 14

O regulamento entrou em vigor em 10 de dezembro de 2024. As obrigações de notificação aplicam-se a partir de setembro de 2026 (21 meses depois) e a maior parte das obrigações aplica-se a partir de dezembro de 2027 (36 meses depois). Art. 71

As violações dos requisitos essenciais ou das obrigações do fabricante podem dar origem a coimas até €15 milhões ou 2,5% do volume de negócios anual total a nível mundial, consoante o valor mais elevado. Aplicam-se limites máximos inferiores a outras infrações e à prestação de informações incorretas.

Not as of 13 August 2026. The platform is not live and its public URL has not been published; ENISA will announce it on its Single Reporting Platform page before go-live, and has scheduled it to be operational by 11 September 2026 with user and security testing beforehand. ENISA has published a factsheet, an FAQ and step-by-step registration and submission guidance, all last updated 3 August 2026. You can create the EU Login account the platform uses today. Note too that the harmonised standards underpinning vulnerability handling are expected around 30 August 2026 and none has yet been cited in the Official Journal; so build your internal process now rather than waiting for the final mechanics. See the guia de notificação. Art. 14 · 16

O pedido de normalização M/606 da Comissão foi aceite pelo CEN, CENELEC e ETSI em 2025, abrangendo cerca de 41 normas (horizontais e específicas de produtos). As duas normas horizontais essenciais (desenvolvimento seguro e tratamento de vulnerabilidades) são esperadas até 30 de agosto de 2026, as normas verticais de produtos até 30 de outubro de 2026 e as restantes normas horizontais até 30 de outubro de 2027, antes da plena aplicação em dezembro de 2027. Seguir uma norma harmonizada citada confere uma presunção de conformidade. Anexo I

Siga o procedimento de avaliação da conformidade aplicável à classe do seu produto, compile a documentação técnica, elabore e assine a declaração UE de conformidade e, em seguida, aponha a marcação CE. Os produtos por defeito podem autoavaliar-se; os produtos importantes e críticos exigem procedimentos mais rigorosos. Art. 28 · 32

Comece pelo CRA Fast Check para confirmar o âmbito de aplicação e a classe, siga o guia redigido para o seu papel e utilize a matriz de conformidade para acompanhar os requisitos essenciais até à sua conclusão.

As obrigações de notificação do artigo 14.º tornam-se exequíveis. A partir dessa data, os fabricantes devem notificar as vulnerabilidades ativamente exploradas e os incidentes graves à ENISA e ao CSIRT competente através da plataforma de notificação única. É a primeira das principais obrigações do CRA a entrar em vigor, muito antes da aplicação plena em 11 de dezembro de 2027. Consulte o guia de notificação. Art. 14 · 71

Não. Apenas vulnerabilidades ativamente exploradas e incidentes graves que afetam a segurança do seu produto são objeto de notificação ao abrigo do artigo 14.º. As vulnerabilidades que encontra e corrige antes de serem exploradas são tratadas através do seu processo ordinário de gestão de vulnerabilidades, e não do canal de notificação. O guia de notificação define o teste e os prazos. Art. 14

Através da plataforma de notificação única da ENISA, que encaminha a sua notificação para a ENISA e para o CSIRT nacional competente. Envia um aviso prévio no prazo de 24 horas após tomar conhecimento, uma notificação mais detalhada no prazo de 72 horas e um relatório final no prazo de 14 dias após a disponibilização de uma medida corretiva. Consulte o guia passo a passo guia de notificação. Art. 14 · 16

Geralmente não, por si só. As orientações da Comissão esclarecem que o software que é executado no dispositivo do utilizador (uma aplicação transferida, uma extensão do navegador, um cliente instalado localmente) é um produto com elementos digitais, ao passo que uma aplicação Web utilizada apenas através de um navegador, ou um sítio Web que se limita a apresentar informação, não o é. Um serviço à distância só está abrangido quando constitui processamento de dados à distância necessário para um produto desempenhar as suas funções. Art. 3 Consulte o Visão geral das orientações da Comissão.

Apenas quando a atualização é uma modificação substancial: uma alteração que altera o risco de cibersegurança do produto de uma forma que a sua avaliação de risco ainda não previa. As atualizações de segurança normais geralmente não constituem modificações substanciais. Quando uma atualização é substancial, o produto modificado é tratado como recentemente colocado no mercado e é exigida uma nova avaliação de conformidade para as partes afetadas. Art. 3(30) O Orientações da Comissão estabelece o critério.