Guia do CRA para programadores de software
Como o Regulamento Ciber-Resiliência se aplica aos produtos de software; desde o desenvolvimento seguro até ao tratamento de vulnerabilidades, às listas de materiais de software e à marcação CE.
Etapas de conformidade
Confirme o âmbito de aplicação e a classe
Art. 2 · 6A maioria do software colocado no mercado da UE com uma ligação de dados está abrangida pelo âmbito de aplicação, e muitas ferramentas para programadores enquadram-se na categoria de produtos «importantes» do anexo III.
- ✓Execute o CRA Fast Check para confirmar o âmbito de aplicação
- ✓Identifique se o seu produto é por defeito, importante ou crítico
- ✓Registe a fundamentação na sua documentação
Integrar a segurança desde a conceção
Annex I · IConceber e desenvolver o produto de modo a cumprir as propriedades essenciais de segurança ao longo de todo o seu ciclo de vida.
- ✓Fornecer uma configuração segura por defeito
- ✓Aplicar controlos de autenticação e de acesso
- ✓Proteger os dados mediante cifragem em trânsito e em repouso
- ✓Minimizar a superfície de ataque e as interfaces expostas
Deixar ativas, nas versões de produção, interfaces de depuração, credenciais predefinidas ou mensagens de erro detalhadas.
Estabelecer o tratamento de vulnerabilidades
Annex I · IIOperar um processo documentado para detetar, corrigir e divulgar vulnerabilidades ao longo do período de apoio.
- ✓Publicar uma política de divulgação coordenada de vulnerabilidades
- ✓Disponibilizar um ponto de contacto para a comunicação de problemas
- ✓Corrigir as vulnerabilidades sem demora injustificada
- ✓Divulgar as vulnerabilidades corrigidas assim que uma atualização estiver disponível
Manter uma lista de materiais de software
Anexo I · II(1)Manter uma SBOM atualizada que abranja, pelo menos, as dependências de nível superior do seu produto.
- ✓Gerar uma SBOM num formato legível por máquina
- ✓Acompanhe os componentes e as suas vulnerabilidades conhecidas
- ✓Mantê-la atualizada a cada versão lançada
Fornecer atualizações de segurança gratuitas e atempadas
Annex I · I(2)Disponibilize as atualizações de segurança separadamente das atualizações de funcionalidades, a título gratuito, durante o período de apoio declarado.
- ✓Definir e publicar o período de apoio
- ✓Disponibilizar atualizações de segurança de forma atempada
- ✓Distribuir as correções através de um mecanismo seguro
Reunir a documentação técnica
Anexo VIICompile a documentação que demonstra a conformidade e mantenha-a disponível para a fiscalização do mercado.
- ✓Descrição do produto e utilização prevista
- ✓Avaliação dos riscos de cibersegurança
- ✓Registos das normas aplicadas
Avaliar a conformidade e apor a marcação CE
Art. 32 · 36Siga o procedimento de avaliação da conformidade aplicável à sua classe e complete a declaração UE de conformidade.
- ✓Autoavaliação (por defeito) ou recurso a um organismo notificado (importantes/críticos)
- ✓Elabore e assine a declaração UE de conformidade
- ✓Apor a marcação CE
Cumprir as obrigações de comunicação e manter o produto
Art. 13(8) · 14A partir de setembro de 2026, notifique as vulnerabilidades ativamente exploradas e os incidentes graves e mantenha o produto durante todo o seu período de apoio.
- ✓Apresente um alerta precoce à ENISA e à CSIRT no prazo de 24 horas
- ✓Dar seguimento com uma notificação e um relatório final
- ✓Informar os utilizadores afetados, sempre que adequado
O período de apoio deve refletir o tempo durante o qual se prevê que o produto esteja em utilização, contado a partir do momento em que o produto é colocado no mercado da UE: cinco anos por defeito, mais curto quando a utilização prevista for mais curta e mais longo quando for mais longa. Ao longo desse período, deve proceder ao tratamento de vulnerabilidades e fornecer atualizações de segurança gratuitas; cada atualização deve depois permanecer disponível durante 10 anos após a sua emissão ou até ao fim do apoio se este for posterior, e a documentação técnica e a declaração UE de conformidade devem ser conservadas durante 10 anos ou até ao fim do apoio se este for posterior.
Todas as ferramentas abaixo são gratuitas e abrem aqui num painel lateral, para que não perca o seu lugar.
Confirme se o Act se aplica e qual a sua classe provável.
Abrir aqui →GratuitoMatriz de conformidadeAssocie todas as obrigações dos anexos I e VII e acompanhe-as até à conclusão.
Abrir aqui →GratuitoCalculadora de custosEstime o custo pontual e anual da conformidade.
Abrir aqui →GratuitoVulnerability AnalyzerCruze a sua lista de materiais de software com a NVD e a EUVD e acompanhe os componentes em fim de vida (End-of-Life).
Abrir aqui →GratuitoGerador de DoCGere uma declaração UE de conformidade (anexo V) para o seu produto.
Abrir aqui →GratuitoLocalizador de classificaçãoDetermine com precisão se o seu produto é predefinido, importante ou crítico, pela designação.
Abrir aqui →GratuitoPlaneador do período de apoioDefina o seu período de apoio mínimo e assinale os componentes que atingem o fim de vida demasiado cedo.
Abrir aqui →GratuitoAutoavaliação de maturidadeAvalie as suas práticas de segurança dos produtos em cinco domínios e obtenha uma lista de verificação de melhorias personalizada (modelo ENISA).
Abrir aqui →Outros guias para partes interessadas
Fabricantes
As obrigações que o Cyber Resilience Act impõe aos produtores de produtos com elementos digitais; desde a avaliação dos riscos até à marcação CE e aos deveres pós-comercialização.
Importadores e distribuidores
O que os operadores económicos devem verificar antes; e depois; de disponibilizarem um produto com elementos digitais no mercado da UE.
Como obter uma marcação CE
As etapas para declarar a conformidade e apor a marcação CE num produto com elementos digitais.