Visão geral do Regulamento da Ciber-Resiliência da UE

Finalidade e estrutura

O CRA aplica-se a produtos de consumo e industriais quando estes satisfazem as respetivas condições de âmbito. Comece por identificar o produto e verificar se se aplica alguma exclusão. As obrigações do fabricante e as vias de avaliação da conformidade disponíveis dependem, em seguida, do seu papel e da classificação do produto.

As páginas temáticas seguintes explicam cada uma destas questões, com as definições jurídicas, os exemplos e as referências às fontes necessários para uma avaliação específica do produto.

Conceitos fundamentais

Escolha um percurso de leitura

Os responsáveis de produto, os engenheiros de segurança e as equipas de avaliação da conformidade precisam de consultar partes diferentes do regulamento. Os percursos de leitura seguintes correspondem a essas responsabilidades.

• Responsáveis de produto e conformidade: estabeleçam quais os produtos e versões disponibilizados, se o CRA se aplica, o papel jurídico, a categoria do produto e as datas de aplicação pertinentes.
• Equipas de segurança e engenharia: relacionem a arquitetura, os ativos, as fronteiras de confiança, os componentes e a conceção das atualizações com a avaliação dos riscos de cibersegurança.
• Equipas de gestão de vulnerabilidades: mantenham registos de componentes e vulnerabilidades, avaliem o impacto no produto, preparem medidas corretivas e avaliem os critérios de notificação do artigo 14 assim que surjam factos pertinentes.
• Equipas de documentação técnica e avaliação: reúnam provas específicas do produto, verifiquem as normas e a via de avaliação e mantenham o processo coerente com a versão disponibilizada.

Por exemplo, um dispositivo conectado pode depender de firmware integrado, de uma aplicação e de tratamento remoto controlado pelo fabricante. Primeiro, define-se o produto; depois, a avaliação dos riscos, os registos de componentes e a documentação utilizam os mesmos limites definidos.

Ordem de leitura para fabricantes

Comece por determinar se o produto está abrangido. As páginas seguintes explicam depois as partes responsáveis, as categorias de produtos e os requisitos aplicáveis. Consulte separadamente as regras de notificação: o artigo 14 aplica-se a partir de 11 de setembro de 2026, antes dos principais requisitos aplicáveis aos produtos.

1. Comece por Produtos abrangidos e Colocação no mercado .
2. Identifique o papel do operador económico em Papéis e deveres .
3. Classifique o produto com base em Classificação dos produtos e Descrições técnicas do Regulamento de Execução (UE) 2025/2392 .
4. Leia os deveres relativos ao produto e aos processos em Requisitos essenciais de cibersegurança .
5. Consulte as normas pertinentes em Normas e normas harmonizadas e Normas de produto por categoria .
6. Continue com Avaliação dos riscos de cibersegurança, Documentação técnica e Informações e instruções para os utilizadores.
7. Prepare a notificação prevista no artigo 14 com Notificação de vulnerabilidades e Preparação para a notificação prevista no artigo 14 .
8. Utilize as datas principais para distinguir os prazos de notificação, os relativos aos organismos notificados, o período de transição e a aplicação plena.

Produtos abrangidos

O presente regulamento aplica-se aos produtos com elementos digitais disponibilizados no mercado cuja finalidade prevista ou utilização razoavelmente previsível inclua uma ligação de dados lógica ou física, direta ou indireta, a um dispositivo ou rede.

Regulamento (UE) 2024/2847, artigo 2.º, n.º 1

Um produto com elementos digitais pode ser software, hardware, um componente de software ou hardware colocado separadamente no mercado e a solução de tratamento remoto de dados do produto. O tratamento remoto só faz parte do produto quando é concebido e desenvolvido pelo fabricante, ou sob a sua responsabilidade, e o produto não pode desempenhar uma das suas funções sem esse tratamento.

O CRA não transforma todos os serviços digitais em produtos com elementos digitais. Um sítio Web ou serviço de computação em nuvem que não esteja sob a responsabilidade do fabricante pelo produto é diferente do tratamento remoto de que o produto necessita para funcionar. As exclusões explícitas são tratadas na página sobre o âmbito; o contexto geral da legislação relativa aos produtos é tratado na página de introdução.

Papéis e categorias de produtos

Um fabricante, importador e distribuidor podem ter deveres relativos ao mesmo produto. A classificação do produto responde a uma questão diferente: quais as vias de avaliação da conformidade disponíveis ou obrigatórias. As categorias de produtos importantes e críticos dependem da funcionalidade principal do produto.

• Os produtos da categoria por defeito continuam sujeitos ao CRA, mas normalmente seguem a via de avaliação da conformidade baseada no controlo interno.
• Os produtos importantes constam do anexo III e dividem-se nas classes I e II.
• Os produtos críticos constam do anexo IV e podem estar sujeitos a certificação ou a vias mais rigorosas de avaliação por terceiros.
• O Regulamento de Execução (UE) 2025/2392 da Comissão estabelece descrições técnicas para as categorias de produtos importantes e críticos.

Um produto não é importante nem crítico apenas por conter um componente incluído numa categoria enumerada. A questão pertinente é saber se o produto, considerado no seu conjunto, tem a funcionalidade principal dessa categoria.

Requisitos essenciais e normas

O artigo 6.º exige que tanto o produto como os processos do fabricante para a gestão de vulnerabilidades cumpram o anexo I. As suas duas partes estabelecem estes requisitos separadamente. Uma norma harmonizada cuja referência seja publicada no Jornal Oficial pode proporcionar presunção de conformidade para os requisitos que abrange.

As páginas detalhadas explicam a estrutura do anexo I e a forma como as normas podem ajudar a demonstrar a conformidade. Requisitos essenciais de cibersegurança e Normas e normas harmonizadas.

Notificação e gestão de vulnerabilidades

A gestão de vulnerabilidades é um dever ao longo do ciclo de vida. A notificação é um dever mais restrito, desencadeado por determinados eventos. A partir de 11 de setembro de 2026, o artigo 14.º aplica-se quando o fabricante tiver conhecimento de uma vulnerabilidade ativamente explorada no produto ou de um incidente grave que afete a segurança do produto.

• Alerta precoce: no prazo de 24 horas após o fabricante ter conhecimento.
• Notificação: no prazo de 72 horas após o fabricante ter conhecimento, salvo se as informações pertinentes já tiverem sido fornecidas.
• Relatório final sobre uma vulnerabilidade ativamente explorada: o mais tardar 14 dias após estar disponível uma medida corretiva ou de mitigação.
• Relatório final sobre um incidente grave: no prazo de um mês após a notificação do incidente no prazo de 72 horas.

Datas principais

O CRA foi publicado no Jornal Oficial em 20 de novembro de 2024 e entrou em vigor em 10 de dezembro de 2024. A sua aplicação é faseada, pelo que os prazos de notificação e relativos aos organismos de avaliação da conformidade ocorrem antes da aplicação plena.