Perguntas frequentes sobre o Regulamento da Ciber-Resiliência da UE

Sim, se forem cumpridas as condições de âmbito do CRA. Um produto com elementos digitais pode ser software, hardware, uma solução de tratamento de dados à distância que faça parte do produto ou um componente de software ou hardware colocado separadamente no mercado.

Um software fornecido como produto pode estar abrangido se cumprir a definição do CRA e as condições relativas ao mercado. Incluem-se aplicações autónomas e firmware. Aplique as mesmas condições de âmbito a ferramentas de desenvolvimento e componentes de software, em vez de decidir com base nos respetivos nomes.

Saiba mais em Produtos abrangidos pelo âmbito.

Um serviço SaaS autónomo ou um serviço na nuvem desenvolvido fora da responsabilidade do fabricante não é automaticamente um produto com elementos digitais. Uma função na nuvem é relevante para o CRA quando cumpre a definição de tratamento de dados à distância.

O tratamento de dados à distância faz parte do produto quando ocorre à distância, o produto necessita dele para executar uma das suas funções e o software de tratamento foi concebido ou desenvolvido pelo fabricante ou sob a responsabilidade deste.

Saiba mais em Produtos abrangidos pelo âmbito.

Não. O CRA utiliza conceitos de ligação de dados, não uma regra simples de acesso à Internet. Uma ligação pode ser lógica, física, direta ou indireta.

Exemplos pertinentes incluem:

• Ligações lógicas através de APIs, sockets de rede, pipes, ficheiros, sessões HTTPS de navegador ou protocolos de correio eletrónico;
• Ligações físicas através de USB, Ethernet, fibra ótica, fieldbus, Wi-Fi, Bluetooth, NFC ou outras ligações rádio;
• Ligações indiretas através de um sistema anfitrião que, por sua vez, possa ser ligado a um dispositivo ou rede.

Saiba mais em Produtos abrangidos pelo âmbito.

Normalmente, não. O Guia Azul explica que não há colocação no mercado quando um produto é fabricado para utilização própria. As perguntas frequentes da Comissão aplicam esse princípio a exemplos do CRA, como ferramentas de desenvolvimento e configuração criadas por um fabricante para uso próprio.

A resposta muda se a ferramenta for posteriormente colocada no mercado como produto separado. Nesse caso, tem de ser avaliada como qualquer outro produto de software ou hardware com elementos digitais.

Saiba mais em Colocação no mercado.

Os produtos colocados no mercado antes de 11 de dezembro de 2027 não ficam sujeitos aos requisitos integrais do CRA apenas por essa data chegar. Ficam sujeitos a esses requisitos se forem objeto de uma alteração substancial a partir dessa data.

A notificação prevista no artigo 14.º é diferente. As obrigações de notificação são aplicáveis desde 11 de setembro de 2026 aos produtos com elementos digitais abrangidos pelo CRA, incluindo os colocados no mercado antes de 11 de dezembro de 2027.

Saiba mais em Colocação no mercado e Notificação de vulnerabilidades.

As perguntas frequentes da Comissão distinguem as unidades já colocadas no mercado das unidades colocadas no mercado posteriormente. As unidades que já tenham sido colocadas no mercado podem continuar a ser disponibilizadas depois de terminar o período de suporte declarado.

As unidades colocadas posteriormente são diferentes. Se o fabricante colocar unidades adicionais no mercado, tem de estabelecer um período de suporte para essas unidades nos termos do artigo 13.º, n.º 8.

Saiba mais em Período de suporte.

Não. O fornecimento gratuito não determina, por si só, a resposta. O CRA distingue o desenvolvimento não comercial de software livre e de código aberto do software colocado no mercado no âmbito de uma atividade comercial.

As orientações de julho de 2026 distinguem o acesso pago ao software ou à sua manutenção dos serviços opcionais relacionados com software disponibilizado gratuitamente. Edições pagas podem constituir fornecimento comercial; apenas a consultoria opcional não torna comercial a versão gratuita. A monetização de serviços através do software, ou a exigência de tratamento de dados pessoais para além do necessário para melhorar a segurança, compatibilidade ou interoperabilidade do software como condição de utilização, também pode tornar comercial o fornecimento.

Saiba mais em Papéis e obrigações e Produtos abrangidos pelo âmbito.

Sim, mas apenas ao abrigo da regra de testes do artigo 4.º, n.º 3. O software tem de ser disponibilizado apenas durante o período limitado necessário para os testes e tem de indicar visivelmente que não cumpre o CRA e que não estará disponível para outros fins que não sejam os testes.

As perguntas frequentes da Comissão também remetem para o considerando 37: o fabricante deve lançar esse software apenas após uma avaliação dos riscos e deve cumprir, na medida do possível, os requisitos de segurança e de tratamento de vulnerabilidades.

Sim. O artigo 13.º, n.º 11, permite arquivos públicos de software que melhorem o acesso dos utilizadores a versões históricas. Os utilizadores têm de ser claramente informados, de forma facilmente acessível, dos riscos associados ao software sem suporte.

Um arquivo não equivale a suporte ativo. A questão é saber se o utilizador consegue perceber que a versão arquivada já não é suportada e apresenta riscos de segurança.

Não. As perguntas frequentes da Comissão indicam que o CRA não exige que os fabricantes garantam que os produtos estejam isentos de todas as vulnerabilidades.

No momento da colocação no mercado, o requisito pertinente do anexo I diz respeito a vulnerabilidades conhecidas suscetíveis de exploração, com base na avaliação dos riscos de cibersegurança do fabricante e nos factos disponíveis nesse momento.

Saiba mais em Requisitos essenciais de cibersegurança e Avaliação dos riscos de cibersegurança.

Não. O fabricante tem de avaliar se a vulnerabilidade é relevante para o produto e que risco representa. A solução tem de ser adequada a esse risco.

A solução pode ser um patch, mas também pode consistir noutra medida, como um aviso, orientações de configuração, uma solução alternativa, informações atualizadas para os utilizadores ou uma atualização de software posterior. O CRA exige que as vulnerabilidades sejam tratadas e corrigidas sem demora, tendo em conta os riscos que representam para os produtos com elementos digitais.

Saiba mais em Registos de tratamento de vulnerabilidades.

Não. Cinco anos é uma salvaguarda mínima, não o prazo predefinido para todos os produtos. Poderá ser necessário um período de suporte mais longo quando se preveja razoavelmente que o produto será utilizado durante mais tempo.

Só é permitido um período de suporte inferior quando se preveja que o produto será utilizado por menos de cinco anos. Nesse caso, o período de suporte corresponde ao período de utilização previsto.

Saiba mais em Período de suporte.

O fabricante notifica uma vulnerabilidade explorada ativamente que esteja contida no seu produto. Se a vulnerabilidade tiver origem num componente integrado e puder ser explorada no produto, o fabricante do produto tem de a notificar. O fabricante do componente também a notifica se o componente tiver sido colocado no mercado como produto próprio.

Se não for possível explorar a vulnerabilidade do componente no produto do fabricante, essa situação não aciona a obrigação de notificação prevista no artigo 14.º. O fabricante poderá ainda ter obrigações de coordenação a montante ou de tratamento de vulnerabilidades.

Saiba mais em Notificação de vulnerabilidades.

Não. As perguntas frequentes da Comissão explicam que o fabricante pode integrar componentes sem marcação CE, incluindo componentes que não tenham sido colocados no mercado e componentes colocados no mercado antes da aplicação do CRA.

O fabricante continua a ter de exercer diligência devida para garantir que o componente não compromete a cibersegurança do produto final.

Saiba mais em Registos de componentes e SBOM.

Em geral, não. As perguntas frequentes da Comissão indicam que não existe uma obrigação geral de disponibilizar a documentação técnica aos clientes ou ao público.

A exceção importante é o software livre e de código aberto das classes I ou II do anexo III quando o fabricante pretende utilizar a autoavaliação prevista no artigo 32.º, n.º 5. Nesse caso, a documentação técnica tem de ser disponibilizada publicamente.

Saiba mais em Documentação técnica e Avaliação da conformidade.

Não. Os projetos de normas podem ser materiais úteis de preparação, mas não criam presunção de conformidade ao abrigo do artigo 27.º. A presunção depende de uma norma harmonizada cuja referência tenha sido publicada no Jornal Oficial da União Europeia.

A mesma distinção aplica-se aos projetos prEN 40000 e aos projetos de normas específicas de produtos. Os fabricantes podem utilizá-los para preparar evidências e verificar separadamente o respetivo estado de publicação e citação.

Saiba mais em Normas harmonizadas e presunção de conformidade.