Categorias de produtos importantes e críticos do CRA
Sytance · Atualizado
Os produtos importantes e críticos são produtos abrangidos pelo CRA cuja funcionalidade principal corresponde a uma categoria do anexo III ou do anexo IV. O Regulamento de Execução (UE) 2025/2392 da Comissão estabelece as descrições técnicas necessárias para interpretar os nomes dessas categorias.
Descrições técnicas do Regulamento 2025/2392
Até 11 de dezembro de 2025, a Comissão adota um ato de execução que especifique a descrição técnica das categorias de produtos com elementos digitais das classes I e II previstas no anexo III e a descrição técnica das categorias de produtos com elementos digitais previstas no anexo IV. Esse ato de execução é adotado de acordo com o procedimento de exame referido no artigo 62.º, n.º 2.
Regulamento (UE) 2024/2847, artigo 7.º, n.º 4
O Regulamento 2025/2392 é esse ato de execução. Não substitui o anexo III nem o anexo IV. Explica o significado técnico dos nomes das categorias, para que os mesmos produtos sejam classificados de forma coerente em toda a UE.
As descrições técnicas e a forma de as interpretar são explicadas em Descrições técnicas do Regulamento 2025/2392.
Funcionalidade principal
As perguntas frequentes da Comissão são claras neste ponto: o fabricante deve analisar a funcionalidade principal do produto. Uma funcionalidade incluída no produto não é suficiente. Um produto com outra finalidade principal não é classificado como importante ou crítico apenas porque inclui, incorpora ou consegue imitar uma função enumerada.
Componente integrado num produto
Um navegador incorporado não transforma, por si só, uma aplicação de notícias num produto da categoria dos navegadores.
Hardware de segurança incorporado num dispositivo
Um elemento seguro integrado num computador portátil não transforma, por si só, o computador num produto da categoria dos elementos seguros.
Capacidade semelhante
O software SOAR pode executar tarefas semelhantes às de um SIEM sem ter como funcionalidade principal a de um SIEM.
Produtos importantes
O anexo III divide os produtos importantes nas classes I e II. A classe II é mais rigorosa. A lista seguinte apresenta os nomes das categorias; as descrições técnicas constam do Regulamento 2025/2392.
O anexo III enumera as seguintes categorias da classe I:
- Sistemas de gestão de identidades e software e hardware de gestão de acessos privilegiados, incluindo leitores de autenticação e controlo de acesso, nomeadamente leitores biométricos
- Navegadores autónomos e incorporados
- Gestores de palavras-passe
- Software que procura, remove ou coloca em quarentena software malicioso
- Produtos com elementos digitais cuja função seja a de uma rede privada virtual (VPN)
- Sistemas de gestão de redes
- Sistemas de gestão de informações e eventos de segurança (SIEM)
- Gestores de arranque
- Infraestruturas de chave pública e software de emissão de certificados digitais
- Interfaces de rede físicas e virtuais
- Sistemas operativos
- Routers, modems destinados à ligação à Internet e switches
- Microprocessadores com funcionalidades relacionadas com a segurança
- Microcontroladores com funcionalidades relacionadas com a segurança
- Circuitos integrados de aplicação específica (ASIC) e matrizes de portas programáveis no terreno (FPGA) com funcionalidades relacionadas com a segurança
- Assistentes virtuais de uso geral para casas inteligentes
- Produtos para casas inteligentes com funcionalidades de segurança, incluindo fechaduras inteligentes, câmaras de segurança, sistemas de monitorização de bebés e sistemas de alarme
- Brinquedos ligados à Internet abrangidos pela Diretiva 2009/48/CE do Parlamento Europeu e do Conselho que tenham funcionalidades de interação social (por exemplo, comunicação por voz ou captação de imagens) ou funcionalidades de localização
- Produtos pessoais portáteis para uso ou colocação no corpo humano com uma finalidade de monitorização da saúde (como o acompanhamento de indicadores) aos quais não se aplicam o Regulamento (UE) 2017/745 ou o Regulamento (UE) 2017/746 do Parlamento Europeu e do Conselho, ou produtos pessoais portáteis destinados a ser utilizados por crianças e para crianças
O anexo III enumera as seguintes categorias da classe II:
- Hipervisores e sistemas de execução de contentores que suportam a execução virtualizada de sistemas operativos e ambientes semelhantes
- Firewalls, sistemas de deteção de intrusões e sistemas de prevenção de intrusões
- Microprocessadores resistentes a adulterações
- Microcontroladores resistentes a adulterações
Produtos críticos
O anexo IV é mais curto do que o anexo III. Abrange produtos cuja função de segurança é particularmente concentrada, como hardware resistente a adulterações, gateways de contadores inteligentes, cartões inteligentes e elementos seguros.
- Dispositivos de hardware com caixas de segurança
- Gateways de contadores inteligentes integrados em sistemas de contagem inteligente, conforme definidos no artigo 2.º, ponto 23, da Diretiva (UE) 2019/944 do Parlamento Europeu e do Conselho, e outros dispositivos para fins de segurança avançada, incluindo o processamento criptográfico seguro
- Cartões inteligentes ou dispositivos semelhantes, incluindo elementos seguros
Efeito da categoria
A categoria do produto determina quais as vias de avaliação que podem ser utilizadas para demonstrar a conformidade com o anexo I. Não determina se o produto está abrangido pelo âmbito nem substitui a avaliação dos riscos de cibersegurança.
- Os produtos importantes da classe I podem recorrer apenas ao controlo interno para os requisitos abrangidos pelas normas harmonizadas, especificações comuns ou um sistema de certificação aplicável; caso contrário, é necessária uma via mais rigorosa.
- Os produtos importantes da classe II utilizam o Módulo B e C, o Módulo H ou um sistema europeu de certificação de cibersegurança aplicável.
- Os produtos críticos utilizam a certificação ao abrigo do artigo 8.º, n.º 1, quando essa via é acionada; caso contrário, seguem as vias da classe II previstas no artigo 32.º, n.º 3.
- O software livre e de código aberto importante que consta do anexo III pode utilizar as vias do artigo 32.º, n.º 1, se a documentação técnica exigida pelo artigo 31.º for pública quando o produto é colocado no mercado.
Os pormenores das vias são explicados em Avaliação da conformidade.