Colocação no mercado ao abrigo do Regulamento da Ciber-Resiliência da UE
Sytance · Atualizado
A data de aplicação das obrigações do CRA depende de quando o produto é colocado no mercado, não de quando o respetivo modelo foi concebido pela primeira vez. As questões importantes são quando o produto foi fornecido pela primeira vez no mercado da União, se um fornecimento posterior corresponde apenas à distribuição ulterior desse produto e se uma alteração posterior constitui uma alteração substancial.
Termos relativos ao mercado
«colocação no mercado» designa a primeira disponibilização de um produto com elementos digitais no mercado da União;
Regulamento (UE) 2024/2847, artigo 3.º, n.º 21
«disponibilização no mercado» designa a oferta de um produto com elementos digitais para distribuição ou utilização no mercado da União no âmbito de uma atividade comercial, a título oneroso ou gratuito;
Regulamento (UE) 2024/2847, artigo 3.º, n.º 22
A colocação no mercado corresponde ao primeiro fornecimento do produto no mercado da União. A disponibilização no mercado tem um sentido mais amplo. Abrange também o fornecimento posterior para distribuição ou utilização, depois de já ter ocorrido o primeiro fornecimento.
Primeiro fornecimento
O primeiro fornecimento no mercado da União constitui a colocação no mercado.
Fornecimento posterior
A venda ou distribuição posterior do mesmo produto constitui uma disponibilização no mercado.
Existências armazenadas
A fabricação, o armazenamento ou a conclusão de um produto não são suficientes, salvo se este for fornecido para distribuição ou utilização.
O preço não determina a resposta. Um produto gratuito pode ser disponibilizado no mercado se o fornecimento ocorrer no âmbito de uma atividade comercial. Um produto fabricado apenas para utilização própria do fabricante é diferente: a sua mera existência não constitui uma colocação no mercado.
Data de cada produto individual
Tal como no caso da «disponibilização no mercado», o conceito de colocação no mercado refere-se a cada produto individual e não a um tipo de produto, quer tenha sido fabricado como unidade individual quer em série. Por conseguinte, a colocação no mercado da União só pode ocorrer uma vez para cada produto individual em toda a UE e não em cada Estado-Membro. Mesmo que um modelo ou tipo de produto tenha sido fornecido antes da entrada em vigor de nova legislação de harmonização da União que estabeleça novos requisitos obrigatórios, as unidades individuais do mesmo modelo ou tipo colocadas no mercado após a data de aplicação dos novos requisitos têm de os cumprir.
Guia Azul de 2022, secção 2.3
As perguntas frequentes da Comissão aplicam este princípio ao CRA. A colocação anterior de um tipo de produto não abrange todas as unidades posteriores desse mesmo tipo. Cada produto individual necessita da sua própria data de colocação no mercado.
Este aspeto é importante para existências e importações repetidas. Se um lote de unidades de um router tiver sido colocado no mercado antes de 11 de dezembro de 2027, essas unidades não ficam sujeitas ao regime integral do CRA apenas por chegarem mais tarde aos utilizadores finais. Um lote posterior do mesmo modelo, colocado no mercado da União em ou após 11 de dezembro de 2027, é diferente.
Produtos colocados no mercado antes de 11 de dezembro de 2027
Os produtos com elementos digitais colocados no mercado antes de 11 de dezembro de 2027 ficam sujeitos aos requisitos estabelecidos no presente regulamento apenas se, a partir dessa data, forem objeto de uma alteração substancial.
Regulamento (UE) 2024/2847, artigo 69.º, n.º 2
Em derrogação do n.º 2 do presente artigo, as obrigações estabelecidas no artigo 14.º são aplicáveis a todos os produtos com elementos digitais abrangidos pelo âmbito do presente regulamento que tenham sido colocados no mercado antes de 11 de dezembro de 2027.
Regulamento (UE) 2024/2847, artigo 69.º, n.º 3
A regra transitória protege os produtos já colocados no mercado antes de 11 de dezembro de 2027 dos requisitos integrais do CRA, salvo se forem objeto de uma alteração substancial a partir dessa data. Não protege novas unidades colocadas no mercado posteriormente.
A notificação prevista no artigo 14.º é separada. Começa mais cedo e também se aplica a produtos abrangidos que tenham sido colocados no mercado antes de 11 de dezembro de 2027.
Os fabricantes têm de notificar vulnerabilidades exploradas ativamente e incidentes graves quando o artigo 14.º o exigir.
Os produtos colocados no mercado a partir desta data têm de cumprir os requisitos aplicáveis do CRA antes de serem colocados no mercado.
Os produtos colocados antes de 11 de dezembro de 2027 só têm de cumprir os requisitos integrais do CRA se forem objeto de uma alteração substancial a partir desta data.
Datas das versões de software
As orientações da Comissão de julho de 2026 consideram que um software autónomo é colocado no mercado quando termina a sua fase de fabrico e é fornecido pela primeira vez para distribuição ou utilização no mercado da UE no âmbito de uma atividade comercial. As cópias do mesmo software partilham essa data. As variantes com componentes, configurações ou funcionalidades ativadas diferentes são tratadas como produtos distintos para este efeito.
As transferências posteriores da mesma versão são, normalmente, disponibilizações posteriores do mesmo produto de software. Uma versão posterior tem uma nova data de colocação no mercado quando constitui uma alteração substancial.
Mesma versão de software
As transferências posteriores seguem, normalmente, a primeira data de colocação no mercado dessa versão.
Versão alterada substancialmente
Uma versão alterada substancialmente é tratada como colocada no mercado pela primeira vez.
Esta interpretação diz respeito a software autónomo fornecido digitalmente. Se o software for fornecido num suporte físico, o produto físico continua a ser relevante. Se o software for necessário para que um produto de hardware execute as suas funções, o hardware e o software podem constituir um único produto, mesmo que o software seja transferido mais tarde.
Alteração substancial
«alteração substancial» designa uma alteração do produto com elementos digitais após a sua colocação no mercado que afete a conformidade do produto com elementos digitais com os requisitos essenciais de cibersegurança estabelecidos na parte I do anexo I ou que resulte numa alteração da finalidade prevista para a qual o produto com elementos digitais foi avaliado;
Regulamento (UE) 2024/2847, artigo 3.º, n.º 30
A definição prevê duas possibilidades. Uma alteração pode ser substancial se afetar a conformidade com os requisitos de cibersegurança dos produtos previstos na parte I do anexo I. Também pode ser substancial se mudar a finalidade prevista para a qual o produto foi avaliado.
Para uma alteração após a colocação no mercado, aplique a definição de alteração substancial: a alteração afeta a conformidade com os requisitos essenciais de cibersegurança ou altera a finalidade prevista para a qual o produto foi avaliado? Uma reparação ou atualização de segurança tem de ser analisada face a essas condições.
- Uma atualização de segurança que corrija uma vulnerabilidade e não altere a finalidade prevista tende a não constituir uma alteração substancial.
- Uma atualização de funcionalidades que altere o que o produto se destina a fazer pode ser substancial.
- Uma pequena funcionalidade pode ser relevante se acrescentar uma nova interface, fluxo de dados, dependência externa ou cenário de ataque que não tenha sido tratado anteriormente.
- Um produto colocado no mercado antes de 11 de dezembro de 2027 fica sujeito ao regime integral do CRA se for objeto de uma alteração substancial a partir dessa data.
Responsabilidade após uma alteração
O artigo 21.º considera um importador ou distribuidor como fabricante se este colocar o produto no mercado em seu nome ou sob a sua marca, ou efetuar uma alteração substancial de um produto já colocado no mercado.
O artigo 22.º aplica a mesma lógica de forma mais ampla. Uma pessoa que não seja o fabricante, importador ou distribuidor pode ser considerada fabricante se efetuar uma alteração substancial e disponibilizar o produto alterado no mercado.
Casos de calendário comuns
A questão principal é saber se o produto individual já foi colocado no mercado da União antes de 11 de dezembro de 2027. O facto de chegar mais tarde ao utilizador final não elimina, por si só, o tratamento transitório.
As existências já fornecidas para distribuição ou utilização no mercado da União antes da aplicação integral podem continuar na cadeia de abastecimento, sujeitas ao artigo 14.º e ao critério de alteração substancial. É diferente o caso de existências apenas fabricadas ou armazenadas antes dessa data, se ainda não tiverem sido fornecidas para distribuição ou utilização.
O mesmo modelo não tem uma única data de colocação no mercado permanente para efeitos do CRA. As unidades posteriores colocadas no mercado da União em ou após 11 de dezembro de 2027 têm de cumprir o CRA, mesmo que unidades anteriores do mesmo modelo tenham sido colocadas antes dessa data.
Uma atualização não substancial normalmente não cria uma nova data de colocação no mercado. Uma atualização substancial cria. A resposta depende de a atualização afetar a conformidade do produto com o CRA ou alterar a finalidade prevista avaliada.
Uma versão posterior de software autónomo é colocada no mercado pela primeira vez quando constitui uma alteração substancial. Uma pequena atualização de versão que não seja substancial mantém, normalmente, a data de colocação no mercado da versão anterior.