CRA da UE: prEN 40000-1-2, princípios de ciber-resiliência

Estado do projeto

O texto aqui analisado foi submetido a inquérito em outubro de 2025. É uma explicação específica dessa versão do projeto, não uma declaração de que o inquérito ainda está aberto ou de que se trata do texto mais recente. Os requisitos podem mudar em versões posteriores. O próprio projeto não cria uma presunção de conformidade com o CRA.

A entrada 1 de M/606 solicita uma norma europeia sobre a conceção, o desenvolvimento e a produção de produtos com elementos digitais de modo a assegurar um nível adequado de cibersegurança baseado nos riscos. O prazo de M/606 para essa entrada é 30 de agosto de 2026.

Relação com o anexo I

Os produtos com elementos digitais devem ser concebidos, desenvolvidos e produzidos de forma a garantir um nível adequado de cibersegurança com base nos riscos.

Regulamento (UE) 2024/2847, anexo I, parte I, ponto 1

A prEN 40000-1-2 está mais próxima deste requisito geral da parte I. É uma norma relativa a processos e ao ciclo de vida. Não substitui os requisitos mais específicos de segurança dos produtos previstos no anexo I, parte I, pontos 2, alíneas a) a m), nem é a norma de tratamento de vulnerabilidades.

Princípios de cibersegurança

A cláusula 5 do projeto de outubro de 2025 descreve quatro princípios para o planeamento, a conceção, a implementação, a produção e a manutenção dos produtos: abordagem baseada nos riscos, segurança desde a conceção, predefinições seguras e transparência.

Estrutura da gestão dos riscos

O projeto trata a gestão dos riscos como uma atividade repetida ao longo do produto, e não como um formulário preenchido uma única vez. O contexto do produto vem primeiro, porque o mesmo software ou hardware pode criar riscos diferentes em casos de utilização distintos.

Atividades ao longo do ciclo de vida

Em seguida, o projeto traduz os princípios em atividades ao longo do ciclo de vida. Estas atividades podem adaptar-se a diferentes modelos de desenvolvimento; o essencial é planear, executar e verificar o trabalho de segurança e mantê-lo atualizado.

• Planeamento da cibersegurança do produto;
• Requisitos de cibersegurança do produto;
• Arquitetura e conceção de cibersegurança;
• Implementação segura;
• Verificação e validação da cibersegurança;
• Produção e distribuição seguras;
• Gestão de problemas de cibersegurança;
• Monitorização do produto;
• Planeamento da desativação segura;
• Gestão da cibersegurança de componentes de terceiros.

Limite face a outras normas

A prEN 40000-1-2 é a norma de princípios e gestão dos riscos ao longo do ciclo de vida. O tratamento de vulnerabilidades é abrangido pela prEN 40000-1-3 Vulnerability Handling. As normas específicas de produtos podem acrescentar requisitos próprios de determinadas categorias para navegadores, routers, firewalls, elementos seguros e outros produtos importantes ou críticos.

O programa de normas do CRA é explicado em Normas e normas harmonizadas.