Classificação dos produtos ao abrigo do Regulamento da Ciber-Resiliência da UE
Sytance · Atualizado
A classificação no âmbito do CRA é a categoria atribuída a um produto com elementos digitais abrangido. O produto mantém-se na categoria por defeito, salvo se a sua funcionalidade principal corresponder a uma categoria de produto importante do anexo III ou a uma categoria de produto crítico do anexo IV.
Resultados da classificação
A classificação ocorre depois da determinação do âmbito. Primeiro, verifique se o produto é um produto com elementos digitais disponibilizado no mercado da UE e não está excluído pelo artigo 2.º. Em seguida, classifique o produto segundo a categoria do CRA correspondente à sua funcionalidade principal.
Categoria por defeito
Categoria residual para os produtos abrangidos que não tenham a funcionalidade principal de uma categoria do anexo III ou do anexo IV.
Produto importante da classe I
As categorias da classe I do anexo III são produtos importantes. O CRA distingue-as da classe II.
Produto importante da classe II
Os produtos da classe II do anexo III são produtos importantes sujeitos a vias de avaliação da conformidade mais rigorosas.
Produtos críticos
As categorias do anexo IV são produtos críticos. Constituem uma lista separada dos produtos importantes do anexo III.
Funcionalidade principal
Os produtos com elementos digitais cuja funcionalidade principal corresponda a uma categoria de produtos prevista no anexo III são considerados produtos importantes com elementos digitais e ficam sujeitos aos procedimentos de avaliação da conformidade referidos no artigo 32.º, n.os 2 e 3. A integração de um produto com elementos digitais cuja funcionalidade principal corresponda a uma categoria prevista no anexo III não sujeita, por si só, o produto em que está integrado aos procedimentos de avaliação da conformidade referidos no artigo 32.º, n.os 2 e 3.
Regulamento (UE) 2024/2847, artigo 7.º, n.º 1
Os artigos 7.º e 8.º utilizam a mesma ideia: o produto tem de possuir a funcionalidade principal de uma categoria enumerada. A avaliação incide no que o produto, considerado no seu conjunto, se destina a fazer quando é colocado no mercado. Não basta que o produto inclua uma funcionalidade, biblioteca, semicondutor ou módulo que, isoladamente, pudesse corresponder a uma categoria enumerada.
Isto funciona nos dois sentidos. Funções adicionais não impedem que um produto seja importante se a sua função principal continuar a corresponder a uma categoria do anexo III. Um router pode incluir funções de firewall e continuar a ser classificado pela sua funcionalidade principal de router. Mas um produto com outra finalidade principal não passa a pertencer a uma categoria enumerada apenas por conseguir executar algumas das mesmas tarefas.
Componentes integrados
Uma aplicação de notícias não passa a ser um produto da categoria dos navegadores só porque incorpora um componente de navegador. Um computador portátil não passa a ser um produto da categoria dos elementos seguros só por conter um elemento seguro.
Funções sobrepostas
O software SOAR pode ter funcionalidades semelhantes às de um SIEM, mas as perguntas frequentes da Comissão consideram que, em geral, o SOAR não pertence à categoria dos SIEM quando tem uma funcionalidade principal diferente.
Produtos importantes do anexo III
O anexo III enumera os produtos importantes com elementos digitais e divide-os nas classes I e II. O Regulamento 2025/2392 fornece a descrição técnica de cada categoria enumerada. O resultado é uma decisão sobre a categoria, não uma classificação geral de todos os riscos de cibersegurança.
Classe I
Produtos importantes que ainda podem utilizar o controlo interno quando se aplica a via baseada nas normas, especificações comuns ou certificação relevantes.
Classe II
Produtos importantes que têm de utilizar vias de avaliação da conformidade mais rigorosas.
Produtos críticos do anexo IV
O anexo IV enumera os produtos críticos com elementos digitais. A lista é mais restrita do que a do anexo III e centra-se em produtos com funções de caixa de segurança, gateway de contador inteligente, processamento criptográfico seguro, cartão inteligente ou elemento seguro. O artigo 8.º pode tornar a certificação relevante para estes produtos através de um ato delegado.
Referência às descrições técnicas
O Regulamento de Execução (UE) 2025/2392 da Comissão fornece descrições técnicas das categorias dos anexos III e IV; as regras de interpretação pormenorizadas e as descrições completas são explicadas em Descrições técnicas do Regulamento 2025/2392.
Classificação e conformidade
A classificação não demonstra a conformidade com o anexo I. Indica ao fabricante qual a via do artigo 32.º que pode estar disponível ou ser obrigatória. As próprias vias são explicadas em Avaliação da conformidade.
Classificação e avaliação dos riscos
As perguntas frequentes da Comissão distinguem a classificação da avaliação dos riscos de cibersegurança do fabricante. Os produtos por defeito, os produtos importantes e os produtos críticos continuam todos sujeitos à aplicação dos requisitos do anexo I com base nos riscos.
Dois produtos podem pertencer à mesma categoria e, ainda assim, necessitar de medidas de segurança diferentes devido à respetiva finalidade prevista, utilização previsível e condições de utilização. A classificação seleciona a via de avaliação da conformidade; a avaliação dos riscos explica como o produto e os processos do fabricante cumprem os requisitos do CRA aplicáveis a esse produto.