Descrições técnicas do Regulamento 2025/2392 para as categorias de produtos do CRA

Os sistemas de gestão de identidades são produtos com elementos digitais que fornecem mecanismos de autenticação ou autorização e podem também fornecer mecanismos para a gestão do ciclo de vida das credenciais de identidade de pessoas singulares, pessoas coletivas, dispositivos ou sistemas, como o registo de identidade, o aprovisionamento, a manutenção e a desativação do registo. Estes sistemas incluem sistemas de gestão de acessos que controlam o acesso de pessoas singulares, pessoas coletivas, dispositivos ou sistemas a recursos digitais ou locais físicos.

O software de gestão de acessos privilegiados é um sistema de gestão de acessos que controla e monitoriza os direitos de acesso a sistemas de TI ou OT e a informações sensíveis no âmbito de uma organização, incluindo sistemas que aplicam políticas diferenciadas de controlo de acesso para utilizadores privilegiados.

Esta categoria inclui, entre outros, leitores de autenticação e controlo de acesso, leitores biométricos, software de início de sessão único, software de gestão de identidades federadas, software de palavras-passe de utilização única, dispositivos de autenticação de hardware como geradores de números de autenticação de transações (TAN), software de autenticação e software de autenticação multifator.

Produtos de software com elementos digitais que permitem aos utilizadores finais aceder a conteúdos e serviços Web alojados em servidores ligados a redes como a Internet, apresentá-los e interagir com eles. Normalmente incluem um motor de navegador para interpretar e apresentar conteúdos escritos numa linguagem de marcação (por exemplo, HTML), suporte para protocolos Web (por exemplo, HTTP, HTTPS), capacidade para executar scripts e gerir entradas do utilizador, bem como armazenamento de dados temporários ou persistentes provenientes de sítios Web (cookies).

Esta categoria inclui, entre outros, aplicações autónomas que desempenham as funções de navegadores, navegadores incorporados destinados à integração noutro sistema ou aplicação e navegadores com integração de agentes de IA.

Produtos com elementos digitais que armazenam palavras-passe, localmente num dispositivo ou num servidor remoto, incluindo atividades como a geração e partilha de palavras-passe e a integração com aplicações locais ou de terceiros para a sua utilização.

Esta categoria inclui, entre outros, gestores de palavras-passe locais, gestores de palavras-passe fornecidos como extensões de navegador, gestores de palavras-passe empresariais e gestores de palavras-passe baseados em hardware.

Produtos de software com elementos digitais, normalmente designados por antivírus ou antimalware, que detetam ou procuram software ou código malicioso em dispositivos, ou removem ou colocam esse software ou código em quarentena, para preservar a integridade, confidencialidade ou disponibilidade dos dispositivos.

No contexto desta categoria de produtos, software malicioso significa software com funcionalidades ou capacidades maliciosas que podem causar danos diretos ou indiretos ao utilizador e/ou ao sistema informático, como vírus, worms, ransomware, spyware e trojans.

Esta categoria inclui, entre outros, software que deteta ou procura software malicioso em tempo real ou manualmente, ferramentas de deteção de rootkits e discos de recuperação cuja funcionalidade principal seja procurar, remover ou colocar em quarentena software malicioso.

Produtos com elementos digitais que estabelecem um túnel lógico cifrado construído a partir dos recursos do sistema de uma rede física ou virtual.

Esta categoria inclui, entre outros, clientes de redes privadas virtuais, servidores de redes privadas virtuais e gateways de redes privadas virtuais.

Produtos com elementos digitais que gerem elementos de rede conectados, como servidores, routers, switches, estações de trabalho, impressoras ou dispositivos móveis, monitorizando-os e controlando as respetivas operações e configurações de rede.

Esta categoria inclui, entre outros, sistemas de gestão de ponta a ponta e sistemas dedicados de gestão de configuração, como controladores de redes definidas por software.

Produtos com elementos digitais que recolhem dados de várias fontes, analisam-nos e correlacionam-nos e apresentam-nos como informações acionáveis para fins relacionados com a segurança, como a deteção de ameaças e incidentes, a análise forense ou a conformidade.

Produtos de software com elementos digitais que gerem o processo de arranque inicial do sistema após a ligação ou o reinício, inicializando o hardware, carregando o ambiente do sistema operativo ou os recursos do sistema, ou transferindo para estes o controlo, e selecionando as opções de arranque.

Esta categoria inclui, entre outros, firmware UEFI e carregadores de arranque de fase única e multifase.

Produtos com elementos digitais utilizados como parte de uma infraestrutura de chave pública (PKI) para gerir a validação, criação, emissão, distribuição, publicação do estado, renovação ou revogação de certificados digitais, ou a geração, armazenamento, custódia, troca, destruição ou rotação de chaves criptográficas associadas a esses certificados digitais.

Esta categoria inclui, entre outros, sistemas de gestão de chaves, sistemas de gestão de certificados digitais, respondedores do protocolo de estado de certificados em linha e soluções PKI completas.

As interfaces de rede físicas são produtos com elementos digitais que ligam diretamente um dispositivo a uma rede através de uma interface de programação de aplicações (API) fornecida pelos controladores da interface, funcionando normalmente na camada de ligação de dados, e que dispõem de adaptadores de hardware para meios de transmissão com o firmware correspondente, funcionando normalmente nas camadas física e de ligação de dados.

As interfaces de rede virtuais são produtos com elementos digitais que ligam direta ou indiretamente um dispositivo a uma rede através de uma API que emula a dos controladores das interfaces de rede físicas, funcionando normalmente na camada de ligação de dados.

Esta categoria inclui, entre outros, placas, controladores e adaptadores de interface de rede com ou sem fios, por exemplo para Wi-Fi, Ethernet, IrDA, USB, Bluetooth, NearLink, Zigbee ou Fieldbus, bem como produtos autónomos exclusivamente virtuais, como placas de interface de rede virtuais, interfaces de rede de contentores e interfaces VPN.

Produtos de software com elementos digitais que fornecem uma interface abstrata do hardware subjacente e controlam a execução de software, podendo disponibilizar serviços como a gestão e configuração de recursos computacionais, o escalonamento, o controlo de entradas e saídas, a gestão de dados e uma interface através da qual as aplicações interagem com recursos e periféricos do sistema.

Esta categoria inclui, entre outros, sistemas operativos em tempo real e sistemas operativos de uso geral ou especial.

Os routers são produtos com elementos digitais que estabelecem e controlam o fluxo de dados entre diferentes redes, selecionando caminhos ou rotas através de mecanismos e algoritmos de protocolos de encaminhamento que funcionam normalmente na camada de rede.

Esta categoria inclui, entre outros, routers com e sem fios, routers virtuais e routers com ou sem modems.

Os modems destinados à ligação à Internet são produtos de hardware com elementos digitais que utilizam técnicas de modulação e desmodulação digital para converter sinais analógicos em sinais digitais e vice-versa, para comunicações baseadas em IP.

Esta categoria inclui, entre outros, modems de fibra, modems de linha de assinante digital (DSL), modems de cabo (DOCSIS), modems de satélite e modems celulares.

Os switches são produtos com elementos digitais que proporcionam conectividade entre dispositivos ligados em rede através de mecanismos de encaminhamento de pacotes e que dispõem de um plano de gestão, normalmente implementado na camada de ligação de dados ou na camada de rede.

Esta categoria inclui, entre outros, switches geridos, switches inteligentes, switches multicamada, switches de segurança virtuais, switches programáveis para redes definidas por software e bridges, como pontos de acesso sem fios.

Produtos com elementos digitais que são circuitos integrados responsáveis por funções de processamento central com recurso a memória externa e periféricos, incluindo microcódigo e outro firmware de baixo nível. Fornecem adicionalmente funcionalidades relacionadas com a segurança, como cifragem, autenticação, armazenamento seguro de chaves, geração de números aleatórios, ambientes de execução confiáveis ou outros mecanismos de proteção baseados em hardware destinados a proteger outros produtos, redes ou serviços para além do próprio microprocessador, por exemplo através de uma cadeia de arranque seguro, virtualização ou interfaces de comunicação segura.

Produtos com elementos digitais que são circuitos integrados responsáveis por funções de processamento central e que integram memória que permite a programação do microcontrolador e, normalmente, também outros periféricos, incluindo microcódigo e outro firmware de baixo nível. Fornecem adicionalmente funcionalidades relacionadas com a segurança, como cifragem, autenticação, armazenamento seguro de chaves, geração de números aleatórios, ambientes de execução confiáveis ou outros mecanismos de proteção baseados em hardware destinados a proteger outros produtos, redes ou serviços para além do próprio microcontrolador, por exemplo através de uma cadeia de arranque seguro, virtualização ou interfaces de comunicação segura.

Os circuitos integrados de aplicação específica (ASIC) com funcionalidades relacionadas com a segurança são produtos com elementos digitais que consistem em circuitos integrados concebidos total ou parcialmente à medida para executar uma função específica ou implementar uma aplicação específica, incluindo microcódigo e outro firmware de baixo nível. Fornecem adicionalmente funcionalidades relacionadas com a segurança, como cifragem, autenticação, armazenamento seguro de chaves, geração de números aleatórios, ambientes de execução confiáveis ou outros mecanismos de proteção baseados em hardware destinados a proteger outros produtos, redes ou serviços para além do próprio ASIC, por exemplo através de uma cadeia de arranque seguro, virtualização ou interfaces de comunicação segura.

As matrizes de portas programáveis no terreno (FPGA) com funcionalidades relacionadas com a segurança são produtos com elementos digitais que consistem em circuitos integrados caracterizados por uma matriz de blocos lógicos configuráveis, concebidos para serem reprogramados após o fabrico a fim de executar uma função específica ou implementar uma aplicação específica, incluindo microcódigo e outro firmware de baixo nível. Fornecem adicionalmente funcionalidades relacionadas com a segurança, como cifragem, autenticação, armazenamento seguro de chaves, geração de números aleatórios, ambientes de execução confiáveis ou outros mecanismos de proteção baseados em hardware destinados a proteger outros produtos, redes ou serviços para além do próprio FPGA, por exemplo através de uma cadeia de arranque seguro, virtualização ou interfaces de comunicação segura.

Produtos com elementos digitais que comunicam através da Internet pública, diretamente ou por intermédio de outro equipamento, que processam pedidos, tarefas ou perguntas com base em instruções em linguagem natural, por exemplo através de entrada de áudio ou texto, e que, com base nesses pedidos, tarefas ou perguntas, dão acesso a outros serviços ou controlam as funções de dispositivos conectados em ambientes residenciais.

Esta categoria inclui, entre outros, colunas inteligentes com um assistente virtual integrado e assistentes virtuais autónomos que correspondam a esta descrição.

Produtos com elementos digitais que protegem a segurança física dos consumidores num ambiente residencial e que podem ser controlados ou geridos remotamente a partir de outros sistemas, bem como hardware e software que controlam centralmente esses produtos.

Esta categoria inclui, entre outros, dispositivos de fecho inteligente de portas, sistemas de monitorização de bebés, sistemas de alarme e câmaras de segurança doméstica.

Os brinquedos ligados à Internet com funcionalidades de interação social são produtos com elementos digitais abrangidos pela Diretiva 2009/48/CE, que comunicam através da Internet pública, diretamente ou por intermédio de outro equipamento, e que têm tecnologias incorporadas que permitem comunicações de entrada e saída, como teclado, microfone, altifalante ou câmara.

Os brinquedos ligados à Internet com funcionalidades de localização são produtos com elementos digitais abrangidos pela Diretiva 2009/48/CE, que comunicam através da Internet pública, diretamente ou por intermédio de outro equipamento, e que dispõem de tecnologias que permitem localizar ou inferir a localização geográfica do brinquedo ou do seu utilizador. Se o brinquedo apenas detetar a proximidade do utilizador ou de outros brinquedos através de tecnologias de deteção, não deve ser considerado como tendo funcionalidades de localização.

Os produtos pessoais portáteis para uso ou colocação no corpo humano com uma finalidade de monitorização da saúde são produtos com elementos digitais usados diretamente no corpo ou através de vestuário ou acessórios, capazes de detetar e tratar regularmente ou de forma contínua informações pertinentes para a saúde do utilizador, incluindo parâmetros corporais. Excluem-se os produtos abrangidos pelo Regulamento (UE) 2017/745 ou pelo Regulamento (UE) 2017/746.

Esta categoria inclui, entre outros, monitores de atividade física, relógios inteligentes, joalharia inteligente, roupa inteligente e vestuário desportivo que correspondam a esta descrição.

Os produtos pessoais portáteis destinados a ser utilizados por crianças e para crianças são produtos com elementos digitais que podem ser usados ou colocados no corpo, diretamente ou através de vestuário ou acessórios, por pessoas com menos de 14 anos.

Esta categoria inclui, entre outros, dispositivos portáteis de segurança infantil.

Os hipervisores são produtos de software com elementos digitais que abstraem e/ou atribuem recursos computacionais e permitem a execução, gestão e orquestração de máquinas virtuais logicamente separadas entre si e/ou do hardware físico. Os hipervisores podem funcionar diretamente no hardware (bare metal), sobre um sistema operativo ou dentro de outra máquina virtual (virtualização aninhada).

No contexto desta categoria de produtos, uma máquina virtual é uma separação lógica de um ambiente computacional definida por software, que inclui um conjunto virtualizado de recursos de hardware (por exemplo, CPU, memória, armazenamento e interfaces de rede) e normalmente aloja o seu próprio sistema operativo.

Esta categoria inclui, entre outros, hipervisores de tipo 1 (bare metal), hipervisores de tipo 2 (alojados num sistema operativo) e hipervisores híbridos.

Os sistemas de execução de contentores são produtos de software com elementos digitais que gerem a execução e o ciclo de vida de contentores num único sistema operativo anfitrião, como processos isolados, atribuindo recursos e permitindo a gestão e orquestração de contentores individuais.

No contexto desta categoria de produtos, um contentor é um ambiente de execução baseado em software que encapsula um ou mais componentes de software e as respetivas dependências num único pacote, permitindo a sua execução independente e coerente.

Os firewalls são produtos com elementos digitais que protegem uma rede ou sistema conectado contra acessos não autorizados, monitorizando e restringindo o tráfego de comunicações de dados de e para essa rede.

Esta categoria inclui, entre outros, firewalls de rede e firewalls de aplicações, como firewalls ou filtros de aplicações Web e gateways antisspam.

Os sistemas de deteção de intrusões são produtos com elementos digitais que monitorizam o tráfego depois de este entrar no ambiente de rede, à procura de atividade suspeita, e detetam ou identificam tentativas de intrusão, intrusões em curso ou intrusões ocorridas numa rede ou sistema conectado.

Esta categoria inclui, entre outros, sistemas de deteção de intrusões baseados em rede e sistemas de deteção de intrusões baseados em anfitriões.

Os sistemas de prevenção de intrusões são produtos com elementos digitais constituídos por um sistema de deteção de intrusões que responde ativamente a uma intrusão numa rede ou sistema conectado.

Esta categoria inclui, entre outros, sistemas de prevenção de intrusões baseados em rede e sistemas de prevenção de intrusões baseados em anfitriões.

Produtos com elementos digitais constituídos por microprocessadores com as funcionalidades relacionadas com a segurança referidas no ponto 13 da tabela «Classe I» do presente anexo, incluindo a deteção de adulteração, a resistência a adulterações ou a resposta às mesmas, e concebidos adicionalmente para proporcionar proteção de nível AVA_VAN 2 ou 3, conforme estabelecido nos Common Criteria e na Common Evaluation Methodology.

Produtos com elementos digitais constituídos por microcontroladores com as funcionalidades relacionadas com a segurança referidas no ponto 14 da tabela «Classe I» do presente anexo, incluindo a deteção de adulteração, a resistência a adulterações ou a resposta às mesmas, e concebidos adicionalmente para proporcionar proteção de nível AVA_VAN 2 ou 3, conforme estabelecido nos Common Criteria e na Common Evaluation Methodology.

Produtos de hardware com elementos digitais que armazenam, tratam ou gerem dados sensíveis de forma segura ou executam operações criptográficas e que são constituídos por vários componentes discretos, integrados numa estrutura física de hardware que fornece evidências de adulteração, resistência a adulterações ou resposta às mesmas como contramedidas contra ataques físicos.

Esta categoria inclui, entre outros, terminais de pagamento físicos, módulos de segurança de hardware que geram e gerem elementos criptográficos e tacógrafos que correspondam à descrição acima.

Os gateways de contadores inteligentes são produtos com elementos digitais que controlam a comunicação entre componentes integrados em sistemas de contagem inteligente, ou ligados a estes, conforme definidos no artigo 2.º, ponto 23, da Diretiva (UE) 2019/944, e terceiros autorizados, como fornecedores de serviços públicos. Recolhem, tratam e armazenam dados de contadores ou dados pessoais, protegem fluxos de dados e informações através do suporte de necessidades criptográficas específicas, como a cifragem e decifragem de dados, incorporam funções de firewall e permitem controlar outros dispositivos.

Esta categoria inclui, entre outros, gateways de contadores inteligentes associados a sistemas de contagem inteligente de eletricidade, conforme definidos no artigo 2.º, ponto 23, da Diretiva (UE) 2019/944. Pode também incluir gateways de contadores inteligentes utilizados noutros sistemas de contagem inteligente que meçam o consumo de outras fontes de energia, como gás ou calor, desde que o gateway corresponda a esta descrição.

Os elementos seguros são microcontroladores ou microprocessadores com funcionalidades relacionadas com a segurança, incluindo deteção de adulteração, resistência a adulterações ou resposta às mesmas. Normalmente armazenam, tratam ou gerem operações criptográficas ou dados sensíveis, como credenciais de identidade ou de pagamento. Os elementos seguros são concebidos para proporcionar, no mínimo, proteção de nível AVA_VAN.4, conforme estabelecido nos Common Criteria ou na Common Evaluation Methodology. Podem consistir em silício discreto ou estar integrados em sistemas num chip (SoC). Os elementos seguros podem incorporar um ambiente de aplicações ou um sistema operativo e incluir uma ou mais aplicações.

Esta categoria inclui, entre outros, módulos de plataforma fidedigna (TPM) e cartões de circuito integrado universal (UICC) incorporados.

Os cartões inteligentes ou dispositivos semelhantes são elementos seguros integrados num material de suporte, como plástico ou madeira, em forma de cartão, ou elementos seguros integrados em materiais de suporte com outras formas.

Esta categoria inclui, entre outros, documentos de identidade e viagem, cartões de assinatura qualificada, UICC substituíveis, cartões de pagamento físicos, cartões de acesso físicos, cartões de tacógrafo digital ou pulseiras com elementos seguros de pagamento integrados.