Produtos abrangidos pelo CRA da UE
Sytance · Atualizado
Um produto está abrangido pelo âmbito de aplicação quando é um produto com elementos digitais, é disponibilizado no mercado da União no âmbito de uma atividade comercial e a sua finalidade prevista ou utilização razoavelmente previsível inclui uma ligação de dados lógica ou física, direta ou indireta, a um dispositivo ou rede. O artigo 2.º pode depois excluir determinadas categorias de produtos desse âmbito.
Produtos abrangidos pelo âmbito de aplicação
O presente regulamento é aplicável aos produtos com elementos digitais disponibilizados no mercado cuja finalidade prevista ou utilização razoavelmente previsível inclua uma ligação de dados lógica ou física, direta ou indireta, a um dispositivo ou rede.
Regulamento (UE) 2024/2847, artigo 2.º, n.º 1
As condições são cumulativas. O nome do produto, a designação comercial, o setor ou um diagrama de arquitetura não determinam, por si só, a resposta. O produto tem de cumprir os termos definidos no CRA, ser disponibilizado no mercado da União e incluir a ligação em causa na sua finalidade prevista ou utilização razoavelmente previsível.
- Produto: software, hardware, um componente disponibilizado separadamente no mercado ou uma solução de tratamento de dados à distância que faça parte do produto.
- Disponibilização no mercado: o produto é fornecido para distribuição ou utilização no mercado da União no âmbito de uma atividade comercial.
- Ligação: a finalidade prevista ou utilização razoavelmente previsível do produto inclui uma ligação de dados lógica, física, direta ou indireta.
- Exclusão: o artigo 2.º ou um ato delegado pode excluir do CRA um produto que, de outro modo, estaria abrangido.
Produto com elementos digitais
«produto com elementos digitais» designa um produto de software ou hardware e as suas soluções de tratamento de dados à distância, incluindo componentes de software ou hardware colocados separadamente no mercado;
Regulamento (UE) 2024/2847, artigo 3.º, n.º 1
A definição abrange produtos completos e componentes disponibilizados separadamente no mercado. O software não se limita ao software incorporado em hardware. O hardware não se limita a dispositivos de consumo acabados. Um componente também pode ser um produto com elementos digitais quando é colocado separadamente no mercado.
Produtos de software
Aplicações móveis, programas para computador, firmware, controladores, sistemas operativos, SDK e ferramentas descarregáveis podem ser produtos.
Produtos de hardware
Routers, sensores, controladores industriais, eletrodomésticos inteligentes, motherboards, circuitos integrados e outros sistemas eletrónicos podem ser produtos.
Componentes separados
Um software ou hardware destinado a ser integrado pode constituir, por si só, um produto quando é disponibilizado separadamente no mercado.
Tratamento de dados à distância
«tratamento de dados à distância» designa um tratamento de dados à distância para o qual o software é concebido e desenvolvido pelo fabricante ou sob a responsabilidade deste e sem o qual o produto com elementos digitais não conseguiria executar uma das suas funções;
Regulamento (UE) 2024/2847, artigo 3.º, n.º 2
Uma solução de tratamento de dados à distância não corresponde a qualquer serviço na nuvem a que o utilizador possa aceder a partir do produto. O software tem de ser concebido e desenvolvido pelo fabricante ou sob a responsabilidade deste, e a ausência desse tratamento tem de impedir o produto de executar uma das suas funções.
Incluído no produto
Um serviço na nuvem que executa uma função do produto pode integrar os limites do produto para efeitos do CRA.
Fora do produto
Um serviço SaaS autónomo ou um sítio Web sem relação com o produto não fica abrangido apenas porque um produto abrangido consegue ligar-se a esse serviço ou sítio.
Tipos de ligação de dados
«ligação lógica» designa uma representação virtual de uma ligação de dados implementada através de uma interface de software;
Regulamento (UE) 2024/2847, artigo 3.º, n.º 8
«ligação física» designa uma ligação entre sistemas ou componentes de informação eletrónicos implementada por meios físicos, incluindo através de interfaces elétricas, óticas ou mecânicas, fios ou ondas de rádio;
Regulamento (UE) 2024/2847, artigo 3.º, n.º 9
«ligação indireta» designa uma ligação a um dispositivo ou rede que não ocorre diretamente, mas antes como parte de um sistema maior que pode ser ligado diretamente a esse dispositivo ou rede;
Regulamento (UE) 2024/2847, artigo 3.º, n.º 10
O conceito de ligação do CRA é mais amplo do que o acesso à Internet. Um produto pode ligar-se através de interfaces de software, sistemas anfitriões, portas de hardware, barramentos, cabos, ligações óticas ou ligações rádio. Também pode estar ligado indiretamente quando é executado num sistema maior que pode ser ligado a um dispositivo ou rede.
Exemplos que clarificam os termos relativos às ligações:
- Ligações lógicas diretas: sessões HTTPS num navegador, clientes de correio eletrónico que utilizam IMAP ou SMTP, APIs, pipes, ficheiros, sockets de rede e outras interfaces de software.
- Ligações lógicas indiretas: uma calculadora offline ou um editor de texto executado num sistema operativo ligado a uma rede.
- Ligações físicas: USB, Ethernet, fibra ótica, fieldbus, interfaces elétricas, interfaces óticas, interfaces mecânicas, Wi-Fi, Bluetooth, NFC e outras ligações rádio.
- Sem ligação relevante: firmware de uma calculadora básica, de um controlador de máquina de lavar loiça ou de um brinquedo simples quando a respetiva finalidade prevista e utilização razoavelmente previsível não incluem qualquer ligação a outro dispositivo ou rede.
Disponibilização no mercado
«disponibilização no mercado» designa a oferta de um produto com elementos digitais para distribuição ou utilização no mercado da União no âmbito de uma atividade comercial, a título oneroso ou gratuito;
Regulamento (UE) 2024/2847, artigo 3.º, n.º 22
O preço não é determinante. A disponibilização gratuita também pode ocorrer no âmbito de uma atividade comercial. A primeira disponibilização no mercado da União corresponde à colocação no mercado; o fornecimento posterior para distribuição ou utilização também constitui uma disponibilização no mercado.
Um produto fabricado apenas para utilização própria do fabricante é diferente de um produto disponibilizado no mercado da União. As perguntas frequentes da Comissão dão como exemplo as ferramentas de desenvolvimento e configuração que um fabricante cria para uso próprio: essas ferramentas não estão abrangidas, salvo se forem colocadas no mercado como produtos separados.
Finalidade prevista e utilização razoavelmente previsível
«finalidade prevista» designa a utilização a que o fabricante destina um produto com elementos digitais, incluindo o contexto e as condições de utilização específicos, conforme especificado nas informações fornecidas pelo fabricante nas instruções de utilização, nos materiais e declarações promocionais ou de venda, bem como na documentação técnica;
Regulamento (UE) 2024/2847, artigo 3.º, n.º 23
«utilização razoavelmente previsível» designa uma utilização que não corresponde necessariamente à finalidade prevista indicada pelo fabricante nas instruções de utilização, nos materiais e declarações promocionais ou de venda, bem como na documentação técnica, mas que é suscetível de resultar de um comportamento humano ou de operações ou interações técnicas razoavelmente previsíveis;
Regulamento (UE) 2024/2847, artigo 3.º, n.º 24
A finalidade prevista decorre das informações sobre o produto fornecidas pelo próprio fabricante. O conceito de utilização razoavelmente previsível impede que a determinação do âmbito dependa apenas de uma utilização declarada de forma restrita quando o comportamento humano normal ou uma interação técnica torna provável uma utilização ligada.
A ligação tem de fazer parte da utilização
Uma porta, API, dependência de um sistema anfitrião, interface rádio ou fluxo de ficheiros é relevante quando faz parte do funcionamento previsto ou razoavelmente esperado do produto.
Exemplos dos limites do produto
A mesma família de produtos pode incluir casos abrangidos e não abrangidos. A resposta jurídica decorre dos termos definidos e não da categoria comercial mais ampla.
Software de impressora
Os controladores necessários ao funcionamento de uma impressora podem fazer parte do produto com elementos digitais.
Ferramentas FPGA
As ferramentas utilizadas para conceber e programar FPGA podem ser produtos de software quando são disponibilizadas no mercado.
Sítio Web de apoio
Um sítio Web é relevante quando suporta uma função do produto e cumpre a definição de tratamento de dados à distância.
Aparelho não ligado
A existência de firmware incorporado não é suficiente se a finalidade prevista ou utilização razoavelmente previsível do produto não incluir uma ligação de dados direta ou indireta.
Fora do âmbito de aplicação
O artigo 2.º prevê exclusões diretas de produtos, uma via por atos delegados para exclusões ou limitações futuras e uma regra separada relativa a informações sensíveis do ponto de vista da segurança. Um produto não fica excluído apenas por pertencer a um setor amplo. Tem de estar abrangido pelo ato da União, pelo ato delegado ou pela condição que cria a exclusão.
O CRA não é aplicável aos produtos com elementos digitais aos quais se aplica o Regulamento (UE) 2017/745 ou o Regulamento (UE) 2017/746.
Os produtos abrangidos pelo Regulamento (UE) 2019/2144 estão fora do âmbito.
O artigo 2.º, n.º 5, permite à Comissão limitar ou excluir produtos abrangidos por outras regras da União quando essas regras abordam os riscos de cibersegurança relevantes e proporcionam o mesmo nível de proteção ou um nível superior.
O Regulamento Delegado (UE) 2025/1535 da Comissão utiliza esta via para os produtos com elementos digitais abrangidos pelo Regulamento (UE) n.º 168/2013 relativo aos veículos de duas ou três rodas e aos quadriciclos, exceto os veículos da categoria L1e concebidos para serem propulsionados a pedais.
Os produtos certificados ao abrigo do Regulamento (UE) 2018/1139 estão excluídos. As perguntas frequentes da Comissão distinguem os produtos e componentes não certificados, que ainda podem exigir uma análise do âmbito do CRA se estiverem preenchidas as condições do artigo 2.º, n.º 1.
O equipamento abrangido pela Diretiva 2014/90/UE está excluído. Os componentes destinados a equipamento marítimo podem continuar abrangidos se não estiverem sujeitos a essa diretiva e forem disponibilizados no mercado como produtos com elementos digitais.
As peças sobresselentes estão excluídas quando substituem componentes idênticos em produtos com elementos digitais e são fabricadas segundo as mesmas especificações dos componentes que substituem.
O CRA não é aplicável aos produtos desenvolvidos ou modificados exclusivamente para fins de segurança nacional ou defesa, nem aos produtos especificamente concebidos para tratar informações classificadas. Os produtos de dupla utilização não estão excluídos apenas por também terem utilizações para fins de defesa.
O artigo 2.º, n.º 8, não constitui uma exclusão de produto. Estabelece que as obrigações do CRA não exigem a divulgação de informações que seja contrária aos interesses essenciais de segurança nacional, segurança pública ou defesa de um Estado-Membro.