Normas harmonizadas do CRA e presunção de conformidade
Sytance · Atualizado
A conformidade com normas harmonizadas pode criar uma presunção de conformidade com o CRA relativamente aos requisitos que abrangem apenas quando as respetivas referências são publicadas no Jornal Oficial. Projetos de normas, itens de trabalho, registos de planeamento M/606 e textos de consulta podem apoiar o trabalho de engenharia, mas não criam, por si só, uma presunção jurídica.
Presunção de conformidade
Presume-se que os produtos com elementos digitais e os processos implementados pelo fabricante que estejam em conformidade com normas harmonizadas, ou partes destas, cujas referências tenham sido publicadas no Jornal Oficial da União Europeia cumprem os requisitos essenciais de cibersegurança estabelecidos no anexo I abrangidos por essas normas ou partes dessas normas.
Regulamento (UE) 2024/2847, artigo 27.º, n.º 1
As últimas palavras são importantes. Por defeito, uma norma não abrange todo o regulamento. Abrange os requisitos do anexo I indicados na referência publicada e apenas para os produtos e processos que se enquadrem no seu âmbito.
Norma harmonizada
Via técnica voluntária. Só confere presunção depois de a respetiva referência ser publicada no Jornal Oficial.
Especificação comum
Via alternativa da Comissão quando estão reunidas as condições do artigo 27.º, n.º 2, e a especificação abrange o requisito.
Sistema de certificação
Um certificado europeu de cibersegurança pode sustentar a conformidade relativamente aos requisitos abrangidos pelo sistema.
Programa de trabalho M/606
M/606 é o pedido da Comissão dirigido ao CEN, CENELEC e ETSI. A página de normalização da Comissão descreve 41 normas solicitadas, divididas entre normas horizontais e normas verticais específicas de produtos. O CEN, o CENELEC e o ETSI aceitaram o pedido em 3 de abril de 2025.
As entradas 1 e 15 de M/606 abrangem a primeira norma horizontal de princípios e a norma horizontal de tratamento de vulnerabilidades.
As entradas 16 a 41 de M/606 abrangem categorias de produtos importantes e críticos, como navegadores, produtos VPN, sistemas operativos, routers, firewalls, semicondutores, produtos para casas inteligentes, dispositivos portáteis e elementos seguros.
As entradas 2 a 14 de M/606 abrangem outras normas horizontais relativas a propriedades de segurança dos produtos, como predefinições seguras, atualizações, controlo de acesso, confidencialidade, integridade, disponibilidade, redução da superfície de ataque, monitorização e remoção de dados.
Normas horizontais
As normas horizontais destinam-se a ser úteis em várias categorias de produtos. Estabelecem uma estrutura comum para a terminologia, a gestão dos riscos, a segurança dos produtos e o tratamento de vulnerabilidades. As normas específicas de produtos podem depois basear-se nelas.
Um vocabulário comum apoia as normas horizontais e específicas de produtos. Não deve ser tratado, por si só, como uma norma de controlos de segurança do produto.
O projeto atual explica os princípios de ciber-resiliência, a cibersegurança dos produtos baseada nos riscos e as atividades ao longo do ciclo de vida. A explicação é apresentada separadamente em prEN 40000-1-2 Principles for Cyber Resilience.
M/606 solicita requisitos genéricos de segurança e controlos para as propriedades dos produtos da parte I do anexo I. A função prevista desta norma é explicada em Materiais públicos da prEN 40000-1-4.
O projeto atual explica o tratamento de vulnerabilidades para a parte II do anexo I. A explicação é apresentada separadamente em prEN 40000-1-3 Vulnerability Handling.
Os documentos públicos atuais 1-2 e 1-3 são projetos de normas. São úteis para o planeamento, mas não devem ser descritos como normas EN finais ou normas harmonizadas com referência citada até que tenham efetivamente esse estatuto.
Referência às normas de produtos
A evolução das normas específicas de produtos é apresentada em Normas de produtos por categoria. Essa página enumera normas candidatas para as categorias dos anexos III e IV e indica o estado das fontes consultadas.
Demonstração de como as normas tratam os requisitos
Um produto pode utilizar normas como evidências de engenharia antes de estas serem citadas, mas isso não equivale a uma presunção jurídica de conformidade. A documentação técnica deve indicar quais os requisitos abrangidos por normas citadas, especificações comuns, sistemas de certificação ou outras soluções técnicas.
As páginas dos projetos de normas horizontais são explicadas separadamente: prEN 40000-1-2 Principles for Cyber Resilience e prEN 40000-1-3 Vulnerability Handling.