Lista de verificação da documentação técnica do CRA

Obrigação de documentação

A documentação técnica deve conter todos os dados ou elementos pertinentes relativos aos meios utilizados pelo fabricante para assegurar que o produto com elementos digitais e os processos implementados pelo fabricante cumprem os requisitos essenciais de cibersegurança estabelecidos no anexo I. Deve conter, pelo menos, os elementos previstos no anexo VII.

Regulamento (UE) 2024/2847, artigo 31.º, n.º 1

O artigo 31.º exige que o dossier explique de que forma o produto e os processos do fabricante cumprem o anexo I. A documentação inclui, por conseguinte, tanto a conceção do produto como as disposições para tratar vulnerabilidades após o lançamento.

Calendário e atualizações

A documentação técnica deve ser elaborada antes de o produto com elementos digitais ser colocado no mercado e continuamente atualizada, sempre que adequado, pelo menos durante o período de suporte.

Regulamento (UE) 2024/2847, artigo 31.º, n.º 2

A documentação técnica tem de existir antes da colocação no mercado. Depois, tem de ser mantida atualizada quando ocorram alterações relevantes durante o período de suporte.

• Uma alteração da conceção do produto, da arquitetura, da versão do software ou do método de atualização pode exigir uma atualização.
• Uma alteração da avaliação dos riscos de cibersegurança pode exigir uma atualização.
• Novas informações sobre vulnerabilidades podem exigir uma atualização.
• Um produto redesenhado ou reavaliado deve dispor de documentação que identifique as versões alteradas.

Conteúdo do anexo VII

O anexo VII contém a lista mínima de conteúdos. É preferível interpretá-lo como categorias de evidências, não como um modelo de tabela. O nível de detalhe exato depende do produto em causa.

Lista de verificação do anexo VII para uma versão de produto

O índice seguinte acompanha as oito entradas do anexo VII. É um exemplo de organização das informações, não uma estrutura de pastas prescrita nem uma obrigação de exportar oito ficheiros separados. Cada registo referenciado deve identificar o produto e a versão a que diz respeito.

1. Descrição do produto: finalidade, versões de software que afetam a conformidade, imagens e marcações de hardware relevantes e informações para os utilizadores previstas no anexo II.
2. Conceção e processos: arquitetura e relações entre componentes; tratamento de vulnerabilidades, SBOM, política de divulgação, contacto para notificações e atualizações seguras; produção, monitorização e validação dos processos.
3. Avaliação dos riscos de cibersegurança: riscos do produto e fundamentação da aplicabilidade dos requisitos da parte I do anexo I.
4. Período de suporte: informações utilizadas para determinar a respetiva duração.
5. Normas e soluções técnicas: disposições aplicadas, respetivo estatuto e âmbito de utilização, e soluções utilizadas para os requisitos que não abrangem.
6. Relatórios de verificação: testes do produto e dos processos de tratamento de vulnerabilidades face aos requisitos essenciais aplicáveis.
7. Declaração UE de conformidade: declaração correspondente ao produto avaliado.
8. SBOM a pedido das autoridades: SBOM aplicável quando uma autoridade de fiscalização do mercado a solicita de forma fundamentada e necessita dela para verificar a conformidade com o anexo I.

Para uma versão fictícia 1.2 de um controlador, o índice poderia remeter para a descrição da versão, a revisão da arquitetura, a avaliação dos riscos, a SBOM, os testes de atualização e as instruções para os utilizadores dessa versão. Uma avaliação dos riscos mais recente associada a um relatório de testes de firmware mais antigo necessita de uma explicação sobre a aplicabilidade continuada dos controlos testados.

Verifique a completude face às informações aplicáveis do anexo VII e à versão do produto avaliada. Um índice de documentos ajuda os revisores a encontrar a análise e os resultados que sustentam cada conclusão, incluindo as informações ainda em falta.

Ligações entre evidências

A avaliação dos riscos explica as medidas de segurança escolhidas; os registos de componentes identificam o software que essas medidas protegem; os registos de tratamento de vulnerabilidades demonstram o que acontece quando é detetado um novo problema. As páginas seguintes explicam o conteúdo e a utilização de cada registo.

Avaliação dos riscos

O artigo 13.º, n.º 4, integra a avaliação dos riscos de cibersegurança na documentação técnica. A avaliação explica a aplicação do anexo I ao produto, incluindo o motivo pelo qual um requisito relativo a uma propriedade do produto não é pertinente, se essa for a conclusão do fabricante.

As perguntas frequentes da Comissão indicam que o dossier tem de estar disponível quando o produto é colocado no mercado, independentemente de ter sido fabricado dentro ou fora da UE. Indicam também que as remodelações e reavaliações posteriores devem refletir-se na documentação técnica.

Utilização para avaliação da conformidade e pelas autoridades

A documentação técnica destina-se sobretudo à avaliação da conformidade e à fiscalização do mercado. As perguntas frequentes da Comissão indicam que, normalmente, não tem de ser disponibilizada aos clientes nem ao público.

A principal exceção pública descrita nas perguntas frequentes diz respeito a determinados produtos de software livre e de código aberto importantes que utilizam a via de autoavaliação do artigo 32.º, n.º 5.