Informações e instruções para os utilizadores ao abrigo do CRA
Sytance · Atualizado
As informações para os utilizadores no âmbito do CRA são os materiais que acompanham o produto e ajudam os utilizadores a instalá-lo, operá-lo, atualizá-lo, comunicar vulnerabilidades e desativá-lo com segurança. Destinam-se a utilizadores, integradores, proprietários e operadores, não apenas ao dossier interno do fabricante.
Informações para os utilizadores
Os fabricantes devem assegurar que os produtos com elementos digitais são acompanhados das informações e instruções para o utilizador previstas no anexo II, em suporte de papel ou eletrónico. Essas informações e instruções devem ser fornecidas numa língua facilmente compreensível para os utilizadores e para as autoridades de fiscalização do mercado. Devem ser claras, compreensíveis, inteligíveis e legíveis. Devem permitir a instalação, operação e utilização seguras dos produtos com elementos digitais. Os fabricantes devem manter as informações e instruções para o utilizador previstas no anexo II à disposição dos utilizadores e das autoridades de fiscalização do mercado durante, pelo menos, 10 anos após a colocação do produto com elementos digitais no mercado ou durante o período de suporte, consoante o que for mais longo. Se essas informações e instruções forem disponibilizadas em linha, os fabricantes devem assegurar que são acessíveis, fáceis de utilizar e permanecem disponíveis em linha durante, pelo menos, 10 anos após a colocação do produto com elementos digitais no mercado ou durante o período de suporte, consoante o que for mais longo.
Regulamento (UE) 2024/2847, artigo 13.º, n.º 18
As informações podem ser fornecidas em suporte de papel ou eletrónico. Têm de estar numa língua facilmente compreensível para os utilizadores e para as autoridades de fiscalização do mercado. Se forem disponibilizadas em linha, têm de permanecer acessíveis e fáceis de utilizar durante o período exigido.
Materiais destinados aos utilizadores
Explicam a utilização segura, o suporte, as atualizações, os canais de contacto e as informações sobre riscos de que os utilizadores necessitam.
Parte do dossier de evidências
O anexo VII também inclui as informações para os utilizadores previstas no anexo II na documentação técnica.
Conteúdo do anexo II
O anexo II contém a lista mínima de informações. Combina a identificação do produto, as informações de suporte, as instruções para uma utilização segura e as informações de contacto para vulnerabilidades.
O anexo II solicita o nome do fabricante, os dados de contacto e, se disponível, o sítio Web, além de informações suficientes para identificar o produto de forma inequívoca.
Os utilizadores têm de ser informados sobre como comunicar e receber informações sobre vulnerabilidades e como encontrar a política de divulgação coordenada de vulnerabilidades.
As informações têm de descrever a finalidade prevista, o ambiente de segurança, as funções essenciais, as propriedades de segurança e quaisquer circunstâncias conhecidas ou previsíveis que possam originar riscos significativos de cibersegurança.
O anexo II solicita o tipo de suporte técnico em matéria de segurança e a data de fim do período de suporte. Solicita também instruções para instalar atualizações relevantes para a segurança.
O anexo II solicita informações sobre a colocação em serviço segura, a utilização segura durante todo o ciclo de vida, a desativação segura, a remoção de dados, as definições das atualizações automáticas e a integração, quando o produto se destinar a ser integrado noutro produto.
Instruções para uma utilização segura
O CRA não exige aconselhamento de segurança genérico. As instruções devem corresponder ao produto, à sua finalidade prevista, à utilização previsível e aos utilizadores que o instalarão ou operarão.
O anexo II, ponto 8, exige instruções, ou uma ligação para estas, sobre:
- As medidas necessárias durante a configuração inicial e durante todo o ciclo de vida do produto;
- A forma como as alterações ao produto podem afetar a segurança dos dados;
- A forma de instalar atualizações relevantes para a segurança;
- A desativação segura e a remoção segura dos dados dos utilizadores;
- A forma de desativar as atualizações de segurança automáticas, se estiverem ativadas por defeito;
- As informações de integração necessárias a outro fabricante ou integrador.
Instruções claras não substituem a conceção segura
As informações para os utilizadores podem explicar pressupostos e riscos residuais. Não podem servir para deixar por cumprir requisitos de segurança do produto.
Data de suporte no momento da compra
O artigo 13.º, n.º 19, exige que a data de fim do período de suporte seja clara no momento da compra. A data tem de indicar, no mínimo, o mês e o ano. Se for tecnicamente viável, os utilizadores também têm de ser notificados quando o produto atingir o fim do período de suporte.
No momento da compra
Os utilizadores devem poder consultar a data de fim do suporte no momento da compra.
Durante a utilização
Os utilizadores necessitam de instruções de atualização que correspondam ao método de atualização efetivamente utilizado pelo produto.
Limite da documentação técnica
As informações para os utilizadores e a documentação técnica destinam-se a públicos diferentes. As informações para os utilizadores destinam-se a uma utilização segura. A documentação técnica é o dossier de evidências utilizado para demonstrar a conformidade com o CRA.
O anexo VII inclui as informações para os utilizadores do anexo II na documentação técnica, mas também exige evidências internas, como informações de conceção, arquitetura, informações sobre o processo de tratamento de vulnerabilidades, avaliação dos riscos de cibersegurança, fundamentação do período de suporte, normas utilizadas e relatórios de testes.