O Regulamento da Ciber-Resiliência da UE enquanto legislação de produtos

Legislação horizontal relativa aos produtos

O CRA não é uma lei geral de cibersegurança para as empresas. É legislação relativa aos produtos. Determina se um produto com elementos digitais pode ser disponibilizado no mercado da UE, qual o interveniente responsável por cada obrigação e se o produto e os processos do fabricante cumprem os requisitos de cibersegurança.

regras para a disponibilização no mercado de produtos com elementos digitais, a fim de garantir a cibersegurança desses produtos;

Regulamento (UE) 2024/2847, artigo 1.º, alínea a)

O título jurídico designa estas regras como requisitos horizontais de cibersegurança. «Horizontal» significa que o CRA não foi redigido para um único setor. Pode aplicar-se a muitos tipos de produtos se estes estiverem abrangidos e nenhuma exclusão ou regra especial de sobreposição os retirar do âmbito.

Motivo da legislação

Os considerandos descrevem dois problemas principais. Em primeiro lugar, muitos produtos com elementos digitais chegaram aos utilizadores com segurança fraca, vulnerabilidades conhecidas ou atualizações de segurança pouco claras. Em segundo lugar, muitas vezes os utilizadores não dispunham de informações suficientes para escolher e utilizar os produtos com segurança.

A UE procurou criar um quadro uniforme de requisitos de cibersegurança dos produtos para reduzir a fragmentação regulamentar no mercado interno. Por isso, o CRA associa a cibersegurança à colocação dos produtos no mercado, em conjunto com outras leis aplicáveis da UE relativas aos produtos, às operações de rede e à segurança organizacional.

Modelo de marcação CE

O CRA utiliza o modelo de marcação CE existente. Não cria um novo símbolo de cibersegurança. No caso de um produto que já tenha marcação CE ao abrigo de outra legislação da UE relativa aos produtos, o CRA acrescenta a cibersegurança ao mesmo conjunto de documentos de conformidade do produto.

A marcação CE está sujeita aos princípios gerais estabelecidos no artigo 30.º do Regulamento (CE) n.º 765/2008.

Regulamento (UE) 2024/2847, artigo 29.º

O Guia Azul explica o significado da marcação CE: o fabricante declara que o produto cumpre a legislação aplicável da União que exige essa marcação. Não é um rótulo de qualidade nem uma indicação do país de origem, e não significa que uma autoridade pública tenha testado todos os produtos.

Cibersegurança no processo do produto

O CRA acrescenta requisitos de cibersegurança ao sistema de conformidade dos produtos existente. Os fabricantes podem utilizar procedimentos jurídicos conhecidos, mas têm de acrescentar o conteúdo técnico relevante.

• A parte I do anexo I estabelece requisitos de cibersegurança para o próprio produto.
• A parte II do anexo I estabelece requisitos para o processo de tratamento de vulnerabilidades do fabricante.
• A documentação técnica tem de demonstrar como o produto e os processos cumprem os requisitos aplicáveis.
• A avaliação da conformidade verifica o produto e os processos do fabricante face a esses requisitos.
• A declaração UE de conformidade e a marcação CE integram o resultado do CRA no sistema normal de conformidade dos produtos da UE.

Relação com outras leis relativas aos produtos

O CRA não substitui a legislação existente relativa aos produtos. Uma máquina conectada, um produto rádio, um brinquedo, um controlador industrial ou um acessório para dispositivos médicos pode já estar regulado por outro regime da UE. Se o CRA também for aplicável, o fabricante tem de o cumprir juntamente com o outro ato jurídico aplicável.

O próprio CRA trata diretamente algumas sobreposições. Estes grupos de produtos estão sujeitos a regras próprias de exclusão ou limitação:

• Dispositivos médicos e dispositivos médicos para diagnóstico in vitro;
• Produtos sujeitos à homologação de veículos a motor;
• Produtos certificados ao abrigo do quadro da aviação civil;
• Equipamento marítimo;
• Peças sobresselentes idênticas;
• Produtos desenvolvidos ou modificados exclusivamente para fins de segurança nacional ou defesa;
• Produtos especificamente concebidos para tratar informações classificadas.

Outras sobreposições funcionam de forma diferente. Consoante o produto e o risco regulado, o CRA pode complementar legislação como:

• Regulamento Máquinas;
• Regulamento relativo à segurança geral dos produtos;
• Diretiva relativa aos equipamentos de rádio;
• RGPD;
• Regulamento dos Dados;
• Regulamento da Inteligência Artificial;
• NIS2.