O Cyber Resilience Act, também conhecido como CRA, é o regulamento europeu que define requisitos obrigatórios de cibersegurança para produtos com elementos digitais comercializados na União Europeia. Não é uma diretiva que os Estados-Membros transpõem para lei nacional. É um regulamento com aplicação direta e uniforme em todos os países da UE, incluindo Portugal.
O CRA foi publicado no Jornal Oficial da União Europeia a 20 de novembro de 2024, entrou em vigor a 10 de dezembro de 2024 e terá aplicação plena a partir de 11 de dezembro de 2027. Ainda assim, a obrigação dos fabricantes de reportarem vulnerabilidades ativamente exploradas começa antes: 11 de setembro de 2026.
Para fabricantes e distribuidores de produtos digitais, o CRA representa uma das mudanças regulamentares mais relevantes dos últimos anos. A segurança deixa de ser uma escolha de produto e passa a ser um requisito legal ao longo de todo o ciclo de vida.
O que é o Cyber Resilience Act e por que surgiu
O CRA surgiu para reforçar a cibersegurança de produtos com componentes digitais. Abrange equipamentos físicos, programas informáticos e soluções conectadas, desde computadores portáteis, smartwatches, routers e firewalls até dispositivos domésticos inteligentes e produtos de Internet das Coisas.
O objetivo é simples: garantir que os produtos colocados no mercado europeu cumprem requisitos mínimos de segurança e permitir que empresas e consumidores façam escolhas mais informadas quando compram ou utilizam produtos digitais.
O CRA exige que os produtos abrangidos, quando colocados no mercado da União Europeia, cumpram requisitos de cibersegurança independentemente da localização do fabricante. Isto significa que empresas de fora da UE também ficam abrangidas quando vendem produtos com elementos digitais no mercado europeu.
É uma legislação relevante porque desloca a segurança para o centro da conceção, desenvolvimento, comercialização e manutenção dos produtos. A cibersegurança deixa de ser apenas uma validação antes do lançamento e passa a ser uma obrigação contínua.
A quem se aplica o Cyber Resilience Act
O CRA impõe obrigações a fabricantes, importadores e distribuidores de produtos com elementos digitais. Inclui software, hardware, soluções de processamento remoto de dados e dispositivos conectados, como smartphones, tablets, computadores, câmaras, televisores, equipamentos domésticos inteligentes, brinquedos conectados e dispositivos vestíveis.
Nos termos do regulamento, um produto com elementos digitais corresponde a um produto de software ou hardware, incluindo as suas soluções de tratamento remoto de dados e componentes de software ou hardware colocados no mercado separadamente.
Isto significa que o CRA não abrange apenas grandes fabricantes de hardware. Abrange também:
- Empresas de desenvolvimento de software comercializado como produto.
- Empresas que integram componentes digitais em produtos físicos.
- Importadores de produtos digitais fabricados fora da União Europeia.
- Distribuidores que colocam produtos com elementos digitais no mercado europeu.
A responsabilidade não é exclusiva dos fabricantes de hardware. As empresas que desenvolvem e comercializam produtos digitais também estão abrangidas pelas obrigações do CRA.
As categorias de produtos e os níveis de exigência
O CRA adota um modelo de conformidade com base no risco associado ao produto. Nem todos os produtos têm o mesmo nível de exigência. A lógica é proporcional: quanto maior o risco para utilizadores, empresas ou infraestruturas, maior o nível de controlo exigido.
Em termos práticos, os produtos de menor risco podem admitir processos de autoavaliação pelo fabricante. Já os produtos considerados importantes ou críticos podem exigir procedimentos de avaliação de conformidade mais exigentes, incluindo a intervenção de entidades terceiras certificadas.
Esta distinção é relevante para fabricantes e distribuidores porque afeta diretamente o custo de conformidade, a documentação necessária, os testes exigidos e o tempo de preparação antes da colocação no mercado.
A classificação correta do produto é um dos primeiros passos da preparação. Um erro nesta fase pode comprometer todo o processo de conformidade.
As quatro obrigações centrais do Cyber Resilience Act
1. Segurança por desenho e ao longo do ciclo de vida
A segurança deixa de ser apenas uma validação pontual antes da comercialização e torna-se um processo contínuo, documentado e verificável. Desenvolver um produto seguro não é suficiente. É necessário demonstrar gestão de vulnerabilidades, rastreabilidade de componentes e mecanismos de coordenação com terceiros.
Na prática, isto significa que os requisitos de segurança têm de ser integrados desde a fase de conceção, não adicionados como camada posterior. O conceito de segurança por desenho passa a ter força legal.
2. Documentação técnica completa e rastreável
Cada produto com elementos digitais deve ser acompanhado de documentação técnica detalhada. Esta documentação pode incluir a arquitetura do produto, a lista de componentes, os relatórios de testes de segurança realizados, os procedimentos de atualização e, quando aplicável ou solicitado, o Software Bill of Materials, conhecido como SBOM.
O SBOM é um inventário dos componentes de software usados no produto. É útil para rastrear dependências, identificar versões vulneráveis e reduzir riscos associados à cadeia de fornecimento.
A documentação técnica deixa de ser apenas suporte interno. Passa a ser um ativo crítico de conformidade. Arquiteturas de sistemas, diagramas de integração, especificações funcionais e relatórios de teste demonstram como o produto é construído, integrado e mantido.
3. Gestão de vulnerabilidades durante o período de suporte
O Cyber Resilience Act introduz uma obrigação que muitos fabricantes de produtos digitais ainda não incorporaram nos seus processos: a gestão contínua de vulnerabilidades durante o período de suporte do produto.
Isto implica monitorização contínua de vulnerabilidades conhecidas, disponibilização de atualizações de segurança, manutenção de um canal de reporte por terceiros e capacidade de documentar a forma como cada vulnerabilidade é analisada, priorizada e corrigida.
O período de suporte deve ser definido de forma realista e comunicado ao mercado. Em muitos casos, o regulamento aponta para uma duração compatível com o período esperado de utilização do produto, com requisitos mínimos aplicáveis consoante o caso.
4. Notificação de vulnerabilidades e incidentes
A partir de 11 de setembro de 2026, os fabricantes são obrigados a notificar vulnerabilidades ativamente exploradas e incidentes graves que afetem a segurança dos seus produtos com elementos digitais.
O processo exige rapidez. O fabricante deve submeter um aviso antecipado no prazo de 24 horas após tomar conhecimento da situação e uma notificação completa no prazo de 72 horas. Em certos casos, deve ainda apresentar um relatório final após a disponibilização de uma medida corretiva ou após a resolução do incidente.
Esta obrigação muda a forma como as empresas devem preparar a resposta a incidentes. Sem processos definidos, responsáveis identificados e canais de decisão claros, cumprir estes prazos em situação real será difícil.
Os prazos que os fabricantes e distribuidores têm de conhecer
O calendário do CRA é um dos pontos mais importantes para fabricantes, importadores e distribuidores. A aplicação plena só acontece em 2027, mas algumas obrigações começam antes.
Em março de 2026, a Comissão Europeia publicou orientações para consulta pública destinadas a ajudar as empresas a aplicar o CRA, com foco especial em facilitar a conformidade de microempresas e PME. Estas orientações não substituem o regulamento, mas ajudam a clarificar a preparação operacional.
Como implementar o Cyber Resilience Act na sua organização
Na Webtech, quando apoiamos fabricantes e distribuidores de produtos digitais na preparação para o CRA, organizamos a implementação em torno de um método a que chamamos SDVA: Scope, Documentação, Vulnerabilidades e Alertas.
S: Scope, identificar o que está abrangido
O primeiro passo é mapear os produtos da empresa que têm elementos digitais e que são ou serão comercializados no mercado europeu. Este mapeamento deve incluir software comercializado de forma autónoma, hardware com firmware, componentes digitais integrados em produtos físicos e soluções de processamento remoto de dados associadas aos produtos.
Para cada produto identificado, a empresa deve determinar a categoria de risco, o nível de avaliação de conformidade necessário, o período de suporte previsto e as equipas responsáveis pela documentação e manutenção.
D: documentação técnica estruturada
A documentação técnica exigida pelo CRA deve ser produzida de forma estruturada e mantida atualizada ao longo do ciclo de vida do produto. Os componentes essenciais incluem:
- Descrição da arquitetura do produto e dos seus componentes.
- Lista de componentes de software, incluindo SBOM quando aplicável.
- Resultados dos testes de segurança realizados.
- Política de gestão de vulnerabilidades documentada.
- Procedimentos de atualização de segurança.
- Declaração de conformidade CE.
Esta documentação deve estar pronta para demonstrar conformidade, apoiar auditorias, responder a pedidos de autoridades e acelerar a resposta a vulnerabilidades.
V: vulnerabilidades, gestão contínua
A gestão de vulnerabilidades não é um processo que se cria uma vez e se esquece. É um processo contínuo que inclui monitorização de bases de dados de vulnerabilidades conhecidas, como o CVE da MITRE, testes de segurança periódicos, canal de reporte por investigadores externos e processo documentado de triagem, priorização e remediação.
Para fabricantes de software, a integração de ferramentas de análise de composição de software, conhecidas como SCA, no processo de desenvolvimento é uma forma eficiente de manter a rastreabilidade dos componentes e identificar vulnerabilidades nas dependências.
A: alertas e notificações dentro dos prazos legais
A partir de 11 de setembro de 2026, os fabricantes são obrigados a reportar vulnerabilidades ativamente exploradas. Para cumprir os prazos de notificação, 24 horas para aviso inicial e 72 horas para notificação completa, é necessário ter um processo de resposta a incidentes documentado e testado antes de um incidente acontecer.
Este processo deve definir quem é responsável pela deteção e triagem, quem aprova a notificação às autoridades, como se comunica com os utilizadores afetados e como se documenta a resolução.
As coimas: o que está em jogo no Cyber Resilience Act
O CRA determina coimas escalonadas por tipo de infração. Para fabricantes e distribuidores, isto transforma a conformidade num tema de gestão e não apenas num projeto técnico.
O risco não está apenas na coima. Está também no bloqueio da comercialização, na necessidade de retirar produtos do mercado, na perda de confiança dos clientes e no impacto reputacional junto de parceiros e distribuidores.
Erros comuns dos fabricantes na preparação para o Cyber Resilience Act
Na nossa experiência, estes são os erros que mais frequentemente atrasam a preparação das empresas para o CRA.
- Assumir que o CRA não se aplica ao software: o CRA aplica-se a produtos de software comercializados como produto. Uma empresa que vende aplicações no mercado europeu pode estar tão abrangida como um fabricante de hardware.
- Tratar a conformidade como um projeto pontual: o CRA não é uma certificação que se obtém uma vez. É um processo contínuo de gestão de vulnerabilidades, atualização de documentação e notificação de incidentes ao longo da vida do produto.
- Não preparar o processo de notificação antes de setembro de 2026: a partir dessa data, os fabricantes são obrigados a submeter um aviso antecipado no prazo de 24 horas após tomarem conhecimento de uma vulnerabilidade explorada. Sem um processo preparado, cumprir este prazo em situação real é muito difícil.
- Ignorar a cadeia de fornecimento: o SBOM é um instrumento útil para rastrear dependências de software e mitigar riscos de ataques à cadeia de fornecimento. Fabricantes que não documentam as dependências dos seus produtos ficam expostos a vulnerabilidades em componentes de terceiros que não monitorizam.
- Não envolver a gestão no processo de conformidade: o CRA é uma obrigação legal com coimas significativas. É uma decisão de gestão, não apenas um projeto técnico.
Ferramentas e recursos para preparação
A preparação para o CRA exige processos, documentação e ferramentas adequadas. Estes recursos ajudam a estruturar o trabalho interno:
- Portal do CRA da Comissão Europeia, digital-strategy.ec.europa.eu: documentação oficial, orientações e atualizações do regulamento.
- ENISA, enisa.europa.eu: documentação técnica, boas práticas e recomendações relevantes para cibersegurança de produtos digitais.
- MITRE CVE: base de dados de vulnerabilidades conhecidas para monitorização contínua de componentes.
- Ferramentas SCA, Software Composition Analysis: soluções como Snyk, Black Duck e FOSSA ajudam a analisar dependências, identificar vulnerabilidades e gerar SBOM.
- Normas IEC 62443 e ISO/IEC 27001: referenciais que podem apoiar a estruturação de controlos, processos e documentação, embora não garantam, por si só, conformidade automática com o CRA.
FAQ
O Cyber Resilience Act aplica-se a software de código aberto?
O CRA prevê isenções específicas para software de código aberto desenvolvido sem fins comerciais. Contudo, quando um fabricante integra componentes de código aberto num produto comercial, esses componentes passam a estar abrangidos pelas obrigações aplicáveis ao produto final.
A documentação dos componentes de código aberto utilizados, através do SBOM quando aplicável, é uma das obrigações mais práticas neste contexto.
Uma empresa portuguesa que vende software apenas em Portugal está abrangida pelo CRA?
Sim. O CRA é um regulamento europeu com aplicação direta em todos os Estados-Membros, sem necessidade de transposição para lei nacional. Uma empresa portuguesa que comercializa produtos com elementos digitais no mercado da UE, incluindo o mercado nacional, está abrangida pelas obrigações do regulamento.
O que é um SBOM e por que é importante para o CRA?
O Software Bill of Materials, ou SBOM, é um inventário dos componentes de software de um produto, incluindo versões, dependências e, quando aplicável, licenças. Permite identificar rapidamente se um produto é afetado por uma vulnerabilidade descoberta num componente específico.
Para o CRA, o SBOM é importante porque apoia a rastreabilidade, a gestão de vulnerabilidades e a resposta a incidentes de segurança na cadeia de fornecimento.
Qual é a diferença entre o CRA e a NIS2?
São regimes complementares que atuam em planos diferentes. A NIS2 foca-se na segurança das organizações e das suas redes e sistemas de informação. O CRA foca-se na segurança dos produtos digitais que essas organizações fabricam, importam ou distribuem.
Uma empresa pode estar abrangida por ambos em simultâneo, com obrigações distintas em cada regime.
Até quando as empresas têm para se preparar para o CRA?
O CRA terá aplicação plena a partir de 11 de dezembro de 2027. Contudo, a obrigação de reporte de vulnerabilidades ativamente exploradas aplica-se já a partir de 11 de setembro de 2026.
Para fabricantes e distribuidores que ainda não iniciaram a preparação, o prazo útil para implementar processos robustos é significativamente mais curto do que a data de aplicação plena sugere.
O Cyber Resilience Act não é uma obrigação futura que se possa adiar. Com a obrigação de notificação de vulnerabilidades a entrar em vigor em setembro de 2026 e a aplicação plena em dezembro de 2027, o tempo de preparação é limitado e os requisitos são substanciais.
A segurança deixa de ser apenas uma validação pontual antes da comercialização e torna-se um processo contínuo, documentado e verificável. Desenvolver um produto seguro não é suficiente. É necessário demonstrar gestão de vulnerabilidades, rastreabilidade de componentes e mecanismos de coordenação com terceiros.
Na Webtech, apoiamos fabricantes e distribuidores de produtos digitais na preparação para o CRA: desde o mapeamento inicial e a identificação dos produtos abrangidos até à implementação dos processos de gestão de vulnerabilidades e à preparação da documentação técnica.
Se desenvolve ou distribui produtos com elementos digitais no mercado europeu e ainda não iniciou a preparação, este é o momento certo para começar.
