Cyber Resilience Act (CRA): o guia completo para fabricantes e fornecedores de produtos digitais

Resumo rápido

O que é o CRA

O CRA (Cyber Resilience Act) é o regulamento europeu que fixa requisitos obrigatórios de cibersegurança para os produtos com elementos digitais: hardware e software que se ligam, direta ou indiretamente, a outro dispositivo ou a uma rede. É uma lei de segurança de produto, no mesmo espírito da marcação CE, e não uma lei sobre a segurança das redes e sistemas de uma organização, que é o domínio da NIS2.

Por ser um regulamento, aplica-se diretamente, sem transposição. O que cada Estado-Membro tem de fazer é designar as suas autoridades de fiscalização do mercado e definir o regime de execução. As regras incidem sobre todo o ciclo de vida do produto: conceção, desenvolvimento, colocação no mercado e período de suporte, incluindo o tratamento de vulnerabilidades depois da venda.

Na prática, um produto que não cumpra o CRA não poderá ser vendido na UE com marcação CE. Para os clientes europeus, essa marcação passa a ser também a prova de que o produto foi desenvolvido e é mantido com critérios mínimos de cibersegurança.

Calendário e prazos

1. 20 nov. 2024
   Publicação do Regulamento (UE) 2024/2847 no Jornal Oficial da União Europeia.
2. 10 dez. 2024
   Entrada em vigor do CRA, 20 dias após a publicação. Começa o período de transição.
3. Dez. 2025
   Atos complementares da Comissão: descrições técnicas das categorias de produtos importantes e críticos (Regulamento de Execução (UE) 2025/2392) e regras para o adiamento da difusão de notificações entre CSIRT (Regulamento Delegado (UE) 2026/881, adotado a 11 de dezembro de 2025).
4. 11 jun. 2026
   Aplicam-se as disposições sobre organismos notificados (capítulo IV). Os organismos de avaliação da conformidade já podem ser notificados e preparar-se para avaliar produtos.
5. 27 jul. 2026
   A Comissão publica as primeiras orientações de aplicação do CRA, com exemplos práticos sobre âmbito, soluções de tratamento de dados à distância, software de fonte aberta, modificação substancial e período de suporte.
6. 11 set. 2026
   Começam as obrigações de notificação (artigo 14.º) de vulnerabilidades ativamente exploradas e de incidentes graves. A plataforma única de notificação da ENISA entrou em funcionamento nesta data.
7. Até final de 2026 e 2027
   Normas harmonizadas em preparação pelo CEN, CENELEC e ETSI, ao abrigo do pedido de normalização da Comissão. As datas de entrega têm sido ajustadas, pelo que convém acompanhar.
8. 11 dez. 2027
   Aplicação plena do CRA. Os produtos novos colocados no mercado têm de cumprir os requisitos essenciais, ter avaliação de conformidade e levar marcação CE.

As datas de entrega das normas harmonizadas e as orientações da Comissão estão a evoluir. Confirme o estado atual antes de fixar o seu plano de conformidade. Não encontrámos, até outubro de 2026, qualquer alteração às datas de aplicação do CRA: as propostas de simplificação do chamado pacote Digital Omnibus (novembro de 2025) incidem sobretudo noutros diplomas.

Quem está abrangido

O CRA aplica-se aos operadores que disponibilizam produtos com elementos digitais no mercado da União, independentemente de estarem estabelecidos dentro ou fora da UE. Cada papel tem obrigações próprias.

Um importador ou distribuidor passa a ser tratado como fabricante se colocar o produto no mercado com o seu nome ou marca, ou se o modificar de forma substancial. O fabricante pode ainda nomear, por mandato escrito, um mandatário para certas tarefas, como a cooperação com as autoridades.

Produtos: âmbito, exclusões e classes

O que está no âmbito

Qualquer produto com elementos digitais cuja utilização prevista ou razoavelmente previsível inclua uma ligação de dados, direta ou indireta, a um dispositivo ou rede: dispositivos ligados (IoT), equipamento informático, sistemas operativos, aplicações, bibliotecas e componentes colocados no mercado separadamente. Inclui também as soluções de tratamento de dados à distância que o fabricante desenvolve (ou manda desenvolver) e sem as quais o produto não consegue exercer uma das suas funções, por exemplo a aplicação de nuvem que faz parte do funcionamento de um dispositivo.

Um serviço de software como serviço (SaaS) isolado, que não é necessário ao funcionamento de um produto, não é, em regra, um produto com elementos digitais para efeitos do CRA. Esses serviços podem, em contrapartida, estar sujeitos à NIS2. O software de fonte aberta desenvolvido ou fornecido fora de uma atividade comercial fica fora do âmbito.

Exclusões principais

A lista de exclusões tem condições e remissões para outra legislação setorial. Confirme o enquadramento do seu produto no artigo 2.º do regulamento e nas orientações da Comissão de julho de 2026.

Classes de produtos

O CRA distingue três níveis de risco, que determinam a via de avaliação da conformidade. A maioria dos produtos pertence à classe predefinida.

A classificação depende da funcionalidade principal do produto, definida nas descrições técnicas do Regulamento de Execução (UE) 2025/2392. Um produto que apenas integre um componente listado não passa por isso a ser importante.

Requisitos para os fabricantes

Os requisitos essenciais de cibersegurança constam do Anexo I do regulamento e dividem-se em duas partes: propriedades de segurança do produto e tratamento de vulnerabilidades.

• Segurança desde a conceção e por defeito. Avaliação de riscos de cibersegurança no início e durante o desenvolvimento, configuração segura de origem, proteção contra acesso não autorizado, confidencialidade e integridade dos dados, redução da superfície de ataque e resistência a ataques de negação de serviço.
• Tratamento de vulnerabilidades. Identificar e documentar as vulnerabilidades e os componentes do produto, corrigi-las sem demora, testar a segurança com regularidade, divulgar publicamente as vulnerabilidades já corrigidas, ter uma política de divulgação coordenada de vulnerabilidades e um ponto de contacto para a sua receção.
• Atualizações de segurança. Disponibilizar as atualizações de segurança de forma gratuita e atempada durante o período de suporte, de preferência separadas das atualizações funcionais, e informar os utilizadores.
• Lista de materiais de software (SBOM). O fabricante tem de documentar os componentes e as dependências do produto num formato de uso corrente e legível por máquina, que faz parte da documentação técnica. Não tem de ser publicada, mas tem de poder ser entregue às autoridades.
• Período de suporte. Deve ser definido pelo fabricante, indicado de forma clara ao utilizador, com data de fim. O mínimo é de 5 anos, salvo se o produto for expectável que seja usado durante menos tempo, caso em que o período pode ser mais curto, com justificação.
• Documentação técnica e informação ao utilizador. Documentação com a descrição do produto, a avaliação de riscos, as normas aplicadas e os resultados dos testes (Anexo VII), mais instruções e informações ao utilizador (Anexo II), com o contacto do fabricante e o fim do período de suporte. A documentação conserva-se durante 10 anos após a colocação no mercado ou durante o período de suporte, consoante o que for mais longo.
• Diligência com componentes de terceiros. O fabricante continua responsável pelos componentes que integra, incluindo os de fonte aberta, e tem de os avaliar e manter.

Esta secção resume as obrigações dos artigos 13.º e seguintes e dos Anexos I, II e VII. Confirme os pormenores no diploma.

Avaliação de conformidade e marcação CE

Antes de colocar o produto no mercado, o fabricante demonstra a conformidade e emite a documentação correspondente.

• Escolha da via. Controlo interno (autoavaliação, módulo A) para a classe predefinida e, nas condições acima, para a classe I; avaliação por terceiros (organismo notificado, por exemplo exame de tipo mais conformidade com o tipo, ou garantia total da qualidade) para a classe II; certificação europeia de cibersegurança para os produtos críticos quando exigida.
• Declaração UE de conformidade. Documento no formato do Anexo V, assinado pelo fabricante, que assume a responsabilidade pela conformidade.
• Marcação CE. Afixada de forma visível, legível e indelével no produto (ou na embalagem ou nos documentos, quando não for possível) antes de este ser colocado no mercado.
• Organismos notificados. As regras sobre a sua designação aplicam-se desde 11 de junho de 2026. Os fabricantes de produtos de classe II devem verificar a capacidade e os prazos dos organismos com antecedência, porque a procura vai concentrar-se perto de dezembro de 2027.
• Normas harmonizadas. A conformidade com normas harmonizadas citadas no Jornal Oficial dá presunção de conformidade. À data desta informação, as normas continuavam em preparação.
• Retenção e cooperação. A declaração e a documentação ficam à disposição das autoridades de fiscalização do mercado, que as podem pedir.

Notificação de vulnerabilidades e incidentes

O artigo 14.º obriga os fabricantes a notificar duas situações: vulnerabilidades ativamente exploradas no produto e incidentes graves com impacto na segurança do produto. A notificação faz-se em simultâneo ao CSIRT designado como coordenador do Estado-Membro do estabelecimento principal e à ENISA, através de uma plataforma única de notificação gerida pela ENISA. A ENISA distribui depois a informação pelos CSIRT relevantes. A plataforma está em funcionamento desde 11 de setembro de 2026.

Além de notificar as autoridades, o fabricante tem de informar os utilizadores afetados e, se for o caso, indicar as medidas que podem tomar para se protegerem.

Para o fabricante sem estabelecimento na UE, o CSIRT a que deve reportar é determinado em cascata (artigo 14.º, n.º 7): o Estado-Membro do mandatário, se existir; na falta deste, o do importador; depois o do distribuidor; por fim, o Estado-Membro onde se encontra o maior número de utilizadores. As micro e pequenas empresas não são sancionadas por falharem o prazo do alerta rápido de 24 horas, mas a obrigação de notificar mantém-se. Os administradores de software de fonte aberta têm regime próprio. Confirme a data e o âmbito no diploma. A notificação voluntária de vulnerabilidades e de incidentes que não sejam graves é igualmente possível.

Fiscalização e coimas

A fiscalização é feita pelas autoridades de fiscalização do mercado designadas por cada Estado-Membro, e não pela Comissão Europeia. Os produtos podem ser fiscalizados em qualquer Estado-Membro onde estejam à venda, e as autoridades cooperam através de um grupo de cooperação administrativa. Em Portugal, confirme junto das autoridades competentes qual a entidade designada, porque à data desta informação não encontrámos uma confirmação oficial.

Antes da coima, as autoridades dispõem de medidas que, na prática, doem mais ao negócio: obrigar a corrigir o produto num prazo definido, restringir a sua disponibilidade, retirá-lo do mercado ou recolhê-lo. A coima concreta tem em conta a gravidade, a dimensão da empresa e a cooperação prestada. Os administradores de software de fonte aberta estão isentos de coimas.

Os tetos acima estão fixados no artigo 64.º do regulamento. As coimas efetivamente aplicadas dependem de cada autoridade e do caso concreto. Confirme os valores no diploma.

NIS2, DORA e fornecedores fora da UE

Relação com a NIS2 e a DORA

O CRA, a NIS2 e a DORA complementam-se: o CRA regula o produto e o seu fabricante, enquanto a NIS2 e a DORA regulam a organização que o usa. Na prática:

• Uma entidade essencial ou importante da NIS2 tem de gerir o risco da sua cadeia de abastecimento. Os produtos com marcação CE e período de suporte conhecido facilitam essa avaliação, e é de esperar que os clientes passem a pedi-los.
• Uma entidade financeira sob a DORA tem de gerir o risco dos fornecedores TIC. Um fornecedor que venda software ou dispositivos digitais pode estar sujeito às duas coisas: o CRA pelo produto, e a DORA através do contrato.
• Um fabricante que também opere serviços pode ter obrigações em ambos os regimes, com prazos de notificação diferentes e destinatários diferentes. Convém um processo único de triagem.
• Está em discussão no pacote Digital Omnibus um ponto de entrada único para notificações de incidentes. Não encontrámos indicação de que altere o calendário ou a plataforma de notificação do CRA. Acompanhe a evolução.

Fornecedores fora da UE

O CRA aplica-se a quem disponibiliza produtos no mercado da União, incluindo a venda direta em linha a clientes europeus. Um fabricante de Cabo Verde, ou de qualquer outro país terceiro, é tratado como fabricante para todos os efeitos, mesmo sem ter presença na UE.

• Importador. Se vender através de um importador na UE, este tem de verificar a sua conformidade antes de colocar o produto no mercado. Na prática, vai exigir-lhe a documentação e a declaração de conformidade.
• Mandatário. A nomeação é facultativa, por mandato escrito, mas útil: dá-lhe um interlocutor estável perante as autoridades e fixa o Estado-Membro para efeitos de notificação. Certifique-se de que o mandato abrange o que pretende delegar. O mandatário não pode assumir a conceção segura do produto nem a avaliação de riscos, que são do fabricante.
• Contratos com clientes. É de esperar que os compradores europeus passem a incluir nos contratos cláusulas de conformidade com o CRA, notificação de vulnerabilidades, SBOM e fim do suporte. A conformidade tende a tornar-se um requisito comercial, e não apenas jurídico.

Como o fazemos

Ajudamos fabricantes, importadores e fornecedores de software a transformar o CRA num plano de trabalho com responsáveis e prazos, em seis passos.

1. Enquadramento. Confirmamos que produtos estão no âmbito, o vosso papel (fabricante, importador, distribuidor), as exclusões aplicáveis e a classe de cada produto.
2. Análise de lacunas (gap analysis). Comparamos o ciclo de desenvolvimento e de manutenção atual com o Anexo I, o período de suporte, a documentação e as normas em preparação.
3. Segurança desde a conceção. Avaliação de riscos do produto, requisitos de segurança, ciclo de desenvolvimento seguro, testes e gestão de componentes de terceiros e de fonte aberta.
4. Vulnerabilidades e SBOM. Processo de receção e tratamento, política de divulgação coordenada, geração e manutenção da SBOM e canal de atualizações.
5. Notificação e conformidade. Processo de 24 h, 72 h e relatório final, ligado à plataforma da ENISA; escolha da via de avaliação, declaração UE de conformidade e preparação para o organismo notificado, se aplicável.
6. Evidências e melhoria contínua. Documentação técnica pronta para as autoridades, cláusulas para importadores e clientes e revisões periódicas.

Se vende para a UE a partir de fora, preparamos também a articulação com importadores e a decisão sobre nomear um mandatário, e as respostas aos questionários de segurança dos clientes europeus.

Perguntas frequentes

Fontes e nota legal

• Regulamento (UE) 2024/2847 (Cyber Resilience Act), EUR-Lex
• Comissão Europeia, resumo do Cyber Resilience Act
• Comissão Europeia, obrigações de notificação do CRA
• Comissão Europeia, orientações de aplicação do CRA (27 de julho de 2026)
• ENISA, ficha informativa da plataforma única de notificação do CRA
• Regulamento Delegado (UE) 2026/881 (adiamento da difusão de notificações), EUR-Lex
• Regulamento de Execução (UE) 2025/2392 (descrições técnicas das categorias de produtos), nota da Snellman
• cyberresilienceact.eu, ponto de situação e calendário