Conformidade com a Lei de Resiliência Cibernética (CRA) da UE: um guia abrangente

Produtos conectados estão se tornando parte de quase todas as categorias de produtos de consumo e industriais. Eletrodomésticos inteligentes, câmeras de segurança, dispositivos vestíveis, equipamentos de rede, aplicativos móveis, software embarcado e produtos conectados à nuvem podem criar riscos de segurança cibernética se não forem projetados, mantidos e atualizados de forma segura.

A União Europeia respondeu com Lei de Resiliência Cibernética, formalmente conhecido como Regulamento (UE) 2024/2847.

A Lei de Resiliência Cibernética (CRA) introduz requisitos obrigatórios de cibersegurança para produtos de hardware e software colocados no mercado da União Europeia. Ela transforma a cibersegurança de uma prática técnica em grande parte voluntária em uma obrigação formal de conformidade do produto.

Os fabricantes devem avaliar os riscos de cibersegurança, incorporar a segurança ao produto, documentar sua conformidade, gerenciar vulnerabilidades, fornecer atualizações de segurança e, quando necessário, relatar vulnerabilidades exploradas ativamente e incidentes de segurança graves.

Para muitos produtos, a conformidade com a CRA também fará parte do processo de marcação CE.

O que é a Lei de Ciber-Resiliência da UE?

A Lei de Resiliência Cibernética é um regulamento horizontal da UE sobre cibersegurança de produtos. Ela se aplica amplamente a produtos de hardware e software com elementos digitais disponibilizados no mercado da União Europeia.

Seu objetivo é garantir que os produtos sejam desenvolvidos com segurança e permaneçam seguros durante todo o período de uso previsto. Visa também fornecer aos usuários informações mais claras sobre a segurança do produto, as atualizações disponíveis e a duração do suporte de cibersegurança.

A CRA aborda dois problemas recorrentes no mercado de produtos digitais:

1. Muitas vezes, os produtos são colocados no mercado com medidas de segurança cibernética inadequadas ou com vulnerabilidades conhecidas.
2. Os fabricantes podem fornecer atualizações de segurança, informações sobre vulnerabilidades ou suporte pós-comercialização insuficientes após a venda de um produto.

De acordo com a Lei de Reinvestimento Comunitário (CRA), os fabricantes devem considerar a cibersegurança durante o planejamento, projeto, desenvolvimento, produção, entrega e manutenção de um produto. Portanto, a cibersegurança não se limita mais a um teste de penetração final ou a uma revisão pré-lançamento. Ela deve ser integrada ao ciclo de vida do produto.

Mais informações estão disponíveis em Resumo da Lei de Ciber-Resiliência da Comissão Europeia.

Quando se aplica a Lei de Resiliência Cibernética?

A Lei de Reinvestimento Comunitário (CRA) entrou em vigor em 10 de dezembro de 2024, mas seus requisitos se aplicam em etapas.

• 11 de junho de 2026: Entram em vigor as disposições relativas à notificação dos organismos de avaliação da conformidade.
• 11 de setembro de 2026: Passam a ser aplicáveis ​​as obrigações de comunicação relativas a vulnerabilidades ativamente exploradas e a incidentes de segurança graves.
• 11 de dezembro de 2027: A maioria dos requisitos restantes da CRA passa a ser totalmente aplicável.

Os produtos colocados no mercado da UE antes de 11 de dezembro de 2027 estão geralmente sujeitos aos principais requisitos da CRA apenas se sofrerem uma modificação substancial após essa data. No entanto, as obrigações de comunicação aplicáveis ​​a partir de 11 de setembro de 2026 também podem afetar produtos que já estavam disponíveis no mercado da UE.

Os fabricantes não devem esperar até dezembro de 2027 para começar a se preparar. Estabelecer um processo de desenvolvimento seguro, produzir uma lista de materiais de software, concluir testes de segurança cibernética e implementar procedimentos de relatório de vulnerabilidades pode levar um tempo considerável.

Quais produtos são cobertos pela CRA?

A CRA geralmente se aplica a um produto com elementos digitais cuja finalidade ou uso razoavelmente previsível inclui uma conexão de dados lógica ou física, direta ou indireta, a um dispositivo ou rede.

Um produto com elementos digitais pode incluir:

• Um produto de hardware
• Um produto de software
• Componentes de hardware ou software vendidos separadamente
• Firmware incorporado
• Soluções de processamento remoto de dados necessárias para que o produto execute uma de suas funções.

O processamento remoto de dados pode incluir um serviço em nuvem controlado pelo fabricante, cuja ausência impediria o produto de executar uma de suas funções pretendidas.

Exemplos de produtos potencialmente cobertos

Dependendo de suas funções e da forma como são fornecidos, os produtos abrangidos pela CRA podem incluir:

• Dispositivos da Internet das Coisas
• Produtos para casas inteligentes
• eletrodomésticos conectados
• Câmeras de segurança inteligentes e sistemas de alarme
• Fechaduras inteligentes
• Brinquedos conectados
• Dispositivos vestíveis
• Roteadores, modems e switches de rede
• Computadores, smartphones e tablets
• Dispositivos de armazenamento externo
• Produtos de interface de rede
• Produtos de controle industrial
• Sensores conectados
• Sistemas de controle de acesso
• Sistemas operacionais
• Aplicativos para dispositivos móveis e computadores
• Gerenciadores de senhas
• Software de rede privada virtual
• Firewalls
• Software antivírus e de detecção de malware
• Software e firmware embarcados
• Bibliotecas de software e componentes de software comerciais
• Jogos de vídeo e outros softwares independentes

A definição é propositalmente ampla. Um produto não precisa necessariamente se conectar diretamente à internet. Uma conexão indireta com outro dispositivo ou rede pode ser suficiente.

Por exemplo, um produto com Bluetooth que se conecta a um aplicativo de smartphone pode estar sujeito à Lei de Direitos do Consumidor (CRA, na sigla em inglês), mesmo que o próprio produto não se conecte diretamente à internet.

A Lei de Direitos do Consumidor (CRA) se aplica a softwares independentes?

Sim. O software independente disponibilizado no mercado da UE pode estar abrangido pelo âmbito da Lei dos Direitos do Consumidor.

Isso pode incluir:

• Aplicativos móveis
• Aplicativos de desktop
• Sistemas operacionais
• Software de segurança
• Bibliotecas de software comercial
• Software de gerenciamento de dispositivos
• Ferramentas de gerenciamento de rede
• Software vendido através de plataformas de download
• Software fornecido sem um produto físico separado.

A abrangência da proteção depende de como o software é fornecido, se é disponibilizado como parte de uma atividade comercial e se uma exclusão específica se aplica.

O software fornecido integralmente como serviço pode exigir uma avaliação mais detalhada. A CRA geralmente não regula todos os contratos de software como serviço, mas a funcionalidade de processamento remoto de dados necessária para que um produto abrangido execute uma de suas funções pode fazer parte do produto com elementos digitais.

Quais produtos estão excluídos?

Determinadas categorias de produtos são excluídas ou regulamentadas por outras legislações setoriais específicas da UE.

Dependendo das circunstâncias, podem aplicar-se exclusões a produtos abrangidos pela legislação que regulamenta:

• Dispositivos médicos
• dispositivos médicos para diagnóstico in vitro
• Aviação civil
• veículos motorizados
• Certos equipamentos marítimos
• Produtos desenvolvidos exclusivamente para fins de segurança nacional ou defesa.
• Determinados softwares livres e de código aberto fornecidos fora de uma atividade comercial

O tratamento de software de código aberto requer cuidados especiais. O software disponibilizado fora de uma atividade comercial pode ser excluído, enquanto produtos de código aberto fornecidos comercialmente e certos administradores de software de código aberto podem ter obrigações de acordo com a Lei de Reinvestimento Comunitário (CRA).

Um produto não deve ser considerado excluído simplesmente por estar sujeito a outra legislação da UE. Os fabricantes devem verificar se a outra legislação abrange especificamente os requisitos de cibersegurança relevantes e se a Lei de Redução do Consumidor (CRA) prevê uma exclusão total ou parcial.

Quem é o fabricante de acordo com a Lei de Reinvestimento Comunitário (CRA)?

O fabricante é a pessoa física ou jurídica que desenvolve, fabrica ou possui um produto com elementos digitais projetados, desenvolvidos ou fabricados, e comercializa esse produto sob seu próprio nome ou marca registrada.

Uma empresa pode, portanto, ser considerada a fabricante mesmo quando:

• O produto físico é fabricado por uma fábrica terceirizada.
• O software foi desenvolvido por uma empresa terceirizada.
• O firmware é fornecido por outra empresa.
• A empresa importa um produto acabado e o vende sob sua própria marca.
• O trabalho de desenvolvimento é terceirizado para engenheiros de software ou fornecedores de serviços técnicos.

A terceirização do desenvolvimento não exime o fabricante de sua responsabilidade legal.

A empresa que coloca o produto no mercado sob seu nome ou marca registrada deve garantir que o produto completo, incluindo componentes de software e hardware de terceiros, atenda aos requisitos da CRA.

Quais são as principais obrigações do fabricante perante a CRA?

Os fabricantes são os principais responsáveis ​​pelo cumprimento das normas.

Antes de colocar um produto com elementos digitais no mercado da UE, o fabricante deve, em geral:

1. Determine se o produto se enquadra no âmbito da CRA (Lei de Reinvestimento Comunitário).
2. Determine se o produto é um produto padrão, importante ou crítico.
3. Realize uma avaliação de riscos de cibersegurança.
4. Projetar, desenvolver e produzir o produto de acordo com os requisitos essenciais de cibersegurança.
5. Ao integrar componentes de terceiros, aja com a devida diligência.
6. Estabelecer processos de tratamento de vulnerabilidades.
7. Determine e documente o período de suporte do produto.
8. Prepare a documentação técnica necessária.
9. Realizar a avaliação de conformidade apropriada.
10. Prepare e assine a Declaração de Conformidade da UE.
11. Afixe a marcação CE.
12. Forneça as informações necessárias sobre o produto e as instruções de segurança.
13. Monitorar vulnerabilidades e incidentes após o produto ser lançado no mercado.
14. Fornecer atualizações de segurança durante o período de suporte.
15. Adote medidas corretivas quando um produto não estiver em conformidade ou apresentar um risco de segurança cibernética.
16. Cumpra os prazos aplicáveis ​​para relatórios de vulnerabilidades e incidentes.

O fabricante deve ser capaz de demonstrar a conformidade por meio de registros, procedimentos e evidências técnicas. Uma declaração genérica de que um produto é seguro não será suficiente.

Requisitos essenciais de cibersegurança

O Anexo I da CRA contém os requisitos essenciais de cibersegurança.

Esses requisitos estão divididos em duas áreas principais:

• Propriedades de cibersegurança do produto
• Requisitos de tratamento de vulnerabilidades

Segurança desde a concepção e por padrão

Os produtos devem ser projetados, desenvolvidos e produzidos de forma a garantir um nível adequado de cibersegurança com base nos seus riscos.

Dependendo do produto, isso pode exigir medidas que abordem:

• Configurações padrão seguras
• Autenticação
• Controle de acesso
• Confidencialidade
• Criptografia
• Integridade dos dados
• Disponibilidade do serviço e do sistema
• Proteção contra acesso não autorizado
• Proteção contra manipulação
• Redução da superfície de ataque
• Limitação das interfaces expostas
• Comunicação segura
• Resiliência contra ataques de negação de serviço
• Registro e monitoramento de segurança
• Exclusão segura de dados
• Redução do processamento de dados desnecessário
• Proteção contra técnicas de ataque conhecidas
• Mecanismos de atualização seguros
• Recuperação de incidentes de segurança

Os controles adequados dependem do produto, de seu uso pretendido, do uso indevido razoavelmente previsível, do ambiente operacional e das potenciais consequências de um ataque cibernético bem-sucedido.

Nenhuma vulnerabilidade explorável conhecida

Um produto não deve ser colocado no mercado com vulnerabilidades exploráveis ​​conhecidas.

Isso exige mais do que realizar um teste único imediatamente antes do lançamento. Os fabricantes precisam de um processo para identificar, avaliar, priorizar e resolver vulnerabilidades que afetam:

• Software proprietário
• Firmware
• Sistemas operacionais
• Bibliotecas de código aberto
• Componentes de software de terceiros
• Protocolos de comunicação
• Componentes de hardware
• Dependências da nuvem
• Aplicativos móveis
• interfaces de programação de aplicativos

Atualizações seguras

Quando forem necessárias atualizações de segurança, os fabricantes devem disponibilizá-las sem demora e, geralmente, gratuitamente durante o período de suporte.

Para muitos produtos, as atualizações de segurança devem ser instaladas automaticamente por padrão, sempre que tecnicamente viável. Os usuários devem, em geral, poder adiar ou desativar a instalação automática por meio de um mecanismo claro e acessível.

As atualizações de segurança devem, sempre que possível, ser separadas das atualizações de funcionalidades. Isso ajuda a evitar que os usuários sejam forçados a aceitar alterações funcionais irrelevantes apenas para receber uma correção de segurança essencial.

Avaliação de riscos de cibersegurança

A avaliação de risco de cibersegurança é um dos documentos centrais da CRA (Avaliação de Risco Cibernético).

Não deve ser uma lista de verificação genérica de segurança de TI. Ela deve ser específica para o produto, seus componentes, uso pretendido, uso previsível, usuários, dados, conectividade e ambiente operacional.

O que a avaliação de riscos deve abranger

Uma avaliação de risco adequada pode considerar:

• Arquitetura do produto
• Componentes de hardware e software
• Tecnologias de comunicação
• Interfaces de rede
• Serviços em nuvem
• Aplicativos móveis
• Funções e privilégios do usuário
• Métodos de autenticação
• Dados processados ​​ou armazenados
• Criptografia e gerenciamento de chaves
• Mecanismos de atualização
• Dependências de terceiros
• Agentes de ameaça em potencial
• Vetores de ataque
• Pontos fracos conhecidos
• Uso indevido previsível
• Consequências do compromisso
• Controles de segurança existentes
• Riscos residuais
• Testes obrigatórios
• Medidas de gestão de vulnerabilidades
• Monitoramento pós-mercado

Quando a avaliação de risco deve ser atualizada

A avaliação deve orientar o projeto e o desenvolvimento do produto. Ela também deve ser revisada quando ocorrerem mudanças significativas, como:

• Uma grande atualização de software
• Uma nova função de produto
• Uma mudança na arquitetura do produto.
• A integração de um novo componente de terceiros
• Uma nova e significativa ameaça
• Descoberta de uma vulnerabilidade ativamente explorada
• Uma alteração no uso pretendido do produto.
• Uma mudança substancial na infraestrutura de nuvem ou de rede.

A avaliação de riscos faz parte da documentação técnica e pode ser solicitada pelas autoridades de fiscalização do mercado.

Lista de Materiais de Software

UM Lista de Materiais de Software, Comumente chamado de SBOM, é um inventário estruturado dos componentes de software contidos em um produto.

Informações normalmente incluídas em um SBOM

Um SBOM pode identificar:

• Módulos de software proprietários
• Bibliotecas de código aberto
• Dependências de terceiros
• Componentes de firmware
• Nomes dos componentes
• Versões dos componentes
• Fornecedores
• Licenças
• Relações de dependência
• Referências de vulnerabilidades conhecidas
• Identificadores de pacotes

O SBOM ajuda o fabricante a determinar se seus produtos são afetados quando uma vulnerabilidade é descoberta em um componente de terceiros.

Por que o SBOM deve ser mantido

Por exemplo, se for descoberta uma vulnerabilidade crítica em uma biblioteca de software amplamente utilizada, o fabricante deve ser capaz de identificá-la rapidamente:

• Quais produtos utilizam a biblioteca afetada?
• Quais versões do produto são afetadas?
• Se a função vulnerável é acessível ou explorável.
• Se é necessária uma atualização corretiva
• Quais clientes ou autoridades devem ser informados
• Se as obrigações de reporte da CRA forem acionadas.

Um SBOM (Sistema de Manufatura de Software) não é útil se for criado apenas uma vez e nunca atualizado. Os fabricantes precisam de controle de versão e de um processo para mantê-lo atualizado conforme o software evolui.

Requisitos de tratamento de vulnerabilidades

A conformidade com a CRA continua mesmo após o produto ter sido colocado no mercado.

Os fabricantes devem estabelecer processos para:

• Identificar vulnerabilidades
• Receba relatórios de vulnerabilidade
• Vulnerabilidades do documento
• Avalie a sua gravidade e possibilidade de exploração.
• Monitorar vulnerabilidades que afetam componentes de terceiros.
• Testar e avaliar a segurança do produto
• Corrigir vulnerabilidades sem demora
• Distribua atualizações de segurança com segurança.
• Informar os usuários sobre as correções disponíveis.
• Divulgar publicamente informações sobre vulnerabilidades corrigidas, quando necessário.
• Mantenha a confidencialidade das informações sobre vulnerabilidades até que uma correção esteja disponível.
• Manter uma política coordenada de divulgação de vulnerabilidades

Divulgação Coordenada de Vulnerabilidades

Os fabricantes devem publicar um método claro e ativamente monitorado por meio do qual pesquisadores de segurança, clientes e outras partes possam relatar vulnerabilidades.

O processo deve identificar:

• O contato para denúncia
• As informações que os repórteres devem fornecer
• O processo de reconhecimento do fabricante
• Tempos de resposta esperados
• Expectativas de confidencialidade
• Como o fabricante coordena a divulgação
• Como serão tratados os pesquisadores de segurança
• Como as correções e os avisos serão publicados

Obrigações de declaração à CRA a partir de setembro de 2026

As obrigações de comunicação previstas no artigo 14.º aplicam-se a partir de 11 de setembro de 2026.

Os fabricantes devem reportar determinadas vulnerabilidades ativamente exploradas e incidentes graves através da Plataforma Única de Reporte de Incidentes Críticos (CRA, na sigla em inglês), mantida pela Agência da União Europeia para a Cibersegurança (ENISA).

Prazos de entrega de relatórios

O processo de reporte geralmente inclui:

• Um aviso prévio de 24 horas
• Uma notificação mais detalhada dentro de 72 horas.
• Um relatório final dentro do prazo legal aplicável.

Vulnerabilidades ativamente exploradas

Para uma vulnerabilidade que esteja sendo explorada ativamente, o relatório final geralmente é exigido em até 14 dias após a disponibilização de uma medida corretiva ou mitigadora.

Incidentes de segurança graves

Em casos de incidentes de segurança graves, o relatório final geralmente é exigido dentro de um mês após a notificação de 72 horas.

O prazo para notificação começa a contar a partir do momento em que o fabricante toma conhecimento da vulnerabilidade ou incidente em questão. Portanto, os fabricantes precisam de procedimentos internos de escalonamento que permitam que as informações cheguem rapidamente aos responsáveis ​​pela conformidade e segurança.

Uma vulnerabilidade descoberta por uma equipe de suporte ao cliente, pesquisador externo, distribuidor, fornecedor de software ou escritório de desenvolvimento no exterior pode desencadear o mesmo processo legal de notificação que uma vulnerabilidade descoberta pela equipe central de segurança cibernética do fabricante.

O que é uma vulnerabilidade que está sendo explorada ativamente?

Uma vulnerabilidade ativamente explorada não é meramente uma fraqueza teórica ou qualquer entrada em um banco de dados de vulnerabilidades.

Na prática, o fabricante deve avaliar se existem evidências confiáveis ​​de que um agente malicioso explorou a vulnerabilidade em um sistema sem a permissão do proprietário do sistema.

Essa distinção é importante porque a obrigação de reporte da CRA está ligada à exploração ativa, e não simplesmente à existência de toda e qualquer vulnerabilidade potencial.

No entanto, como parte de suas obrigações gerais de tratamento de vulnerabilidades, os fabricantes ainda devem identificar, avaliar e corrigir vulnerabilidades que não são exploradas ativamente.

Período de suporte e atualizações de segurança

Os fabricantes devem determinar um período de suporte durante o qual as vulnerabilidades serão tratadas e as atualizações de segurança serão fornecidas.

Fatores que afetam o período de apoio

O período de apoio deve levar em consideração fatores como:

• O período de utilização previsto
• A natureza e a finalidade do produto
• Expectativas razoáveis ​​do usuário
• O ambiente operacional
• A duração durante a qual produtos similares são normalmente suportados.
• A disponibilidade de peças de reposição ou serviços relacionados.
• Os riscos de cibersegurança associados à descontinuação do suporte.

A data de término do período de suporte, incluindo o mês e o ano, deve ser comunicada claramente aos usuários no momento da compra.

Os fabricantes devem evitar tratar o período de suporte como uma mera declaração de marketing sem fundamento operacional. Devem possuir a capacidade técnica e organizacional para monitorar vulnerabilidades, desenvolver atualizações e distribuí-las durante todo o período declarado.

Acordos de longo prazo com fornecedores

Isso pode exigir acordos de longo prazo com:

• Desenvolvedores de software
• Fornecedores de firmware
• provedores de nuvem
• Fabricantes de componentes
• Desenvolvedores de aplicativos móveis
• serviços de monitoramento de cibersegurança
• Laboratórios de teste
• Provedores de hospedagem e infraestrutura

Informações sobre o produto e instruções de utilização

Os produtos abrangidos pela CRA devem ser acompanhados de informações e instruções claras.

Dependendo do produto, as informações podem precisar incluir:

• Nome legal do fabricante
• Nome comercial ou marca registrada
• Endereço postal
• Endereço de e-mail ou outro contato digital
• Tipo de produto, lote, número de série ou outro identificador
• Propósito pretendido
• Funções essenciais do produto
• Propriedades de cibersegurança
• Instruções de instalação seguras
• Instruções de configuração segura
• Instruções para operação segura
• Informações sobre atualizações de segurança relevantes
• Instruções para instalar atualizações
• Informações sobre atualizações automáticas
• Instruções para desativar as atualizações automáticas, quando aplicável.
• data de término do período de suporte
• Contato para denúncia de vulnerabilidades
• Informações coordenadas sobre divulgação de vulnerabilidades
• Instruções para remover dados do usuário com segurança
• Avisos ou limitações relevantes de cibersegurança

As instruções devem ser claras, compreensíveis, inteligíveis e legíveis. Devem ser fornecidas num idioma que os utilizadores e as autoridades competentes possam entender facilmente no Estado-Membro onde o produto é comercializado.

Documentação técnica

Os fabricantes devem preparar a documentação técnica antes de colocar um produto abrangido pela regulamentação no mercado.

O dossiê técnico deve demonstrar como o produto está em conformidade com a CRA e normalmente deve incluir:

• Descrição geral do produto
• Identificação do produto
• Propósito pretendido
• Usuários pretendidos
• Versões do produto
• Arquitetura de hardware
• Arquitetura de software
• Versões de firmware e software
• Interfaces de comunicação
• Arquitetura de rede
• Dependências remotas de processamento de dados
• Informações sobre projeto e desenvolvimento
• Avaliação de risco de cibersegurança
• Avaliação de requisitos essenciais
• Normas aplicadas ou especificações técnicas
• Descrições de controle de segurança
• Planos de teste e relatórios de teste
• Avaliações de vulnerabilidade
• Relatórios de testes de penetração, quando relevantes.
• Lista de Materiais de Software
• Registros de desenvolvimento seguro
• Procedimentos de atualização e gerenciamento de patches
• Procedimento de tratamento de vulnerabilidades
• Política coordenada de divulgação de vulnerabilidades
• Justificativa do período de apoio
• Rótulos de produtos
• Instruções de utilização
• Registros de avaliação da conformidade
• Declaração de Conformidade da UE
• Detalhes do organismo notificado, quando aplicável.

A documentação deve ser suficientemente específica para permitir que as autoridades avaliem a conformidade do produto.

Uma coleção de certificados sem uma ligação clara com o produto, os riscos e os requisitos das agências de pesquisa de mercado geralmente não constitui um dossiê técnico adequado.

Classificação de Produtos ao abrigo da CRA

A agência de avaliação da conformidade utiliza diferentes métodos de avaliação da conformidade, dependendo do tipo e do perfil de risco do produto.

Os produtos geralmente se enquadram em um dos seguintes grupos:

• Produtos padrão
• Produtos importantes, Classe I
• Produtos importantes, Classe II
• Produtos críticos

A classificação depende de o produto possuir ou não a funcionalidade principal de uma categoria listada no Anexo III ou no Anexo IV.

Produtos padrão

Produtos que não são classificados como importantes ou críticos geralmente seguem o caminho padrão.

Os fabricantes desses produtos normalmente podem usar o controle interno, também conhecido como Módulo A, para avaliar a conformidade.

Isso não significa que nenhuma avaliação ou teste seja necessário. O fabricante ainda deve:

• Conclua a avaliação de risco de cibersegurança.
• Atenda aos requisitos essenciais de cibersegurança.
• Preparar documentação técnica
• Obtenha evidências técnicas adequadas.
• Realizar os testes necessários
• Estabelecer procedimentos de gestão de vulnerabilidades
• Prepare a Declaração de Conformidade da UE.
• Afixe a marcação CE.

A autoavaliação significa que o fabricante assume a responsabilidade pela avaliação da conformidade. Isso não elimina as obrigações técnicas subjacentes.

Produtos importantes, Classe I

A Classe I inclui produtos específicos com funções significativas de cibersegurança ou cuja violação possa criar riscos de segurança mais amplos.

Dependendo de sua funcionalidade principal, os exemplos podem incluir certos:

• Sistemas de gerenciamento de identidade
• Produtos de gerenciamento de acesso privilegiado
• Navegadores
• Gerenciadores de senhas
• Produtos antivírus
• Produtos de rede privada virtual
• Sistemas de gerenciamento de rede
• Sistemas de gerenciamento de informações e eventos de segurança
• Gerenciadores de inicialização
• Produtos de infraestrutura de chave pública
• Sistemas operacionais
• Roteadores, modems e switches
• Produtos para casas inteligentes com funções de segurança
• Microprocessadores e microcontroladores com funcionalidades relacionadas à segurança

Para produtos de Classe I, o controle interno pode permanecer possível quando o fabricante aplica integralmente as normas harmonizadas relevantes, as especificações comuns ou um esquema de certificação de cibersegurança europeu aplicável.

Nos casos em que essas vias não estejam disponíveis ou não sejam totalmente aplicadas, poderá ser necessária uma avaliação de conformidade por terceiros através de um organismo notificado.

Produtos importantes, Classe II

A Classe II abrange produtos importantes de maior risco.

Dependendo de sua funcionalidade principal, os exemplos podem incluir certos:

• Hipervisores
• Sistemas de tempo de execução de contêineres
• Firewalls
• Sistemas de detecção de intrusão
• Sistemas de prevenção de intrusão
• Microprocessadores resistentes à adulteração
• Microcontroladores resistentes à adulteração

Os produtos de Classe II geralmente exigem uma avaliação de conformidade por terceiros, através de um organismo notificado ou de um esquema de certificação de cibersegurança europeu aplicável.

Produtos Críticos

Os produtos críticos estão listados separadamente no Anexo IV e estão sujeitos aos requisitos de avaliação de conformidade mais rigorosos.

Os fabricantes não devem classificar um produto com base apenas em seu nome comercial. A classificação depende da funcionalidade principal do produto e das descrições técnicas adotadas no âmbito da CRA (Acordo de Redução de Consumo).

Avaliação da Conformidade

Antes de colocar o produto no mercado, o fabricante deve concluir o procedimento de avaliação de conformidade apropriado.

Dependendo da classificação, as opções aplicáveis ​​podem incluir:

• Controle interno
• Exame de tipo UE seguido de conformidade com o tipo
• Garantia total de qualidade
• Avaliação por terceiros realizada por um organismo notificado
• Um esquema de certificação de cibersegurança europeu aplicável

A disponibilidade da autoavaliação depende da categoria do produto e, para certos produtos da Classe I, se as normas harmonizadas relevantes ou outras vias de conformidade reconhecidas foram totalmente aplicadas.

Os fabricantes devem determinar o método de avaliação da conformidade o quanto antes. Descobrir tardiamente, durante o desenvolvimento do produto, que é necessária a participação de um organismo notificado pode atrasar o acesso ao mercado.

Normas Harmonizadas

Espera-se que as normas europeias harmonizadas desempenhem um papel importante na conformidade com as CRA (Agências de Revisão Comunitária).

Quando uma norma harmonizada relevante é citada no Jornal Oficial da União Europeia e aplicada corretamente, pode gerar uma presunção de conformidade com os requisitos legais correspondentes.

Enquanto não existirem normas adequadas, os fabricantes ainda precisam demonstrar a conformidade por meio de métodos técnicos e evidências apropriadas.

Padrões e estruturas de cibersegurança existentes relevantes podem auxiliar na preparação, dependendo do produto. No entanto, o uso de um padrão reconhecido não comprova automaticamente a conformidade com todas as obrigações da CRA, a menos que ele possua o status legal necessário e abranja os requisitos pertinentes.

Documentando o uso de normas

Os fabricantes devem documentar:

• Qual norma ou especificação foi utilizada?
• Qual versão foi aplicada?
• Quais requisitos da CRA ele abrange?
• Se foi aplicado total ou parcialmente.
• Como foram atendidos os requisitos não cobertos
• Que testes ou avaliações foram realizados?

Declaração de Conformidade da UE

Após a comprovação da conformidade, o fabricante deve elaborar e assinar uma Declaração de Conformidade da UE.

A declaração confirma que o fabricante assume a responsabilidade pela conformidade do produto com os requisitos aplicáveis ​​da UE.

Deve incluir as informações exigidas pelo Anexo V, tais como:

• Nome e identificação do produto
• Nome e endereço do fabricante
• Declaração de responsabilidade
• Objeto da declaração
• Legislação da UE aplicável
• Normas ou especificações harmonizadas relevantes
• Informações do organismo notificado, quando aplicável.
• Informações adicionais sobre conformidade
• Local e data de emissão
• Nome, cargo e assinatura da pessoa autorizada

Quando várias leis da UE se aplicam ao mesmo produto, o fabricante normalmente pode preparar uma única Declaração de Conformidade da UE que abranja toda a legislação aplicável.

Por exemplo, um dispositivo sem fio conectado também pode estar sujeito à Diretiva de Equipamentos de Rádio, à Diretiva RoHS, aos requisitos de compatibilidade eletromagnética e a outras legislações específicas do produto.

Obrigações do Importador

Um importador da UE que coloca no mercado da União um produto de um fabricante não pertencente à UE deve verificar se o fabricante cumpriu as obrigações aplicáveis ​​da CRA (Agência de Revisão de Concorrência).

Entre outras coisas, o importador deve verificar se:

• A avaliação de conformidade apropriada foi concluída.
• A documentação técnica foi preparada.
• A Declaração de Conformidade da UE está disponível.
• O produto possui a marcação CE.
• A identificação do produto está presente.
• São fornecidas informações do fabricante.
• As instruções necessárias acompanham o produto.
• O período de suporte é indicado.
• Os processos de tratamento de vulnerabilidades estão implementados.

Caso o importador acredite que o produto não esteja em conformidade ou apresente um risco significativo de segurança cibernética, não deverá colocá-lo no mercado até que o problema seja resolvido.

Os importadores também devem cooperar com as autoridades e podem ter obrigações quando tomarem conhecimento de vulnerabilidades que afetem o produto.

Obrigações do Distribuidor

Os distribuidores devem agir com a devida cautela ao disponibilizar produtos no mercado da UE.

Eles devem verificar os elementos formais de conformidade relevantes, incluindo:

• Identificação do produto
• Detalhes do fabricante e do importador
• Informações obrigatórias do usuário
• Instruções de segurança
• Informações sobre o período de suporte

Um distribuidor não deve continuar fornecendo um produto que tenha motivos para acreditar que não esteja em conformidade. Ele também pode precisar informar o fabricante ou importador e cooperar com as autoridades de fiscalização do mercado.

Representante autorizado da UE

Um fabricante estabelecido fora da União Europeia pode nomear um Representante autorizado da UE por meio de um mandato escrito.

O Representante Autorizado pode executar tarefas regulamentares específicas em nome do fabricante, tais como:

• Manter disponível a Declaração de Conformidade da UE
• Manter a documentação técnica disponível para as autoridades.
• Responder a solicitações de autoridade fundamentadas
• Fornecer informações sobre conformidade
• Cooperação com as autoridades de fiscalização do mercado
• Apoio à rastreabilidade e comunicação regulatória
• Informar o fabricante sobre as investigações das autoridades.

No entanto, a nomeação de um Representante Autorizado não transfere a responsabilidade principal do fabricante pelo produto.

Responsabilidades que permanecem com o fabricante

O fabricante continua responsável por:

• Design e desenvolvimento de produtos seguros
• Avaliação de risco de cibersegurança
• Conformidade com os requisitos essenciais
• Documentação técnica
• Avaliação da conformidade
• Gestão de vulnerabilidades
• Atualizações de segurança
• Relatório de incidentes
• Ação corretiva
• Conformidade contínua do produto

Modificações substanciais

Uma pessoa que realiza uma modificação substancial em um produto e, em seguida, disponibiliza esse produto no mercado pode assumir as responsabilidades do fabricante.

Uma modificação pode ser considerada substancial quando afeta a conformidade do produto com os requisitos essenciais de cibersegurança ou altera sua finalidade original.

Exemplos de modificações potencialmente substanciais

• Adicionando funcionalidades conectadas importantes
• Arquitetura de autenticação em mudança
• Substituindo o sistema operacional
• Apresentando uma nova plataforma em nuvem
• Adicionando funcionalidade de controle remoto
• Habilitando novas interfaces de rede
• Implementar mudanças significativas em softwares críticos para a segurança.
• Alterar o grupo de usuários pretendido ou o ambiente operacional

Atualizações de segurança de rotina que restauram ou mantêm a conformidade não devem ser automaticamente tratadas como modificações substanciais. No entanto, fabricantes e operadores da cadeia de suprimentos devem documentar alterações significativas no produto e avaliar seu impacto regulatório.

Monitoramento pós-mercado e ações corretivas

A conformidade com a CRA é uma obrigação contínua.

Após colocar o produto no mercado, o fabricante deve continuar monitorando as informações relevantes de segurança cibernética.

Fontes potenciais de monitoramento

As fontes podem incluir:

• Testes de segurança interna
• Reclamações de clientes
• Relatórios de vulnerabilidade
• Pesquisadores de segurança
• Fornecedores de componentes
• Avisos de segurança de código aberto
• Bancos de dados de vulnerabilidades
• Serviços de inteligência de ameaças
• Importadores e distribuidores
• autoridades de fiscalização de mercado
• Equipes de Resposta a Incidentes de Segurança Cibernética
• Comunicações ENISA

Possíveis medidas corretivas

Caso um produto seja considerado não conforme ou apresente um risco de segurança cibernética, o fabricante poderá precisar:

• Corrija o produto
• Disponibilize uma atualização de segurança.
• Forneça uma solução alternativa.
• Notificar os usuários afetados
• Informar importadores e distribuidores
• Notificar as autoridades competentes
• Restringir a disponibilidade do produto
• Retire o produto
• Recolha o produto

A resposta deve ser proporcional ao risco, mas a inação não é uma estratégia de conformidade aceitável.

Retenção de registros

Os fabricantes devem conservar a documentação técnica exigida e a Declaração de Conformidade da UE durante o período aplicável ao abrigo do CRA.

Um bom sistema de preservação de gravações deve manter:

• Versões do produto
• Versões de software
• versões SBOM
• Versões de avaliação de risco
• Relatórios de teste
• decisões de vulnerabilidade
• Avisos de segurança
• Registros de ações corretivas
• Atualizar históricos
• Relatórios de incidentes
• Comunicações da autoridade
• Declarações de Conformidade

O controle de versões é particularmente importante. As autoridades podem precisar determinar qual software, componentes e evidências de conformidade se aplicavam a uma versão específica do produto em um determinado momento.

Penalidades por descumprimento

A Lei de Reinvestimento Comunitário (CRA) prevê multas administrativas substanciais.

Dependendo da infração, as penalidades podem chegar a:

• Até €15 milhões, ou 2,5% do faturamento anual mundial total., a que for mais alta, para certas infrações graves.
• Até €10 milhões ou 2% do faturamento anual mundial, o valor mais alto, para outras obrigações.
• Até €5 milhões ou 1% do faturamento anual mundial, a penalidade mais alta, por fornecer informações incorretas, incompletas ou enganosas aos organismos notificados ou às autoridades de fiscalização do mercado.

As autoridades também podem ordenar medidas corretivas, restringir ou proibir a venda de produtos, exigir a retirada do produto do mercado ou ordenar o seu recolhimento.

As consequências comerciais podem, portanto, ir além da própria multa. O incumprimento pode afetar o acesso a distribuidores da UE, mercados online, retalhistas, clientes, programas de aquisição e cobertura de seguros.

Um roteiro prático para conformidade com a CRA

Etapa 1: Confirme o escopo do produto

Determine se o produto possui elementos digitais e se alguma exclusão se aplica.

Documento:

• O produto
• Software e firmware
• Conectividade
• Funções de processamento remoto de dados
• Propósito pretendido
• Modelo de fornecimento comercial
• Exclusões aplicáveis

Etapa 2: Classificar o produto

Determine se o produto é:

• Um produto padrão
• Classe I importante
• Classe II Importante
• Crítico

A classificação determina o procedimento de avaliação da conformidade.

Etapa 3: Mapear a cadeia de suprimentos e as responsabilidades

Identificar:

• Fabricante legal
• Desenvolvedores de software
• Fabricantes de hardware
• Fornecedores de componentes
• provedores de nuvem
• importador da UE
• Distribuidores
• Representante autorizado da UE
• fornecedores de testes
• Organismo notificado, quando necessário

As responsabilidades contratuais devem estar alinhadas com as obrigações legais do fabricante.

Etapa 4: Realizar a Avaliação de Riscos de Segurança Cibernética

Identificar ameaças à cibersegurança, vulnerabilidades, possíveis impactos e controles necessários.

A avaliação deve abranger todo o produto, incluindo componentes externos e dependências da nuvem.

Etapa 5: Mapear os Requisitos Essenciais

Crie uma matriz de conformidade que relacione cada requisito aplicável da CRA a:

• Controle de produto
• Especificação de projeto
• Procedimento
• Resultado do teste
• Documento técnico
• Pessoa responsável
• Ação excepcional

Etapa 6: Estabelecer o Ciclo de Vida de Desenvolvimento Seguro

Documente como a cibersegurança é gerenciada durante:

• Definição de requisitos
• Arquitetura
• Desenvolvimento
• Revisão de código
• Seleção de componentes
• Testando
• Liberar
• Manutenção
• Remediação de vulnerabilidades
• Fim da vida

Etapa 7: Preparar e manter o SBOM

Identificar todos os componentes de software relevantes e estabelecer um processo para monitorar as vulnerabilidades que os afetam.

Etapa 8: Concluir os testes técnicos

Dependendo do produto e dos riscos envolvidos, os testes podem incluir:

• Varredura de vulnerabilidades
• Teste de penetração
• Análise do código-fonte
• Análise de composição de software
• Teste de autenticação
• Análise de criptografia
• Teste de interface
• Teste do mecanismo de atualização
• Teste de fuzz
• Testes de segurança de rede
• Testes de resiliência
• Revisão de configuração segura

Os testes devem ser baseados na avaliação de riscos e no processo de conformidade.

Etapa 9: Estabelecer procedimentos de vulnerabilidade e incidentes

Preparar procedimentos para:

• Recebendo relatórios
• Triagem
• Avaliação da gravidade
• Escalada
• Remediação
• Divulgação
• Comunicação com o usuário
• Relatório ENISA
• Comunicação da autoridade
• Ação corretiva

Etapa 10: Determine o período de suporte

Defina e justifique por quanto tempo o fabricante fornecerá soluções para vulnerabilidades e atualizações de segurança.

Garantir que os fornecedores técnicos e os recursos de desenvolvimento permaneçam disponíveis durante esse período.

Etapa 11: Preparar as informações e a rotulagem para o usuário

Análise:

• Identificação do produto
• Informações do fabricante
• Informações do importador
• Marcação CE
• Instruções de segurança
• Instruções de atualização
• Contato de vulnerabilidade
• data de término do suporte
• Instruções para exclusão segura de dados

Etapa 12: Compilar a documentação técnica

Organize as evidências em um arquivo técnico estruturado de CRA (Avaliação de Risco Comunitário).

Etapa 13: Conclua a Avaliação de Conformidade

Utilize o controlo interno, um organismo notificado ou outra via permitida, de acordo com a classificação do produto.

Etapa 14: Assine a Declaração de Conformidade da UE

O fabricante deve assinar a declaração somente após a conclusão da avaliação aplicável e a comprovação da conformidade.

Etapa 15: Manter a conformidade pós-comercialização

Monitorar vulnerabilidades, fornecer atualizações, reportar eventos relevantes e atualizar a documentação quando o produto sofrer alterações.

Erros comuns de conformidade com a CRA

Tratar a CRA como uma certificação única.

A CRA exige o tratamento contínuo de vulnerabilidades, atualizações de segurança, monitoramento e ações corretivas.

Supondo que todos os produtos possam ser autodeclarados.

Produtos importantes de Classe II e produtos críticos geralmente exigem avaliação por terceiros. Produtos de Classe I também podem exigir a participação de um organismo notificado quando as especificações reconhecidas relevantes não forem totalmente aplicadas.

Confiar apenas em testes de penetração

Os testes de penetração podem fornecer evidências úteis, mas não substituem a avaliação de riscos, o processo de desenvolvimento seguro, os procedimentos de vulnerabilidade, a documentação técnica ou as obrigações de suporte.

Ignorando componentes de terceiros

O fabricante continua responsável por avaliar os riscos criados por bibliotecas integradas, firmware, chipsets, sistemas operacionais e serviços em nuvem.

Criando um SBOM sem monitorá-lo

Uma lista de componentes desatualizada não fornece um sistema eficaz de gerenciamento de vulnerabilidades.

Declarar um período de apoio irrealista

O fabricante deve ser capaz de fornecer atualizações de segurança e lidar com vulnerabilidades durante todo o período declarado.

Falha na integração das equipes técnicas com as equipes regulatórias

O prazo de 24 horas para relatar o problema exige comunicação interna rápida. As equipes de atendimento ao cliente, engenharia, jurídico, compliance e gestão devem compreender o fluxo de escalonamento.

Aguardar a harmonização das normas antes de agir.

Os fabricantes continuam responsáveis ​​pelo cumprimento das normas, mesmo com o desenvolvimento contínuo de padrões e orientações de apoio.

Como a EaseCert auxilia na conformidade com a CRA

A EaseCert fornece um Serviço de Representante Autorizado e Conformidade com a Lei de Ciber-Resiliência da UE Para fabricantes de produtos com elementos digitais.

O serviço foi concebido especialmente para fabricantes estabelecidos fora da União Europeia que necessitam de apoio no cumprimento das normas regulamentares e de um Representante Autorizado sediado na UE.

Serviços de Conformidade com a CRA da EaseCert

Nosso serviço inclui:

• Avaliação da aplicabilidade da CRA
• Revisão do escopo do produto e do software
• Análise da classificação do produto
• Revisão do processo de avaliação da conformidade
• Revisão da documentação técnica existente
• Revisão da documentação de cibersegurança
• Análise de lacunas de conformidade em cibersegurança
• Revisão do ciclo de vida de desenvolvimento de software seguro
• Revisão da identificação e rastreabilidade do produto
• Análise das informações sobre rótulos e marcação CE
• Revisão da documentação do usuário e das instruções de segurança.
• Revisão dos procedimentos de tratamento de vulnerabilidades
• Revisão dos procedimentos de atualização e manutenção de software
• Revisão da lista de materiais do software
• Revisão da documentação do período de apoio
• Revisão da Declaração de Conformidade da UE
• Relatório de conformidade por escrito e recomendações
• Mandato escrito do Representante Autorizado da UE
• Nomeação da EaseCert GmbH como Representante Autorizada da UE
• Conservação da Declaração de Conformidade da UE e da documentação técnica
• Contato regulatório com sede na UE
• Apoio em solicitações às autoridades de fiscalização de mercado
• Orientações regulamentares ao longo de todo o projeto

Quando forem necessários testes técnicos de cibersegurança, a EaseCert pode auxiliar na definição do escopo dos testes e na coordenação com um laboratório de cibersegurança qualificado ou um provedor técnico.

A EaseCert não realiza testes de penetração, análise de código-fonte ou testes de cibersegurança em laboratório e não atua como organismo notificado. O fabricante permanece responsável pela cibersegurança do produto, avaliação de conformidade, precisão técnica, tratamento de vulnerabilidades, atualizações, relatórios e conformidade contínua.

Função de Representante Autorizado da EaseCert na UE

Para produtos homologados fabricados fora da União Europeia, a EaseCert GmbH pode atuar como a Representante autorizado da UE.

Dentro do mandato acordado, a EaseCert pode:

• Mantenha a Declaração de Conformidade da UE disponível para as autoridades.
• Mantenha a documentação técnica necessária disponível.
• Responder a solicitações fundamentadas de informações sobre conformidade.
• Cooperar com as autoridades de fiscalização do mercado
• Apoiar verificações de rastreabilidade
• Apoiar as comunicações regulamentares
• Informe o fabricante sobre as investigações das autoridades competentes.

A nomeação entra em vigor após a conclusão da análise da documentação, a aceitação dos produtos pela EaseCert e a assinatura do mandato por escrito por ambas as partes.

Obtenha suporte para conformidade com a CRA e representação na UE.

Comece a se preparar para a CRA

A Lei de Resiliência Cibernética cria uma nova estrutura de conformidade para hardware conectado, software independente, software embarcado e componentes digitais.

Para os fabricantes, o maior desafio não é simplesmente preparar uma Declaração de Conformidade. A conformidade exige coordenação entre desenvolvimento de produto, cibersegurança, garantia da qualidade, assuntos regulatórios, suporte ao cliente, gestão da cadeia de suprimentos e alta administração.

Quatro perguntas que os fabricantes devem responder.

1. A Lei de Reinvestimento Comunitário (CRA) se aplica ao nosso produto?
2. Qual a classificação de produto e qual o método de avaliação da conformidade aplicáveis?
3. Temos evidências suficientes de segurança cibernética e documentação técnica adequada?
4. Podemos monitorar, atualizar e dar suporte ao produto durante todo o período de suporte declarado?

Os fabricantes estabelecidos fora da União Europeia também devem determinar se precisam de um Representante Autorizado na UE e como irão gerir os pedidos das autoridades de fiscalização do mercado da UE.

A EaseCert oferece suporte a fabricantes internacionais com análises de aplicabilidade da CRA (Avaliação de Risco Comunitário), avaliações de lacunas de conformidade, revisões de documentação técnica e serviços de Representante Autorizado na UE.

Consulte o Representante Autorizado e o Serviço de Conformidade da EaseCert para a Lei de Ciberresistência da UE.

Fontes oficiais e leituras adicionais

As seguintes fontes oficiais da União Europeia fornecem o texto legal, as orientações de implementação e as informações de apoio relativas à Lei de Ciber-Resiliência da UE:

• Regulamento (UE) 2024/2847, Lei de Ciber-Resiliência
  O texto oficial e juridicamente vinculativo da Lei de Ciber-Resiliência foi publicado no Jornal Oficial da União Europeia.
• Comissão Europeia: Lei de Ciber-Resiliência
  Página principal da Comissão Europeia sobre a política da Lei de Ciber-Resiliência, abordando o objetivo, o âmbito de aplicação, a implementação e os efeitos esperados.
• Comissão Europeia: Resumo do texto legislativo da Lei de Ciber-Resiliência
  Um resumo oficial dos requisitos da CRA, incluindo o escopo do produto, as obrigações do operador econômico, a avaliação da conformidade e as datas de implementação.
• Comissão Europeia: Perguntas frequentes sobre a implementação da Lei de Ciber-Resiliência
  Respostas oficiais a questões práticas relativas ao âmbito do produto, software, processamento remoto de dados, períodos de suporte, relatórios e implementação.
• Comissão Europeia: Implementação da Lei de Ciber-Resiliência
  Uma visão geral do processo de implementação da CRA, incluindo orientações, atividades de padronização e recursos para fabricantes e outras partes interessadas.
• ENISA: Plataforma Única de Notificação da Lei de Resiliência Cibernética
  Informações oficiais sobre a plataforma que os fabricantes usarão para relatar vulnerabilidades ativamente exploradas e incidentes graves de segurança a partir de 11 de setembro de 2026.
• ENISA: Mapeamento de Padrões de Requisitos da Lei de Resiliência Cibernética
  Um estudo da ENISA que mapeia as normas de cibersegurança existentes em relação aos requisitos da CRA e identifica áreas que necessitam de maior padronização.
• ENISA: Implementação da Lei de Resiliência Cibernética por meio do Sistema de Certificação de Segurança Cibernética da UE
  Um estudo oficial que examina como o Sistema Europeu de Certificação de Cibersegurança baseado em Critérios Comuns pode apoiar a avaliação da conformidade das Autoridades de Regulação Computacional (ARC).

Este artigo fornece informações regulamentares gerais e não constitui aconselhamento jurídico. O âmbito de aplicação, a classificação, a avaliação da conformidade e os requisitos de documentação do produto devem ser avaliados individualmente para cada produto.