A União Europeia está a mudar a forma como a cibersegurança é encarada. Com o Cyber Resilience Act (CRA), a segurança deixa de ser apenas uma preocupação das organizações e passa também a ser uma obrigação diretamente associada aos produtos digitais colocados no mercado europeu.

A nova legislação estabelece requisitos obrigatórios de cibersegurança para produtos com elementos digitais, abrangendo desde software e sistemas operativos a dispositivos IoT, equipamentos conectados e determinados componentes de infraestrutura.

O objetivo é simples: os produtos digitais devem ser concebidos, desenvolvidos e mantidos tendo a segurança em conta desde o início e durante todo o seu ciclo de vida.

O CRA é uma regulamentação europeia que estabelece requisitos de cibersegurança para produtos com elementos digitais comercializados na União Europeia.

A grande mudança está na responsabilidade atribuída aos fabricantes e programadores. Em vez de a segurança ser tratada apenas depois de um produto chegar ao mercado, passa a fazer parte do próprio processo de desenvolvimento.

A legislação estabelece regras para:

• Colocar produtos digitais no mercado europeu;
• Incorporar cibersegurança desde a fase de conceção;
• Gerir e fazer o tratamento de vulnerabilidades durante o ciclo de vida do produto;
• Corrigir falhas de segurança através de atualizações;
• Comunicar determinadas vulnerabilidades e incidentes;
• Garantir documentação técnica e avaliação de conformidade;
• Permitir a fiscalização dos produtos pelas autoridades.

O âmbito do CRA é bastante amplo. A regulamentação aplica-se a produtos com elementos digitais que tenham uma ligação direta ou indireta, física ou lógica, a outro dispositivo ou rede.

Entre os exemplos encontram-se:

• Sistemas operativos;
• Aplicações e software empresarial;
• Dispositivos IoT;
• Equipamentos inteligentes;
• Sistemas embebidos;
• Determinados produtos de hardware;
• Alguns serviços de processamento remoto associados a produtos;
• Software open source quando disponibilizado no âmbito de uma atividade comercial ou integrado em produtos comerciais.

Existe ainda uma particularidade importante: um produto que já esteja no mercado pode voltar a ficar abrangido pelas regras caso sofra uma alteração substancial, como uma grande atualização de software ou uma alteração significativa das suas funcionalidades.

As atualizações de segurança normais, por si só, não são consideradas alterações substanciais.

O CRA adota uma abordagem baseada no risco. Os produtos considerados mais relevantes para a cibersegurança estão divididos em diferentes categorias.

Os chamados produtos importantes com elementos digitais estão divididos em duas classes.

A Classe I inclui, por exemplo, produtos relacionados com autenticação e controlo de acesso, sistemas de deteção e prevenção de intrusões, proteção de endpoints ou proteção de redes.

Já a Classe II inclui produtos cujo comprometimento pode provocar impactos significativamente mais graves, nomeadamente equipamentos relacionados com gestão de redes, virtualização, configuração de sistemas ou processamento de dados pessoais.

Existe ainda uma categoria de produtos críticos, sujeita a requisitos adicionais devido ao seu nível de risco.

Esta classificação tem consequências práticas, nomeadamente ao nível dos processos de avaliação de conformidade que os fabricantes terão de realizar.

Uma das principais mudanças introduzidas pelo CRA é o conceito de Security by Design.

A segurança deixa de poder ser encarada como uma funcionalidade acrescentada no final do desenvolvimento. Os fabricantes devem considerar os riscos de segurança durante a conceção, desenvolvimento e produção.

Na prática, isso significa adotar medidas como:

• Configurações seguras por omissão;
• Avaliação de riscos;
• Princípio do menor privilégio;
• Redução da superfície de ataque;
• Mecanismos seguros de atualização;
• Processos de desenvolvimento seguro.

O objetivo é reduzir a probabilidade de um produto chegar ao mercado com vulnerabilidades que poderiam ter sido evitadas durante o seu desenvolvimento.

Outra alteração importante está relacionada com a gestão de vulnerabilidades.

Os fabricantes terão de manter processos que permitam receber, analisar e corrigir vulnerabilidades durante o período de suporte do produto.

Isto significa que já não basta corrigir uma falha quando esta é descoberta. As empresas terão de possuir mecanismos estruturados para receber denúncias de investigadores, avaliar o impacto das vulnerabilidades e disponibilizar correções dentro dos prazos aplicáveis.

Neste contexto, políticas de Coordinated Vulnerability Disclosure (CVD) e programas de gestão de vulnerabilidades ganham particular importância.

O CRA introduz também novas obrigações de comunicação.

Desde 11 de setembro de 2026, os requisitos de comunicação previstos no artigo 14.º passaram a aplicar-se aos produtos abrangidos pelo regulamento. Entre os acontecimentos que devem ser comunicados estão determinadas vulnerabilidades exploradas ativamente e incidentes graves relacionados com a segurança dos produtos.

Os prazos são particularmente apertados.

Em determinadas situações, existe uma comunicação inicial no prazo de 24 horas, seguida de informação adicional no prazo de 72 horas. Existem ainda prazos posteriores para os relatórios finais, que podem ser de 14 dias ou um mês, dependendo da natureza do acontecimento.

Para as empresas, isto significa que os processos de deteção, resposta a incidentes e comunicação terão de estar devidamente preparados.

O Cyber Resilience Act não surge isoladamente.

A regulamentação complementa outras iniciativas europeias relacionadas com cibersegurança, como a NIS2, o RGPD e o AI Act.

Enquanto a NIS2 está sobretudo orientada para a resiliência e segurança das entidades abrangidas, o CRA coloca o foco no próprio produto digital.

Para as empresas, isso significa que processos como gestão de riscos, resposta a incidentes, documentação técnica e gestão de vulnerabilidades poderão ter de ser articulados entre diferentes regimes regulamentares.

O CRA prevê coimas significativas.

Para algumas das violações mais graves, nomeadamente relacionadas com os requisitos essenciais de cibersegurança, obrigações dos fabricantes e comunicação de incidentes, as multas podem chegar a 15 milhões de euros ou 2,5% do volume de negócios anual mundial da empresa, consoante o valor aplicável.

Outras infrações podem atingir os 10 milhões de euros ou 2% do volume de negócios mundial, enquanto determinadas informações incorretas ou incompletas podem levar a multas de até 5 milhões de euros ou 1% do volume de negócios mundial.

As consequências não ficam, contudo, pelas multas.

As autoridades de fiscalização do mercado podem determinar a retirada de produtos da cadeia de distribuição e, em determinadas circunstâncias, ordenar a sua recolha.

A implementação do Cyber Resilience Act está a acontecer de forma faseada.

O calendário inclui três momentos importantes:

11 de junho de 2026: entraram em aplicação determinadas disposições relacionadas com os organismos de avaliação da conformidade.

11 de setembro de 2026: começaram a aplicar-se os requisitos de comunicação previstos no artigo 14.º.

11 de dezembro de 2027: termina o período de transição de 36 meses e o CRA passa a ser plenamente aplicável aos produtos abrangidos.

Ou seja, as empresas não devem esperar por dezembro de 2027 para começar a preparar-se.

Artigo escrito pela Art Resilia para o Pplware