Mais 123% CVE comunicadas por dia em 2026 do que no ano passado.

O que é o Cyber Resilience Act?

A lei da UE que estabelece regras de cibersegurança para produtos de hardware e software, e o que exige das empresas que os fabricam

O Cyber Resilience Act (CRA), Regulamento (UE) 2024/2847, é um regulamento da UE que estabelece requisitos obrigatórios de cibersegurança para produtos com elementos digitais: hardware e software que se ligam a um dispositivo ou a uma rede, desde routers e dispositivos de casa inteligente a aplicações, sistemas operativos e componentes de software vendidos separadamente. Entrou em vigor a 10 de dezembro de 2024. Os fabricantes têm de reportar vulnerabilidades ativamente exploradas e incidentes graves desde 11 de setembro de 2026, e o resto do regulamento aplica-se a partir de 11 de dezembro de 2027.

A maior parte das obrigações recai sobre os fabricantes. Avaliam o risco de cibersegurança, constroem os produtos segundo os requisitos essenciais do Anexo I, mantêm uma lista de materiais de software (SBOM), tratam as vulnerabilidades durante um período de suporte de, pelo menos, cinco anos, passam por uma avaliação da conformidade e apõem a marcação CE. Os importadores e distribuidores verificam que isto foi feito. As coimas chegam a €15 milhões ou 2,5% do volume de negócios anual a nível mundial.

O CRACI automatiza uma parte significativa das evidências de que estas obrigações precisam: regista como SBOM os componentes que cada build traz, volta a verificá-los face a novas vulnerabilidades depois da distribuição e exporta evidências de auditoria para a sua documentação técnica. Quando uma vulnerabilidade tem de ser reportada, o CRACI submete as notificações do CRA às autoridades em seu nome. Consulte como o CRACI apoia a conformidade com o CRA.

What the Cyber Resilience Act asks manufacturers to do

O âmbito do Regulamento (UE) 2024/2847, as datas em que passa a aplicar-se, os prazos de notificação e onde se situam as obrigações relativas à SBOM e ao tratamento de vulnerabilidades.

Petteri Pulkkinen e Erika Marttinen em Kubernetes Community Days Helsinki 2026, de 8:03 a 15:20 de SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains.

Datas-chave

DataO que acontece
23 de outubro de 2024 Regulamento (UE) 2024/2847 adotado pelo Parlamento Europeu e pelo Conselho
20 de novembro de 2024 Publicado no Jornal Oficial da União Europeia
10 de dezembro de 2024 Entrada em vigor
11 de junho de 2026 Aplicam-se as regras sobre a notificação de organismos de avaliação da conformidade (Capítulo IV)
11 de setembro de 2026 Aplica-se o reporte de vulnerabilidades ativamente exploradas e de incidentes graves (artigo 14.º), incluindo para produtos já no mercado
11 de dezembro de 2027 Aplica-se o resto do regulamento

Aspetos-chave do CRA

Requisitos de segurança obrigatórios

Os produtos têm de cumprir os requisitos essenciais de cibersegurança do Anexo I quando são colocados no mercado e durante todo o período de suporte.

Classificação baseada no risco

A maioria dos produtos pertence à categoria predefinida. Os produtos importantes e críticos enfrentam percursos de avaliação da conformidade mais rigorosos.

Tratamento de vulnerabilidades

Os fabricantes mantêm uma SBOM, corrigem vulnerabilidades sem demora e reportam as ativamente exploradas no prazo de 24 horas.

Marcação CE

Após uma avaliação da conformidade, o fabricante assina uma declaração UE de conformidade e apõe a marcação CE.

Documentação e transparência

A documentação técnica é conservada durante, pelo menos, 10 anos ou durante o período de suporte, e os utilizadores ficam a saber quando termina o suporte.

Fiscalização do mercado

As autoridades nacionais podem solicitar documentação, ordenar medidas corretivas ou recolhas e aplicar coimas.

The CRA timeline is ticking

Key milestones you need to prepare for under the Cyber Resilience Act.

Notified body rules apply
June 2026
Vulnerability reporting enforcement
September 2026
We are here
Full application of the CRA act
December 2027
€15M
maximum fine, or 2.5% of global annual turnover
24 hours
to send an early warning of an actively exploited vulnerability
72 hours
to follow up with a full vulnerability notification

A quem se aplica o CRA?

Fabricantes

Quem desenvolve ou fabrica um produto com elementos digitais, ou o manda fabricar, e o comercializa com o seu próprio nome ou marca, seja a título oneroso ou gratuito. Os fabricantes fora da UE estão abrangidos quando vendem para a UE.

Importadores e distribuidores

Os importadores e distribuidores têm de verificar que um produto ostenta a marcação CE e que o fabricante cumpriu as suas obrigações antes de o disponibilizarem na UE.

Software open source

Apenas está abrangido o open source fornecido no âmbito de uma atividade comercial. Os administradores de software open source seguem um regime mais leve, e os fabricantes continuam a ser responsáveis pelos componentes open source que integram.

Fornecedores de software e SaaS

O software vendido como produto está abrangido, tal como o backend cloud de que um produto precisa para funcionar. O software como serviço por si só enquadra-se na NIS2 e não no CRA.

Fora do âmbito: produtos já regulados pelas regras da UE sobre dispositivos médicos, diagnóstico in vitro e homologação de veículos, produtos de aviação certificados, equipamentos marítimos, peças sobresselentes idênticas e produtos concebidos exclusivamente para a segurança nacional ou a defesa (artigo 2.º).

Categorias de produtos e avaliação da conformidade

Todos os fabricantes realizam uma avaliação da conformidade antes de colocarem um produto no mercado. O percurso depende da categoria do produto.

CategoriaExemplosAvaliação da conformidade
Predefinida A maioria dos produtos com elementos digitais não enumerados no Anexo III ou IV É permitida a autoavaliação (controlo interno)
Importante, classe I (Anexo III) Gestão de identidades e acessos, navegadores, gestores de palavras-passe, VPN, sistemas operativos, routers e switches, produtos de segurança para casas inteligentes Autoavaliação apenas quando são aplicadas normas harmonizadas, especificações comuns ou um esquema de certificação; caso contrário, um organismo notificado
Importante, classe II (Anexo III) Hipervisores e runtimes de contentores, firewalls e sistemas de deteção de intrusões, microprocessadores e microcontroladores resistentes a adulteração Avaliação por terceiros, por um organismo notificado, ou um esquema europeu de certificação da cibersegurança
Crítica (Anexo IV) Dispositivos de hardware com caixas de segurança, gateways de contadores inteligentes, cartões inteligentes e elementos seguros Um certificado europeu de cibersegurança quando a Comissão o exija; caso contrário, avaliação por terceiros

Requisitos essenciais

O Anexo I estabelece dois grupos de requisitos essenciais. O primeiro abrange o próprio produto, com base numa avaliação documentada do risco de cibersegurança:

  • Nenhuma vulnerabilidade explorável conhecida quando o produto é colocado no mercado
  • Uma configuração segura por predefinição
  • Atualizações de segurança, automáticas por predefinição quando aplicável
  • Proteção contra acessos não autorizados e da confidencialidade e integridade dos dados
  • Minimização de dados, disponibilidade das funções essenciais e uma superfície de ataque limitada
  • Remoção segura e permanente dos dados e definições dos utilizadores

O segundo abrange a forma como o fabricante trata as vulnerabilidades:

  • Uma SBOM que abranja, no mínimo, as dependências de nível superior
  • Correção de vulnerabilidades sem demora, com atualizações de segurança separadas das atualizações de funcionalidades sempre que possível
  • Testes e análises de segurança regulares
  • Uma política de divulgação coordenada de vulnerabilidades e um contacto para reportar vulnerabilidades
  • Divulgação pública das vulnerabilidades corrigidas assim que estiver disponível uma atualização
  • Distribuição segura das atualizações, gratuita e com mensagens de aviso

Os fabricantes definem também um período de suporte de, pelo menos, cinco anos, salvo se se previr que o produto esteja em utilização durante menos tempo, mantêm cada atualização de segurança disponível durante, pelo menos, 10 anos e conservam a documentação técnica e a declaração UE de conformidade durante, pelo menos, 10 anos ou durante o período de suporte, consoante o que for mais longo (artigo 13.º).

Obrigações de reporte e prazos

Desde 11 de setembro de 2026, os fabricantes notificam as vulnerabilidades ativamente exploradas e os incidentes graves através da Single Reporting Platform, ao CSIRT designado como coordenador no seu principal Estado-Membro da UE e, em simultâneo, à ENISA (artigo 14.º). Isto aplica-se também a produtos já no mercado.

PassoVulnerabilidade ativamente exploradaIncidente grave
Alerta precoce No prazo de 24 horas após tomar conhecimento No prazo de 24 horas após tomar conhecimento
Notificação No prazo de 72 horas, com dados do produto, do exploit e de eventuais mitigações No prazo de 72 horas, com uma avaliação inicial e eventuais mitigações
Relatório final O mais tardar, 14 dias após estar disponível uma medida corretiva ou de mitigação No prazo de um mês após a notificação do incidente

Os fabricantes têm também de informar os utilizadores afetados e, quando adequado, todos os utilizadores, indicando as medidas de mitigação que podem tomar. Cumprir um prazo de 24 horas depende de saber em poucas horas que produtos e versões contêm o componente vulnerável, e é para isso que serve uma SBOM por versão.

Sanções

Os Estados-Membros definem as sanções, dentro destes máximos (artigo 64.º). As autoridades de fiscalização do mercado podem também ordenar medidas corretivas, a retirada ou a recolha de um produto.

InfraçãoCoima administrativa máxima
Requisitos essenciais de cibersegurança (Anexo I) e obrigações dos fabricantes (artigos 13.º e 14.º) Até €15 milhões ou 2,5% do volume de negócios anual total a nível mundial, consoante o que for mais elevado
Outras obrigações, incluindo as de importadores e distribuidores, a declaração de conformidade, a marcação CE, a documentação técnica e a avaliação da conformidade Até €10 milhões ou 2% do volume de negócios anual total a nível mundial, consoante o que for mais elevado
Informações incorretas, incompletas ou enganosas prestadas a organismos notificados ou a autoridades de fiscalização do mercado Até €5 milhões ou 1% do volume de negócios anual total a nível mundial, consoante o que for mais elevado

As micro e pequenas empresas não são alvo de coimas por falharem o prazo de 24 horas do alerta precoce, e os administradores de software open source não são alvo de coimas por qualquer infração.

O open source e o CRA

O software livre e open source só está abrangido quando é fornecido no âmbito de uma atividade comercial, e alojar um projeto num repositório aberto ou num gestor de pacotes não o torna, por si só, disponível no mercado. Os administradores de software open source, pessoas coletivas como fundações que apoiam projetos open source destinados a utilização comercial, têm de ter uma política de cibersegurança documentada, cooperar com as autoridades de fiscalização do mercado e reportar vulnerabilidades ativamente exploradas na medida em que estejam envolvidos no desenvolvimento (artigo 24.º).

Para os fabricantes, o open source é um componente como qualquer outro. Têm de exercer a devida diligência ao integrá-lo, reportar as vulnerabilidades que encontrem ao projeto que o mantém e partilhar as correções que desenvolvam (artigo 13.º). É por isso que a SBOM importa: é o registo de que componentes open source, em que versões, são distribuídos em cada lançamento.

O que o CRA significa para as equipas de desenvolvimento

Hoje, um produto é maioritariamente código de terceiros: bibliotecas open source, pacotes obtidos de registos, imagens base de contentores, SDK de terceiros e as ferramentas de build e pipelines de CI/CD que os montam. O ataque à SolarWinds passou por um sistema de build, e o Log4Shell foi uma vulnerabilidade numa biblioteca amplamente usada; ambos chegaram a produtos acabados. O CRA torna o fabricante responsável por tudo isto, incluindo a devida diligência sobre os componentes de terceiros e open source que integra (artigo 13.º).

Na prática, as equipas que se preparam para o CRA:

  • Sabem o que é distribuído em cada versão, produzindo uma SBOM a partir de cada build num formato legível por máquina como CycloneDX ou SPDX, em vez de uma só vez no momento do lançamento
  • Monitorizam as versões lançadas, não apenas a branch principal, porque uma vulnerabilidade encontrada depois do lançamento continua a ter de ser corrigida sem demora durante o período de suporte
  • Acordam políticas de dependências: como são escolhidos e revistos os novos componentes, com que rapidez entram as atualizações e que conclusões bloqueiam um lançamento
  • Ensaiam o prazo de 24 horas: quem confirma a exploração ativa, quem apresenta o alerta precoce e quem informa os utilizadores
  • Guardam evidências à medida que avançam, uma vez que os registos de build, as SBOM e os resultados de testes alimentam a documentação técnica que tem de ser conservada durante, pelo menos, 10 anos

Para ver os requisitos como um roteiro passo a passo, consulte o guia do CRA. Consulte também o que o CRA exige de uma SBOM e como o CRACI apoia a conformidade com o CRA.

Perguntas frequentes sobre o Cyber Resilience Act

Respostas curtas às perguntas que os fabricantes mais fazem sobre o CRA

O que é o Cyber Resilience Act?

O Cyber Resilience Act (CRA), Regulamento (UE) 2024/2847, é um regulamento da UE que estabelece requisitos obrigatórios de cibersegurança para produtos de hardware e software com elementos digitais colocados no mercado da UE. Torna os fabricantes responsáveis pela segurança desde a conceção e ao longo de um período de suporte de, pelo menos, cinco anos, incluindo o tratamento de vulnerabilidades, uma SBOM e o reporte de vulnerabilidades ativamente exploradas.

Quando se aplica o Cyber Resilience Act?

Entrou em vigor a 10 de dezembro de 2024. As obrigações de reporte do artigo 14.º aplicam-se a partir de 11 de setembro de 2026, as regras sobre organismos de avaliação da conformidade a partir de 11 de junho de 2026 e o resto do regulamento a partir de 11 de dezembro de 2027.

O CRA aplica-se a software e SaaS?

O software vendido ou fornecido como produto está abrangido, incluindo aplicações, sistemas operativos, firmware e componentes de software colocados separadamente no mercado. Os serviços cloud só estão abrangidos enquanto tratamento remoto de dados de um produto, por exemplo o backend cloud que permite controlar um dispositivo de casa inteligente. O software como serviço por si só enquadra-se antes na NIS2 (considerando 12).

O CRA aplica-se a software open source?

Apenas ao open source fornecido no âmbito de uma atividade comercial. Os projetos open source não comerciais estão fora do âmbito. Os administradores de software open source, como fundações que apoiam projetos destinados a utilização comercial, seguem um regime mais leve e não podem ser alvo de coimas. Os fabricantes que integram componentes open source nos seus produtos continuam a ser plenamente responsáveis por eles.

Quais são os requisitos de reporte do CRA?

Os fabricantes notificam as vulnerabilidades ativamente exploradas e os incidentes graves através da Single Reporting Platform ao seu CSIRT coordenador e à ENISA: um alerta precoce no prazo de 24 horas, uma notificação no prazo de 72 horas e um relatório final no prazo de 14 dias após uma correção, para vulnerabilidades, ou de um mês, para incidentes. Informam também os utilizadores afetados.

O CRA exige uma SBOM?

Sim. O Anexo I, parte II, exige uma lista de materiais de software num formato de uso corrente e legível por máquina, que abranja, no mínimo, as dependências de nível superior. Faz parte da documentação técnica e é entregue a uma autoridade de fiscalização do mercado mediante pedido; não tem de ser publicada.

Quais são as sanções previstas no CRA?

Até €15 milhões ou 2,5% do volume de negócios anual a nível mundial por violação dos requisitos essenciais ou das obrigações dos fabricantes, até €10 milhões ou 2% por outras obrigações e até €5 milhões ou 1% por induzir as autoridades em erro. As micro e pequenas empresas não são alvo de coimas por falharem o prazo de 24 horas do alerta precoce.

O CRA aplica-se a produtos já no mercado?

As obrigações de reporte aplicam-se, a partir de 11 de setembro de 2026. Fora isso, os produtos colocados no mercado antes de 11 de dezembro de 2027 só ficam abrangidos pelo CRA se forem substancialmente modificados após essa data.

Obtenha as evidências de que o seu processo do CRA precisa

Veja como o CRACI regista SBOM a partir dos seus builds, monitoriza o que distribuiu e submete as notificações do CRA em seu nome

Marcar demo Verifique se o CRA se aplica a si