Regulamento de Ciber-Resiliência (CRA): aplica-se ao seu produto?
O Regulamento de Ciber-Resiliência fixa requisitos de cibersegurança para produtos de hardware e software vendidos na UE. As suas obrigações de notificação aplicam-se a partir de 11 de setembro de 2026; o resto a partir de 11 de dezembro de 2027.
Verificado em relação às fontes em 7 de outubro de 2026
Regulamento (UE) 2024/2847 (Regulamento de Ciber-Resiliência)
Verificado em relação às fontes em 7 de outubro de 2026
Em qual classe do CRA está o seu produto?
Escolha a categoria que corresponde ao que o próprio produto faz principalmente, não a um de seus componentes.
Escolha uma categoria para ver sua classe e os procedimentos de avaliação da conformidade disponíveis.
Anexos III e IV e artigos 7.º, 8.º e 32.º do Regulamento (UE) 2024/2847; descrições técnicas no Regulamento de Execução (UE) 2025/2392. Verificado em 7 de outubro de 2026.
Documentação técnica e preparação para o organismo notificado
Marque o que você já tem para ver as lacunas, com a referência do anexo de cada item. A documentação técnica é necessária em todos os procedimentos; um organismo notificado também pede os itens do pedido abaixo.
0 de 13 prontos
Ainda falta:
- Descrição geral: finalidade prevista, versões de software que afetam a conformidade, fotos ou ilustrações do hardware e as informações ao usuário do anexo II (Annex VII(1))
- Informações de concepção e desenvolvimento, incluindo desenhos e a arquitetura do sistema, se for o caso (Annex VII(2)(a))
- Tratamento de vulnerabilidades: lista de materiais de software, política de divulgação coordenada de vulnerabilidades, endereço de contato para comunicar vulnerabilidades e como as atualizações são distribuídas com segurança (Annex VII(2)(b))
- Processos de produção e monitoramento e como são validados (Annex VII(2)(c))
- Avaliação dos riscos de cibersegurança (artigo 13.º), mostrando como cada requisito essencial do anexo I, parte I, se aplica (Annex VII(3))
- As informações usadas para fixar o período de apoio (artigo 13.º, n.º 8) (Annex VII(4))
- Normas harmonizadas, especificações comuns ou sistemas de certificação aplicados, no todo ou em parte, ou as soluções usadas em seu lugar (Annex VII(5))
- Relatórios dos ensaios que verificam a conformidade do produto e dos processos de tratamento de vulnerabilidades (Annex VII(6))
- Uma cópia da declaração UE de conformidade (Annex VII(7))
- Nome e endereço do fabricante e, se for o caso, do mandatário (Annex VIII, Part II, 3.1)
- Declaração escrita de que o mesmo pedido não foi apresentado a outro organismo notificado (Annex VIII, Part II, 3.2)
- Provas que sustentam as soluções de concepção e de tratamento de vulnerabilidades, incluindo resultados de ensaios quando necessário (Annex VIII, Part II, 3.4)
- Amostras de uma ou mais partes críticas do produto para o organismo examinar (Annex VIII, Part II, 2)
Com base nos anexos VII e VIII do Regulamento (UE) 2024/2847. As obrigações aplicam-se a partir de 11 de dezembro de 2027; os organismos notificados podem ser designados a partir de 11 de junho de 2026 (artigo 71.º, n.º 2). Um organismo notificado pode pedir mais.
Que produtos
Produtos com elementos digitais: produtos de hardware e software, incluindo o seu tratamento de dados à distância, cuja utilização prevista ou razoavelmente previsível inclui uma ligação de dados a um dispositivo ou rede. Dispositivos de casa inteligente, roteadores, aplicativos, brinquedos conectados e muitos componentes industriais são exemplos típicos.
O que está excluído
Produtos já abrangidos por regras setoriais de cibersegurança: dispositivos médicos e de diagnóstico in vitro, veículos a motor, aviação civil e equipamentos marítimos. Os produtos desenvolvidos só para a segurança nacional ou a defesa também ficam de fora, assim como o software livre e de código aberto não fornecido no âmbito de uma atividade comercial.
Datas
| Data | O que se aplica |
|---|---|
| 11 de junho de 2026 | Regras para os organismos de avaliação da conformidade. |
| 11 de setembro de 2026 | Os fabricantes notificam as vulnerabilidades ativamente exploradas e os incidentes graves: alerta precoce em 24 horas, notificação em 72 horas, depois um relatório final. |
| 11 de dezembro de 2027 | Todos os outros requisitos: concepção segura, tratamento de vulnerabilidades, avaliação da conformidade, marcação CE, documentação técnica. |
A obrigação de notificação em detalhe: prazos, a plataforma única de comunicação de informações e a CSIRT a usar. Veja notificações CRA.
O que exige dos fabricantes
- cumprir requisitos essenciais de cibersegurança na concepção e na produção;
- tratar vulnerabilidades durante um período de apoio, em geral de pelo menos cinco anos;
- uma avaliação da conformidade: autoavaliação para a maior parte dos produtos; para produtos importantes e críticos, normas harmonizadas ou um organismo terceiro;
- documentação técnica, uma declaração de conformidade UE e a marcação CE.
O kit de documentos CRA pago escreve a documentação técnica, a avaliação dos riscos de cibersegurança, a declaração de conformidade UE nos idiomas dos seus países de venda e as informações para o usuário, em arquivos Word.
Os produtos de consumo conectados muitas vezes também estão sujeitos ao GPSR. Verifique isso com a verificação GPSR.