O que é o Cyber Resilience Act (CRA)?
O Cyber Resilience Act (CRA), ou Regulamento de Ciberresiliência, é o Regulamento (UE) 2024/2847 do Parlamento Europeu e do Conselho, a primeira norma europeia que impõe requisitos horizontais obrigatórios de cibersegurança a todos os produtos com elementos digitais comercializados na União Europeia. A sua lógica é simples e disruptiva: se um produto se liga —direta ou indiretamente— a uma rede de dados, não poderá ser vendido na UE sem demonstrar que é seguro por conceção e que o seu fabricante manterá essa segurança durante toda a vida do produto.
Até agora, a cibersegurança do software e do hardware ligado era, na prática, um compromisso voluntário do fabricante. O CRA muda o ponto de partida: transforma a segurança num requisito legal de acesso ao mercado, ao mesmo nível da segurança elétrica ou da compatibilidade eletromagnética. O instrumento que o materializa é conhecido e reconhecível: o marcado CE, que, a partir do CRA, também comprovará a conformidade em matéria de cibersegurança.
O âmbito é deliberadamente amplo. O Regulamento abrange desde um monitor de bebés ou um relógio inteligente até um sistema operativo, uma firewall industrial, uma aplicação móvel ou um microcontrolador. E não obriga apenas os grandes fabricantes tecnológicos: importadores, distribuidores e qualquer empresa que coloque um produto ligado no mercado europeu sob a sua própria marca entra no perímetro.
Este guia divide-se em duas partes. Nesta primeira, resolvemos o enquadramento: o que regula o CRA, a quem obriga, que produtos entram e quais ficam de fora, o que é exigível em cada data, como se classificam os produtos segundo o seu risco e a que sanções se expõe quem não cumprir. A parte operacional —os requisitos técnicos do Anexo I, os prazos de notificação de vulnerabilidades, o dossiê do marcado CE, o enquadramento com a NIS2 e a ISO 27001 e o roteiro de preparação— desenvolvemo-la em Como cumprir o Cyber Resilience Act.
O CRA está em vigor desde 10 de dezembro de 2024 e a sua aplicação é faseada. Dois marcos já foram cumpridos: o Regulamento de Execução (UE) 2025/2392, em vigor desde 29 de novembro de 2025, fixa as descrições técnicas precisas das 28 categorias de produtos importantes e críticos; e desde 11 de junho de 2026 estão operacionais as disposições sobre organismos notificados e autoridades de notificação.
O próximo marco é imediato: em 11 de setembro de 2026 entram em vigor as obrigações de notificação de vulnerabilidades exploradas ativamente e de incidentes graves —também para produtos já comercializados—, juntamente com a plataforma única de notificação gerida pela ENISA. O resto das obrigações será exigível em 11 de dezembro de 2027.
Em paralelo, a Comissão publicou, em 27 de julho de 2026, o seu guia oficial sobre o âmbito de aplicação do Regulamento e propôs adiar em dois meses os prazos do pedido de normalização: as normas horizontais de gestão de vulnerabilidades são esperadas para o final de outubro de 2026 e as normas verticais por produto, ao longo de dezembro de 2026. Convém rever o estado das normas harmonizadas antes de fechar qualquer plano de conformidade.
A quem obriga o Cyber Resilience Act?
O CRA distribui obrigações ao longo de toda a cadeia de fornecimento digital, com intensidades diferentes consoante o papel de cada interveniente:
Fabricantes
Concebem e desenvolvem o produto. Assumem a maior parte das obrigações: requisitos essenciais do Anexo I, análise de riscos de cibersegurança, documentação técnica, avaliação da conformidade, marcado CE, gestão de vulnerabilidades durante o período de suporte e notificação às autoridades.
Importadores
Só podem introduzir no mercado da UE produtos que cumpram o Regulamento. Devem verificar que o fabricante realizou a avaliação da conformidade, que existe documentação técnica e que o produto tem marcado CE e instruções de utilização.
Distribuidores
Devem atuar com a diligência devida: verificar a presença do marcado CE e da documentação e não comercializar um produto de que saibam ou devam suspeitar que não é conforme. Se detetarem um risco, informam o fabricante e as autoridades.
Custódios de software livre
As fundações e entidades que sustentam software de código aberto (open-source stewards) têm um regime específico e mais leve, centrado em políticas de segurança e cooperação, e não estão sujeitas a multas por infrações ao Regulamento.
Atenção a um ponto crítico: um importador ou distribuidor que comercialize um produto sob a sua própria marca, ou que o modifique substancialmente, passa a ser considerado fabricante para todos os efeitos e assume todas as suas obrigações. É o erro de enquadramento mais frequente nas primeiras avaliações internas, e convém resolvê-lo antes de qualquer outra coisa: do teu papel depende o volume total de trabalho que tens pela frente.
O que é um «produto com elementos digitais» e o que fica de fora?
O Regulamento define produto com elementos digitais como qualquer produto de software ou hardware —e as suas soluções associadas de tratamento remoto de dados— cujo uso previsto ou razoavelmente previsível inclua uma ligação lógica ou física, direta ou indireta, a um dispositivo ou a uma rede. Na prática, essa definição abrange quase todo o hardware ligado e praticamente todo o software comercializado na UE.
As exclusões são limitadas e respondem a dois critérios: a existência de legislação setorial equivalente ou a ausência de finalidade comercial. Ficam fora do CRA:
- Dispositivos médicos abrangidos pelos Regulamentos (UE) 2017/745 e 2017/746.
- Veículos a motor sujeitos ao Regulamento (UE) 2019/2144 e aos requisitos de cibersegurança da homologação de tipo.
- Aviação civil ao abrigo do Regulamento (UE) 2018/1139 e equipamentos marítimos.
- Software livre e de código aberto não fornecido no âmbito de uma atividade comercial.
- Produtos desenvolvidos exclusivamente para fins de segurança nacional, defesa ou tratamento de informação classificada.
- Peças de substituição destinadas a substituir componentes idênticos em produtos já comercializados.
O restante —incluindo o software distribuído como SaaS quando faz parte da solução de tratamento remoto de um produto— entra no âmbito de aplicação. O guia da Comissão sobre o âmbito de aplicação, publicado em 27 de julho de 2026, é a referência a consultar nos casos-limite.
Calendário do CRA: o que já é exigível e o que ainda está por vir
O CRA não se aplica de uma só vez. A sua implementação faseada dá margem para preparar, mas obriga a distinguir com precisão o que já venceu e o que está para chegar. Em agosto de 2026, o mapa é este:
Entrada em vigor do Regulamento
O Regulamento (UE) 2024/2847 entra em vigor. Começa o período transitório: ainda não é exigível nenhuma obrigação material.
CumpridoDescrições técnicas das 28 categorias
O Regulamento de Execução (UE) 2025/2392 substitui as categorias genéricas do Anexo III por descrições técnicas precisas. É hoje a referência obrigatória para classificar um produto.
CumpridoOrganismos notificados operacionais
Aplicam-se as disposições sobre autoridades de notificação e organismos de avaliação da conformidade: já podem ser designados e notificados.
CumpridoObrigações de notificação de vulnerabilidades e incidentes
Os fabricantes devem notificar as vulnerabilidades exploradas ativamente e os incidentes graves ao CSIRT coordenador e à ENISA, através da plataforma única de notificação. Aplica-se também aos produtos já comercializados, sem período transitório.
Próximo marco · a semanasAplicação plena do Regulamento
Passam a ser exigíveis os requisitos essenciais do Anexo I, a avaliação da conformidade, a documentação técnica, a declaração UE de conformidade e o marcado CE. A partir dessa data, um produto não conforme não pode ser comercializado na UE.
PendenteOu seja: embora a aplicação plena chegue no final de 2027, há um bloco de obrigações que começa a contar em semanas e que afeta toda a carteira vendida até hoje. Os prazos concretos —24 horas, 72 horas, 14 dias— e como montar o processo detalhamo-los em a segunda parte deste guia.
Classificação de produtos: por defeito, importantes e críticos
O CRA ajusta o nível de exigência em função do risco do produto, com quatro níveis. Essa classificação determina o procedimento de avaliação da conformidade: quanto maior o risco, menor a margem para a autoavaliação.
| Nível | Exemplos de produto | Via de conformidade |
|---|---|---|
| Por defeito (~90 % do mercado) |
Aplicações móveis, videojogos, discos rígidos externos, colunas ligadas, software de gestão geral. | Autoavaliação Controlo interno (módulo A). |
| Importantes Classe I (Anexo III, 19 categorias) |
Gestores de palavras-passe, navegadores, antimalware, VPN, SIEM, sistemas de gestão de identidades e acessos, sistemas operativos, routers e comutadores, PKI, gestores de arranque, assistentes virtuais domésticos, fechaduras e câmaras inteligentes, brinquedos ligados, wearables de saúde. | Autoavaliação apenas se forem aplicadas normas harmonizadas ou um esquema de certificação; caso contrário, avaliação por terceiro. |
| Importantes Classe II (Anexo III) |
Hipervisores e motores de contentores, firewalls, sistemas de deteção e prevenção de intrusões (IDS/IPS), microprocessadores e microcontroladores resistentes a manipulação, sistemas de controlo industrial críticos para entidades NIS2. | Terceiro obrigatório Exame UE de tipo (B+C) ou garantia da qualidade total (H). |
| Críticos (Anexo IV, 3 categorias) |
Dispositivos de hardware com módulos de segurança de hardware (HSM), gateways de contadores inteligentes e dispositivos de criptoprocessamento seguro, cartões inteligentes e elementos seguros. | Certificação Certificação europeia de cibersegurança (EUCC) pelo menos de nível «substancial» quando assim o exigir a Comissão. |
Classificar corretamente o produto é a primeira decisão estrutural do projeto de conformidade: dela dependem o custo, os prazos e a necessidade de contratar um organismo notificado. O Regulamento de Execução (UE) 2025/2392 é hoje a referência obrigatória para o fazer, porque substitui as categorias genéricas do Anexo III por descrições técnicas precisas.
E tem uma consequência prática com calendário próprio: se algum produto da tua carteira cair em importante classe II ou em crítico, precisas de um terceiro. Os organismos notificados estão operacionais desde junho de 2026, mas a sua capacidade é limitada e a procura concentrar-se-á à medida que dezembro de 2027 se aproximar.
Não sabes em que categoria do CRA se enquadram os teus produtos? Mostramos-te como inventariá-los, classificá-los e traçar os seus requisitos na plataforma.
Solicite uma demonstraçãoSanções por incumprimento do Cyber Resilience Act
O regime sancionatório do CRA estrutura-se em três escalões, com o critério habitual do Direito europeu: o montante mais elevado entre um valor fixo e uma percentagem do volume de negócios mundial do exercício anterior.
| Tipo de incumprimento | Sanção máxima |
|---|---|
| Incumprimento dos requisitos essenciais do Anexo I —as propriedades de cibersegurança do produto e a gestão de vulnerabilidades— e das obrigações dos artigos 13 e 14 (obrigações do fabricante e notificação). | 15 milhões de euros ou 2,5 % do volume de negócios anual mundial. |
| Incumprimento de qualquer outra obrigação do Regulamento (importadores, distribuidores, representantes autorizados, organismos notificados). | 10 milhões de euros ou 2 % do volume de negócios anual mundial. |
| Fornecer informação incorreta, incompleta ou enganosa a organismos notificados ou a autoridades de fiscalização do mercado. | 5 milhões de euros ou 1 % do volume de negócios anual mundial. |
Para além da multa, as autoridades de fiscalização do mercado podem exigir a retirada do produto, proibir a sua comercialização ou restringir a sua disponibilidade. Para um fabricante, esse risco comercial costuma pesar mais do que a sanção económica. Uma nuance relevante para as empresas mais pequenas: as microempresas e pequenas empresas não enfrentam multas por incumprirem especificamente o prazo do alerta precoce de 24 horas, embora mantenham as restantes obrigações.
Traduzido em prioridades: a maior parte do risco económico concentra-se no escalão superior —requisitos do Anexo I e obrigações de notificação—, que é precisamente o bloco de trabalho que abordamos em a segunda parte deste guia.
Como pode um software GRC ajudar a enquadrar o CRA?
Na GlobalSuite Solutions abordamos o CRA como aquilo que realmente é: um problema de governação, risco e conformidade com prazos legais definidos, e não uma folha de cálculo de requisitos técnicos. E tudo começa pelo enquadramento que percorremos neste artigo. A nossa plataforma GlobalSuite® permite construir o inventário de produtos com elementos digitais e dos seus componentes, registar o papel da organização em cada um deles —fabricante, importador ou distribuidor, com o efeito da marca própria—, classificá-los segundo os Anexos III e IV e o Regulamento de Execução 2025/2392, e derivar dessa classificação a via de conformidade e as datas exigíveis para cada produto. Com base nessa mesma estrutura, gerem-se a rastreabilidade de cada requisito legal até um controlo, um responsável e uma evidência, o acompanhamento do plano de ação com alertas de vencimento e o mapeamento multinorma com a NIS2, a ISO 27001, a IEC 62443, a DORA ou o ENS, de forma a que uma evidência sirva para vários referenciais. O resultado é um painel único do estado de conformidade e do risco residual, pronto para auditoria ou para uma inspeção da autoridade de fiscalização do mercado.
Perguntas frequentes sobre o Cyber Resilience Act
Quando entra em vigor o Cyber Resilience Act?
O Regulamento (UE) 2024/2847 está em vigor desde 10 de dezembro de 2024, mas a sua aplicação é faseada. As disposições sobre organismos notificados aplicam-se desde 11 de junho de 2026, as obrigações de notificação de vulnerabilidades e incidentes desde 11 de setembro de 2026, e as restantes obrigações —requisitos essenciais, avaliação da conformidade e marcado CE— desde 11 de dezembro de 2027.
A que produtos se aplica o CRA?
A todos os produtos com elementos digitais comercializados na UE cujo uso previsto inclua uma ligação, direta ou indireta, a um dispositivo ou a uma rede: hardware ligado, software, aplicações, sistemas operativos e as soluções associadas de tratamento remoto de dados. Ficam excluídos os dispositivos médicos, os veículos a motor, a aviação civil, os equipamentos marítimos, o software livre sem atividade comercial e os produtos de defesa ou segurança nacional.
O CRA afeta os produtos que já estão no mercado?
Sim, num ponto concreto e com data imediata: as obrigações de notificação de vulnerabilidades exploradas ativamente e de incidentes graves, exigíveis desde 11 de setembro de 2026, aplicam-se também aos produtos já comercializados, sem período transitório nem exceção por antiguidade. Os requisitos essenciais do Anexo I e o marcado CE, por sua vez, aplicam-se aos produtos colocados no mercado a partir de 11 de dezembro de 2027.
O que acontece se eu vender sob a minha própria marca um produto fabricado por outro?
Deixas de ser importador ou distribuidor e passas a ser fabricante para todos os efeitos do Regulamento. O mesmo acontece se modificares substancialmente um produto já comercializado. Isso implica assumir o pacote completo de obrigações: requisitos do Anexo I, análise de riscos, documentação técnica, avaliação da conformidade, marcado CE, gestão de vulnerabilidades e notificação. É o primeiro ponto a verificar em qualquer avaliação interna, porque determina o alcance real do projeto.
Preciso de um organismo notificado para certificar o meu produto?
Depende da classificação. Os produtos por defeito são autoavaliados por controlo interno. Os importantes de classe I podem autoavaliar-se apenas se aplicarem normas harmonizadas ou um esquema de certificação europeu; caso contrário, precisam de um terceiro. Os importantes de classe II exigem sempre avaliação por organismo notificado, e os críticos do Anexo IV podem exigir certificação europeia de cibersegurança.
Que sanções prevê o CRA?
Até 15 milhões de euros ou 2,5 % do volume de negócios anual mundial por incumprimento dos requisitos essenciais do Anexo I e das obrigações dos artigos 13 e 14; até 10 milhões ou 2 % pelo restante conjunto de obrigações; e até 5 milhões ou 1 % por fornecer informação incorreta ou enganosa às autoridades. Aplica-se sempre o montante mais elevado, podendo ainda somar-se a retirada do produto do mercado.
O Cyber Resilience Act transforma a cibersegurança numa condição de acesso ao mercado europeu para qualquer produto ligado, com o marcado CE como prova e sanções até 15 milhões de euros ou 2,5 % do volume de negócios mundial. Obriga fabricantes, importadores e distribuidores —e quem vende sob marca própria conta como fabricante—, com exclusões limitadas aos setores que já têm legislação equivalente.
O calendário deixa pouca margem: três marcos já vencidos, 11 de setembro de 2026 para as obrigações de notificação —também sobre produtos já comercializados— e 11 de dezembro de 2027 para o restante. As duas decisões que ordenam tudo o resto são determinar o teu papel e classificar a carteira segundo os Anexos III e IV: daí resultam o custo, os prazos e a necessidade de um organismo notificado.
Com o enquadramento resolvido, o passo seguinte é o trabalho técnico e documental: Como cumprir o Cyber Resilience Act: requisitos do Anexo I, notificação e roteiro.
Inventaria e classifica a tua carteira de produtos numa única plataforma
Inventário de produtos com elementos digitais e componentes, registo do papel por produto, classificação segundo os Anexos III e IV, datas exigíveis por produto e mapeamento multinorma com a NIS2 e a ISO 27001. Mostramos-te com um caso real.
Solicite uma demonstração
