O Cyber Resilience Act impõe exigências de cibersegurança a todos os produtos com elementos digitais (hardware e software) colocados no mercado da União Europeia. A SYAGA acompanha-o para compreender as suas obrigações e construir o seu dossiê de conformidade, sem improvisar.
O Cyber Resilience Act (CRA) é um texto europeu horizontal sobre a cibersegurança dos produtos digitais
O CRA cobre os produtos com elementos digitais (hardware conectado, software, firmware) destinados a ser colocados no mercado da UE, com exigências de cibersegurança ao longo de todo o ciclo de vida do produto.
Fabricante, importador ou distribuidor: o regulamento distribui obrigações diferentes consoante a sua posição na cadeia de colocação no mercado, segundo o modelo já utilizado por outras regulamentações de produtos europeias.
O texto entrou em vigor em 10 de dezembro de 2024 e prevê uma aplicação faseada no tempo. Os prazos precisos de aplicação que lhe dizem respeito devem ser verificados junto do texto oficial para a sua situação.
Tal como para os outros textos cibernéticos europeus recentes, a conformidade com o CRA exige um método (cartografia dos produtos, análise dos desvios, documentação técnica) que a maioria dos fabricantes e editores ainda não iniciou por falta de recursos internos dedicados.
O CRA dirige-se aos operadores económicos que colocam produtos digitais no mercado da UE
Empresas que concebem ou mandam conceber produtos com elementos digitais (hardware, software, firmware) comercializados sob o seu nome ou a sua marca.
Empresas que colocam no mercado da UE um produto digital concebido fora da União.
Empresas que disponibilizam um produto no mercado da UE sem serem o fabricante nem o importador.
Uma abordagem estruturada para cartografar os seus produtos, medir os desvios e construir o seu plano de conformidade
Entrevista com a direção ou a equipa de I&D para identificar os produtos potencialmente abrangidos pelo CRA (hardware conectado, software embarcado, firmware) e o seu papel de operador económico (fabricante, importador, distribuidor).
Cartografia dos seus produtos digitais e dos seus elementos de cibersegurança atuais (gestão de vulnerabilidades, atualizações de segurança, documentação existente), comparada com as exigências do regulamento.
Plano de conformidade priorizado: o que deve ser tratado em primeiro lugar, o que pode esperar pelos próximos prazos regulamentares, e os recursos a mobilizar internamente.
Acompanhamento na estruturação da documentação técnica exigida pelo regulamento (descrição do produto, gestão dos riscos de cibersegurança, procedimentos de tratamento das vulnerabilidades).
Apresentação do diagnóstico e do plano de ação à direção, com entrega dos entregáveis editáveis para apropriação pelas suas equipas.
Um diagnóstico e um roteiro para pilotar a sua conformidade CRA
Inventário dos seus produtos com elementos digitais e qualificação da sua exposição ao regulamento.
Síntese dos desvios entre a sua prática atual e as exigências do regulamento.
Roteiro priorizado para colmatar os desvios identificados.
Acompanhamento na estruturação da documentação exigida pelo regulamento.
Acompanhamento dos textos de aplicação e das clarificações oficiais publicadas sobre o CRA.
Todos os documentos em formatos que pode modificar e manter internamente.
O CRA não substitui os seus outros trabalhos de conformidade, complementa-os
A NIS2 enquadra a gestão dos riscos cibernéticos das organizações essenciais e importantes; o CRA enquadra a segurança dos produtos digitais que utilizam ou comercializam. Os dois textos são complementares.
Um sistema de gestão de segurança da informação já implementado facilita a estruturação dos processos de gestão de vulnerabilidades exigidos pelo CRA.
Se o seu produto digital tratar dados pessoais, as exigências de segurança do CRA cruzam-se em parte com as medidas técnicas e organizativas exigidas pelo artigo 32 do RGPD.
Se o seu produto integrar componentes de inteligência artificial, o CRA e o AI Act podem aplicar-se em conjunto consoante a natureza do produto. Um ponto a clarificar caso a caso com o seu advogado.
Cada produto, cada âmbito é diferente: estabelecemos um orçamento adaptado à sua situação
Um produto, um âmbito restrito
Vários produtos, conformidade ativa
Gama de produtos, ciclo de conformidade contínuo
O que o texto do CRA diz realmente, explicado de forma simples. Cada ponto remete para a sua fonte oficial (EUR-Lex ou Comissão Europeia) para que possa verificar por si próprio.
O Cyber Resilience Act é um regulamento europeu (Regulamento UE 2024/2847) que fixa
regras de cibersegurança para os produtos digitais - hardware e software - vendidos na
União Europeia. Entrou em vigor em 10 de dezembro de 2024.
fonte oficial ↗
Qualquer produto com elementos digitais destinado a ligar-se, direta ou
indiretamente, a um aparelho ou a uma rede. Estão excluídos os produtos já enquadrados por
outros textos europeus: dispositivos médicos, veículos, aviação, equipamentos marítimos,
peças de substituição idênticas, ou produtos concebidos exclusivamente para a defesa/segurança
nacional.
fonte oficial (Artigo 2) ↗
10 de dezembro de 2024: o texto entrou em vigor.
11 de junho de 2026: as autoridades encarregadas de o fazer aplicar devem estar
em funcionamento. 11 de setembro de 2026: as obrigações de comunicação de falhas e
incidentes começam. 11 de dezembro de 2027: a maior parte das obrigações,
incluindo a marcação CE, torna-se aplicável.
fonte oficial (Artigo 71) ↗
Se uma vulnerabilidade ativamente explorada ou um incidente grave afetar o seu produto, o
regulamento impõe avisar as autoridades: um primeiro alerta em 24 horas,
uma notificação mais detalhada em 72 horas, seguida de um relatório final no prazo
máximo de 14 dias após a disponibilização de uma correção.
fonte oficial (Artigo 14) ↗
O texto distingue categorias de produtos consideradas mais sensíveis (por exemplo
antivírus, VPN, gestores de palavras-passe, sistemas operativos, routers, objetos
conectados de segurança doméstica) e produtos "críticos" (por exemplo cartões inteligentes,
gateways de contadores inteligentes), sujeitos a exigências reforçadas.
fonte oficial (Anexos III e IV) ↗
Até 15 milhões de euros ou 2,5% do volume de negócios mundial (o
montante mais elevado) para os incumprimentos mais graves das exigências de segurança
base. Até 10 milhões ou 2% para outras obrigações, e até
5 milhões ou 1% em caso de informações enganosas prestadas às autoridades.
As micro e pequenas empresas beneficiam de uma dispensa específica sobre o atraso do
prazo de 24 horas de comunicação.
fonte oficial (Artigo 64) ↗
O CRA complementa a diretiva NIS2 e assenta na estratégia de cibersegurança da UE de
2020. Será necessária uma marcação CE para atestar a conformidade, e serão as autoridades
nacionais de fiscalização do mercado que controlarão a sua aplicação.
fonte oficial (Comissão Europeia) ↗
O regulamento fixa 3 patamares de coima consoante a gravidade do incumprimento. Eis o que diz precisamente o texto oficial, sem arredondamentos nem aproximações.
Incumprimento dos requisitos essenciais de cibersegurança (Anexo I) ou das obrigações dos fabricantes (Artigos 13.º e 14.º: conceção segura, gestão de vulnerabilidades, comunicação de incidentes).
Incumprimentos das obrigações dos representantes autorizados, da declaração UE de conformidade (marcação CE), dos requisitos relativos aos organismos notificados e do acesso a dados solicitado pelas autoridades (Artigos 18.º a 53.º, consoante o caso).
Fornecimento de informações incorretas, incompletas ou enganosas a um organismo notificado ou a uma autoridade de fiscalização do mercado que o interroga.
fonte oficial - Regulamento (UE) 2024/2847, Artigo 64.º, n.os 2 a 4 ↗
São as autoridades nacionais de fiscalização do mercado de cada Estado-Membro que aplicam estas coimas (não a Comissão Europeia diretamente). Consoante o sistema jurídico do país, a coima também pode ser aplicada por um tribunal nacional competente. As autoridades dos diferentes Estados-Membros comunicam entre si as coimas aplicadas.
O texto não impõe um montante automático: a autoridade deve ter em conta, caso a caso:
O texto prevê uma única derrogação quantificada: os fabricantes que sejam micro ou pequenas empresas não ficam expostos às coimas dos patamares 2 e 3 se apenas ultrapassarem o prazo de comunicação de incidentes previsto no artigo 14.º (24h/72h/relatório final). Para tudo o resto (requisitos de segurança, marcação CE, informação enganosa...), aplicam-se os mesmos limites máximos, seja qual for a dimensão da empresa. Os responsáveis por software open source ("open-source software stewards") beneficiam, esses sim, de uma isenção mais ampla.
O regime de sanções (Artigo 64.º) segue a data geral de aplicação do regulamento, ou seja, 11 de dezembro de 2027 - não faz parte das raras exceções que se aplicam mais cedo (obrigações de comunicação dos fabricantes já a partir de 11 de setembro de 2026, criação das autoridades a partir de 11 de junho de 2026). Em concreto: a 18 de julho de 2026, este regime de sanções ainda não está em vigor, pelo que ainda não pôde ser aplicada nenhuma coima ao abrigo do CRA. É também por isso que não apresentamos aqui nenhum exemplo de sanção real: ainda não existe nenhum, e não iremos inventar nenhum.
Sem jargão de advogado: respostas simples, cada uma sustentada pelo texto oficial que a fundamenta.
O regulamento não se aplica de uma só vez: avança por patamares, ao longo de vários anos. Eis as datas que realmente contam, por ordem, com o que significam em concreto para si. Cada data remete para o texto oficial para verificação.
O texto do Regulamento (UE) 2024/2847 é publicado no Jornal Oficial da União
Europeia. É o ponto de partida da contagem decrescente: todos os prazos
seguintes calculam-se a partir desta data.
fonte oficial (EUR-Lex, publicação) ↗
O regulamento entra em vigor vinte dias após a sua publicação (regra padrão para
os textos europeus). O texto existe, portanto, juridicamente desde esta data - mas
a grande maioria das obrigações concretas para as empresas ainda não são
devidas: chegam por patamares, ver o restante do calendário.
fonte oficial (Artigo 71.º, n.º 1) ↗
O capítulo do regulamento dedicado aos organismos responsáveis por avaliar a conformidade dos
produtos ("organismos notificados") aplica-se nesta data. É uma etapa de organização
do lado dos Estados-Membros: ainda não é um prazo direto para a sua empresa.
fonte oficial (Artigo 71.º, n.º 2, capítulo IV) ↗
É o primeiro prazo que realmente lhe diz respeito. A partir desta data, qualquer
vulnerabilidade ativamente explorada ou qualquer incidente grave que afete um dos seus produtos
digitais deve ser comunicado às autoridades segundo prazos estritos: um primeiro
alerta em 24 horas, uma notificação detalhada em 72 horas,
seguida de um relatório final (14 dias após a correção para uma vulnerabilidade, 1 mês após
a notificação para um incidente).
fonte oficial (Artigo 71.º, n.º 2, Artigo 14.º) ↗
Os Estados-Membros devem "esforçar-se" por ter criado organismos
notificados suficientes para evitar engarrafamentos administrativos, um ano antes da entrada em
aplicação geral. Não é uma obrigação vinculativa para as empresas,
mas um marco de organização do lado das administrações.
fonte oficial (Artigo 35.º, n.º 2) ↗
É A data estruturante a reter. Marcação CE, cumprimento dos requisitos essenciais
de cibersegurança (documentação técnica, gestão do ciclo de vida das vulnerabilidades,
atualizações de segurança...): a quase totalidade das obrigações do CRA torna-se oponível
nesta data para os produtos colocados no mercado.
fonte oficial (Artigo 71.º, n.º 2) ↗
Se os seus produtos já estiverem cobertos por outra regulamentação europeia (por
exemplo, equipamentos de rádio ou máquinas) e já dispuserem de um certificado de
cibersegurança obtido ao abrigo desse texto, este mantém-se válido, no máximo até esta
data, salvo se expirar antes.
fonte oficial (Artigo 69.º, n.º 1) ↗
Para além dos três papéis (fabricante, importador, distribuidor), eis o que diz precisamente o texto: o critério que desencadeia o regulamento, o que fica excluído, e exemplos concretos de produtos para saber se está abrangido, sem jargão.
O critério adotado pelo regulamento não é uma lista de setores, é um critério
técnico: a conectividade. O texto aplica-se a qualquer "produto com
elementos digitais" cuja utilização prevista, ou razoavelmente previsível, inclua
uma ligação lógica ou física, direta ou indireta, a um dispositivo ou a uma
rede. Um objeto que nunca se liga a nada permanece fora do âmbito; um
software, uma aplicação, um componente embutido que comunica com uma rede entra nele, seja qual for
a sua dimensão ou o seu setor.
fonte oficial, Regulamento (UE) 2024/2847, Artigo 2.º, n.º 1 ↗
Quem desenvolve ou manda desenvolver um produto digital e o comercializa sob o seu nome ou marca. O texto precisa explicitamente que o estatuto de fabricante se aplica "quer seja mediante pagamento, monetização ou gratuitamente": oferecer um produto gratuito não basta para sair do âmbito.
Qualquer pessoa estabelecida na UE que coloque no mercado europeu um produto com o nome ou marca de uma pessoa estabelecida fora da União. Uma PME que revenda em França, sob o seu nome, equipamento conectado fabricado fora da UE assume este papel, com as obrigações correspondentes.
Qualquer pessoa da cadeia de abastecimento, que não o fabricante ou o importador, que disponibiliza um produto no mercado da UE sem alterar as suas propriedades. É o papel por defeito de um revendedor ou de um integrador que não altera o produto.
Já cobertos pela sua própria regulamentação de segurança (Regulamentos (UE) 2017/745 e 2017/746): o CRA não se sobrepõe.
Cobertos pelo regulamento de homologação (UE) 2019/2144, que já trata a cibersegurança dos veículos.
Os produtos certificados nos termos do regulamento (UE) 2018/1139 relativo à aviação civil permanecem sob este quadro setorial dedicado.
Os equipamentos abrangidos pela diretiva 2014/90/UE relativa aos equipamentos marítimos têm o seu próprio regime e escapam ao CRA.
Uma peça de substituição fabricada segundo as mesmas especificações que o componente original que substitui não é um novo produto na aceção do CRA.
Os produtos desenvolvidos ou modificados exclusivamente para a defesa ou a segurança nacional, ou concebidos para tratar informações classificadas, ficam fora do âmbito.
O regulamento lista ele próprio categorias de produtos consideradas "importantes" (vigilância reforçada) ou "críticas" (o nível de exigência mais elevado). São apenas exemplos ilustrativos entre todos os produtos conectados abrangidos, mas dão uma ideia muito concreta dos setores visados prioritariamente.
lista completa, fonte oficial, Anexos III e IV do regulamento ↗
Esta definição oficial é a que o regulamento utiliza sempre que menciona as micro, pequenas e médias empresas (documentação simplificada, derrogações específicas sobre as coimas já detalhadas acima). fonte oficial, Recomendação 2003/361/CE, Artigo 2.º do anexo ↗
Na Europa, cada país tem as suas próprias autoridades. Eis, para os 30 países do Espaço Económico Europeu, a autoridade de proteção de dados (o seu interlocutor RGPD) e a autoridade nacional de cibersegurança. Cada nome remete para o sítio oficial.
Fontes: sítios oficiais das autoridades e lista de membros do EDPB (edpb.europa.eu), consultados a 18 de julho de 2026. Autoridades de proteção de dados confirmadas: 30/30. Autoridades de cibersegurança confirmadas: 28/30. As menções «a confirmar» assinalam uma fonte oficial ainda não estabilizada até à data.
Contacte-nos para receber um orçamento adaptado aos seus produtos e à sua situação.
Gratuito: o seu score + os seus desvios. O relatório detalhado e a certificação: 499 € + IVA, apenas se assim o decidir.
contact@syaga.eu