Segurança de produto e CRA
Do protótipo que funciona ao produto que pode ser vendido na Europa: classificação, plano de conformidade, engenharia de firmware, SBOM, documentação e divulgação coordenada.
Secure by design para quem fabrica produtos ligados.
O Cyber Resilience Act passa para o fabricante a responsabilidade pela segurança do produto durante todo o ciclo de vida, e não só no momento em que ele sai da fábrica. Tratamo-la como um problema de engenharia.
Consultoria independente, portuguesa e técnica: segurança de produto e preparação para o CRA, avaliações ofensivas do firmware às instalações, e um produto próprio que passa pelo mesmo crivo.
Guia do CRA para fabricantesO que fazemos
Fabrica um produto ligado e quer saber onde está face ao CRA? Peça uma primeira leitura, sem custo
Novo, · PHP2Shell e Node.js: o que pedem a quem fabrica aparelhos · O resto da pilha: kernel Linux, Python e certificados
Três linhas de trabalho
Avaliações ofensivas
Pentest whitebox de firmware e sistema, modelação de ameaças e intrusão física em instalações, sempre com âmbito e autorização escritos. É de onde viemos.
Aeromate
O nosso produto de controlo ambiental, com edição Community aberta e um diário público da sua preparação para o CRA. O que aconselhamos, aplicado a nós.
Calendário do CRA
414 diasaté Aplicação plena para fabricantes (11 dez 2027)
- 10 dez 2024O Cyber Resilience Act entra em vigor. As obrigações para fabricantes só se tornam aplicáveis mais tarde, por fases. Regulamento (UE) 2024/2847
- 27 jul 2026A Comissão Europeia publica orientações não vinculativas sobre a aplicação do CRA: âmbito, modificação substancial, período de suporte, reporte e avaliação de risco. Comissão Europeia, Comunicação C(2026) 5252 (orientações nos termos do artigo 26.º)
- 11 set 2026Tornam-se aplicáveis as obrigações de reporte: notificação de alerta precoce em 24 horas e notificação de vulnerabilidade ou de incidente em 72 horas, para vulnerabilidades ativamente exploradas e incidentes graves. As notificações fazem-se pela plataforma única de comunicação de informações da ENISA, operacional desde a mesma data. Regulamento (UE) 2024/2847, artigo 14.º
- 11 dez 2027O CRA torna-se plenamente aplicável. A partir daqui, os produtos com elementos digitais colocados no mercado têm de cumprir os requisitos essenciais de cibersegurança. Regulamento (UE) 2024/2847
De onde vimos
Viemos da segurança ofensiva: pentest, red team, certificações OffSec. É esse o ângulo com que olhamos para um produto. Seguimos o caminho que um atacante faria. Num mercado onde o CRA é vendido como auditoria, a diferença nota-se no relatório.
O setor automóvel já passou por esta transição, com a UNECE R155/R156 e a ISO/SAE 21434. Na prática, essas normas são um ciclo de desenvolvimento seguro aplicado a um produto físico ligado. Os veículos estão excluídos do âmbito do CRA precisamente por já terem regime próprio, e é por isso que servem de antevisão do que aí vem para todos os outros.
| Setor | Regime que enfrentam |
|---|---|
| Automóvel Fabricante automóvel alemão | UNECE R155/R156 · ISO/SAE 21434 |
| Telecomunicações Operador tier-1 | NIS2 · DL 125/2025 |
| Banca Banco de retalho português | DORA |
| Fintech Pagamentos B2B | DORA |
| Integração Consultora internacional (parceria) | Vários, conforme o cliente final |
Clientes identificados por descritor genérico. Não são publicados âmbitos de trabalho, achados nem arquiteturas.
E também deste lado da mesa
Estamos a desenvolver o Aeromate, um produto próprio de controlo ambiental para secagem e maturação. Quando chegar ao mercado, estará sujeito ao mesmo regulamento sobre o qual aconselhamos.
Isso obriga-nos a percorrer o processo em primeira pessoa: SBOM, definição do período de suporte, processo de divulgação coordenada de vulnerabilidades, avaliação de conformidade. O diário de bordo documenta essa preparação em aberto, incluindo as decisões que vierem a correr mal.
Nota de rigor. A Folhas Etéreas ainda não coloca produtos no mercado, pelo que não está sujeita a nenhum prazo próprio do CRA. As datas nesta página são o calendário do regulamento, não uma obrigação nossa.
Últimos artigos
O resto da pilha: kernel Linux, Python e certificados
A semana do PHP2Shell trouxe também correções para o kernel Linux, para o Python e para o repositório de certificados. Para quem fabrica, a pergunta é a mesma nas três camadas: por que caminho, e com que atraso, a correção chega aos aparelhos já vendidos.
PHP2Shell e Node.js: o que pedem a quem fabrica aparelhos
A 21 de outubro de 2026, o PHP e o Node.js publicaram correções de segurança graves. Quem fabrica aparelhos com painel web, gateways ou executáveis Node tem três perguntas para responder: se o produto traz o componente, se há dever de reporte ao abrigo do artigo 14.º e como chega a correção às unidades que já estão no terreno.
Divulgação coordenada de vulnerabilidades: o canal que o CRA obriga a manter aberto
As obrigações de reporte às autoridades já estão em aplicação, mas são metade do circuito. O Anexo I, Parte II, exige a outra metade: um canal público para receber relatórios de vulnerabilidades, com política, ponto de contacto e processo por trás. Custa pouco a montar, e há norma para quase tudo.