O Cyber Resilience Act passa para o fabricante a responsabilidade pela segurança do produto durante todo o ciclo de vida, e não só no momento em que ele sai da fábrica. Tratá-la como um problema de engenharia, e não de papelada, é o que faz a diferença.
Consultoria independente, portuguesa e técnica, dirigida a fabricantes pequenos e médios de hardware ligado e de software comercializado como produto.
Guia do CRA para fabricantesO que fazemos
Fabrica um produto ligado e quer saber onde está face ao CRA? Peça uma primeira leitura, sem custo
456 diasaté Aplicação plena para fabricantes (11 dez 2027)
Viemos da segurança ofensiva: pentest, red team, certificações OffSec. É esse o ângulo com que olhamos para um produto. Seguimos o caminho que um atacante faria, em vez de percorrer uma lista de requisitos a riscar. Num mercado onde o CRA é vendido como auditoria, a diferença nota-se no relatório.
O setor automóvel já passou por esta transição, com a UNECE R155/R156 e a ISO/SAE 21434. Na prática, essas normas são um ciclo de desenvolvimento seguro aplicado a um produto físico ligado. Os veículos estão excluídos do âmbito do CRA precisamente por já terem regime próprio, e é por isso que servem de antevisão do que aí vem para todos os outros.
| Setor | Regime que enfrentam |
|---|---|
| Automóvel Fabricante automóvel alemão | UNECE R155/R156 · ISO/SAE 21434 |
| Telecomunicações Operador tier-1 | NIS2 · DL 125/2025 |
| Banca Banco de retalho português | DORA |
| Fintech Pagamentos B2B | DORA |
| Integração Consultora internacional (parceria) | Vários, conforme o cliente final |
Clientes identificados por descritor genérico. Não são publicados âmbitos de trabalho, achados nem arquiteturas.
Estamos a desenvolver um produto próprio de IoT para agricultura. Quando chegar ao mercado, estará sujeito ao mesmo regulamento sobre o qual aconselhamos.
Isso obriga-nos a percorrer o processo em primeira pessoa: SBOM, definição do período de suporte, processo de divulgação coordenada de vulnerabilidades, avaliação de conformidade. O diário de bordo documenta essa preparação em aberto, incluindo as decisões que vierem a correr mal.
Nota de rigor. A Folhas Etéreas ainda não coloca produtos no mercado, pelo que não está sujeita a nenhum prazo próprio do CRA. As datas nesta página são o calendário do regulamento, não uma obrigação nossa.
As obrigações de reporte às autoridades já estão em aplicação, mas são metade do circuito. O Anexo I, Parte II, exige a outra metade: um canal público para receber relatórios de vulnerabilidades, com política, ponto de contacto e processo por trás. Custa pouco a montar, e há norma para quase tudo.
O equívoco mais comum sobre o CRA é achar que se dirige a fabricantes de dispositivos. Software vendido como produto está dentro. SaaS puro está fora, com uma exceção que apanha muita gente. E 'grátis' não significa 'não comercial'.
O setor automóvel foi o primeiro obrigado a tratar a cibersegurança como propriedade do produto ao longo do ciclo de vida, com a UNECE R155/R156 e a ISO/SAE 21434. Os veículos ficam de fora do CRA precisamente por isso, e é também por isso que servem de antevisão.