Saltar para o conteúdo
folhas.io
secure by design para produtos ligados· Artigos

Artigos

Classificação do produto no CRA: a decisão que define o custo de tudo o resto

Padrão, importante classe I, importante classe II ou crítico. A categoria do produto determina se a conformidade é uma autoavaliação ou um organismo notificado, e a diferença mede-se em dezenas de milhares de euros e meses de calendário.

Publicado

Antes de qualquer requisito técnico, o CRA obriga a uma pergunta de enquadramento: em que categoria cai o produto? A resposta determina o caminho de avaliação de conformidade e, com ele, o custo, o calendário e a dependência de terceiros de todo o projeto.

As quatro categorias

Produtos por omissão (“default”). Tudo o que não está listado nos anexos. O fabricante faz autoavaliação por controlo interno da produção (o equivalente ao Módulo A das avaliações CE clássicas): aplica os requisitos essenciais do Anexo I, monta a documentação técnica, assina a declaração UE de conformidade e apõe a marcação CE. Sem terceiros. A Comissão estima que é o caso de cerca de 90% dos produtos abrangidos.

Importantes, classe I (Anexo III). Dezanove categorias, entre as quais: gestores de identidade e acessos, browsers, gestores de palavras-passe, VPN, sistemas de gestão de rede, SIEM, boot managers, PKI, interfaces de rede físicas e virtuais, sistemas operativos, routers e switches, microprocessadores e microcontroladores com funcionalidades de segurança, assistentes virtuais domésticos, produtos smart home com funcionalidades de segurança (fechaduras, câmaras, alarmes, monitores de bebé), brinquedos ligados com interação social ou localização, e wearables de monitorização de saúde.

Para classe I, a autoavaliação só está disponível se existir e for aplicada uma norma harmonizada (ou especificação comum, ou certificação europeia) que cubra os requisitos. Sem norma harmonizada aplicável, entra um organismo notificado: exame UE de tipo (Módulo B+C) ou garantia de qualidade total (Módulo H).

Importantes, classe II (Anexo III). Hipervisores e runtimes de contentores, firewalls e sistemas de deteção/prevenção de intrusões, microprocessadores e microcontroladores resistentes a violação. Aqui o organismo notificado é sempre obrigatório, independentemente de normas.

Críticos (Anexo IV). Hardware com caixas de segurança, gateways de contadores inteligentes, cartões inteligentes e elementos seguros. A Comissão pode exigir certificação europeia de cibersegurança (por exemplo EUCC).

Diagrama: produtos por omissão seguem para autoavaliação; classe I vai para autoavaliação com norma harmonizada e para organismo notificado sem ela; classe II exige sempre organismo notificado; produtos críticos podem exigir certificação europeia.
Da categoria ao caminho de conformidade. A bifurcação da classe I, com ou sem norma harmonizada, é onde vive o risco de calendário.

O erro de leitura mais comum

A classificação aplica-se ao produto que se coloca no mercado, não aos componentes lá dentro. Um sensor agrícola construído sobre um microcontrolador com secure element não se torna classe I por isso: quem coloca o MCU no mercado é o fabricante do MCU. A pergunta certa é sempre “qual é a funcionalidade principal do meu produto, tal como o Anexo III a descreve?”. A orientação da Comissão de julho de 2026 dedica uma secção inteira a delimitar estas categorias, porque é aqui que a maioria das dúvidas de enquadramento vive.

O caso com que mais nos cruzamos: um dispositivo IoT genérico (monitorização ambiental, telemetria, agricultura) é tipicamente produto por omissão. Passa a classe I se a sua função for de segurança, como uma câmara de vigilância, uma fechadura ou um alarme.

A armadilha de calendário nas classes I

Para classe I sem norma harmonizada citada, o caminho barato (autoavaliação) fecha. E o estado das normas harmonizadas do CRA é, hoje, o ponto mais frágil de todo o edifício: as normas setoriais estão em elaboração ao abrigo do pedido de normalização M/606, e várias não estarão citadas no Jornal Oficial muito antes de dezembro de 2027. Um fabricante de classe I que planeou “Módulo A” pode descobrir tarde que precisa de organismo notificado, com custos indicativos de 15.000–50.000 € e 6–12 meses de calendário, num mercado de organismos notificados que ainda está a ser designado.

A gestão sensata deste risco: decidir a classificação por escrito, com fundamentação, logo na fase de conceção; acompanhar o estado das normas da categoria; e ter um plano B com organismo notificado orçamentado se a norma não chegar a tempo.

O que isto significa para quem fabrica

  1. A classificação é uma decisão de arquitetura de negócio, não um pormenor jurídico. Uma funcionalidade acrescentada ao produto (“e também faz de alarme”) pode mudar a categoria e multiplicar o custo de conformidade.
  2. Documentar a fundamentação da categoria escolhida é parte da documentação técnica; é a primeira coisa que uma autoridade de fiscalização vai querer ver.
  3. Para produtos por omissão, o trabalho real está nos requisitos essenciais do Anexo I e no processo de gestão de vulnerabilidades. A autoavaliação não é isenção, é autorresponsabilização.

Fontes