Saltar para o conteúdo
folhas.io
secure by design para produtos ligados· Artigos

Artigos

Classificação do produto no CRA: a decisão que define o custo de tudo o resto

Padrão, importante classe I, importante classe II ou crítico. A categoria do produto determina se a conformidade é uma autoavaliação ou um organismo notificado, e a diferença mede-se em dezenas de milhares de euros e meses de calendário.

Publicado
Atualizado

Nota de atualização (23 out 2026). Corrigimos os caminhos de avaliação da classe II e dos produtos críticos, que estavam simplificados em excesso, acrescentámos a exceção para software livre e de código aberto e o Regulamento de Execução (UE) 2025/2392, e pusemos em dia o estado das normas harmonizadas.

Antes de qualquer requisito técnico, o CRA obriga a uma pergunta de enquadramento: em que categoria cai o produto? A resposta determina o caminho de avaliação de conformidade e, com ele, o custo, o calendário e a dependência de terceiros de todo o projeto.

As quatro categorias

Produtos por omissão (“default”). Tudo o que não está listado nos anexos. O fabricante faz autoavaliação por controlo interno da produção (o equivalente ao Módulo A das avaliações CE clássicas): aplica os requisitos essenciais do Anexo I, monta a documentação técnica, assina a declaração UE de conformidade e apõe a marcação CE. Sem terceiros. A Comissão estima que é o caso de cerca de 90% dos produtos abrangidos.

Importantes, classe I (Anexo III). Dezanove categorias, entre as quais: gestores de identidade e acessos, browsers, gestores de palavras-passe, VPN, sistemas de gestão de rede, SIEM, boot managers, PKI, interfaces de rede físicas e virtuais, sistemas operativos, routers e switches, microprocessadores e microcontroladores com funcionalidades de segurança, assistentes virtuais domésticos, produtos smart home com funcionalidades de segurança (fechaduras, câmaras, alarmes, monitores de bebé), brinquedos ligados com interação social ou localização, e wearables de monitorização de saúde.

Para classe I, a autoavaliação só está disponível se existir e for aplicada uma norma harmonizada (ou especificação comum, ou certificação europeia) que cubra os requisitos. Sem norma harmonizada aplicável, entra um organismo notificado: exame UE de tipo (Módulo B+C) ou garantia de qualidade total (Módulo H).

Importantes, classe II (Anexo III). Hipervisores e runtimes de contentores, firewalls e sistemas de deteção/prevenção de intrusões, microprocessadores e microcontroladores resistentes a violação. Aqui as normas harmonizadas não abrem a autoavaliação: o artigo 32.º, n.º 3, admite o exame UE de tipo (Módulo B+C), a garantia de qualidade total (Módulo H) ou, quando existir e for aplicável, um sistema europeu de certificação da cibersegurança com nível de garantia pelo menos “substancial”. À data desta revisão ainda não tinha sido adotado o ato delegado que especifica esses sistemas (artigo 27.º, n.º 9), por isso, na prática, isto significa organismo notificado.

Há uma exceção para as duas classes de produtos importantes: os produtos que sejam software livre e de código aberto podem usar qualquer dos procedimentos, incluindo o controlo interno, desde que a documentação técnica seja tornada pública quando são colocados no mercado (artigo 32.º, n.º 5).

Críticos (Anexo IV). Hardware com caixas de segurança, gateways de contadores inteligentes, cartões inteligentes e elementos seguros. Se um ato delegado ao abrigo do artigo 8.º, n.º 1, exigir um certificado europeu de cibersegurança (por exemplo EUCC) com nível de garantia pelo menos “substancial”, é essa a via. Enquanto esse ato não existir, e nenhum tinha sido adotado em outubro de 2026, aplicam-se os procedimentos da classe II (artigo 32.º, n.º 4).

Diagrama: produtos por omissão seguem para autoavaliação; classe I vai para autoavaliação com norma harmonizada e para organismo notificado sem ela; classe II vai, na prática, para organismo notificado; produtos críticos vão para a certificação europeia se um ato delegado a exigir e, sem esse ato, para organismo notificado.
Da categoria ao caminho de conformidade. A bifurcação da classe I, com ou sem norma harmonizada, é onde vive o risco de calendário.

O erro de leitura mais comum

A classificação aplica-se ao produto que se coloca no mercado, não aos componentes lá dentro. Um sensor agrícola construído sobre um microcontrolador com secure element não se torna classe I por isso: quem coloca o MCU no mercado é o fabricante do MCU. A pergunta certa é sempre “qual é a funcionalidade principal do meu produto, tal como o Anexo III a descreve?”. A delimitação vinculativa está no Regulamento de Execução (UE) 2025/2392, que dá a descrição técnica de cada categoria dos Anexos III e IV. As orientações da Comissão de 27 jul 2026, C(2026) 5252, publicadas já depois da primeira versão deste texto e não vinculativas, dedicam uma secção inteira a estas categorias (secção 6), porque é aqui que vive a maioria das dúvidas de enquadramento.

O caso com que mais nos cruzamos: um dispositivo IoT genérico (monitorização ambiental, telemetria, agricultura) é tipicamente produto por omissão, e só passa a importante se a sua funcionalidade principal corresponder a uma categoria do Anexo III. As fechaduras, câmaras e alarmes da classe I são produtos smart home com funcionalidades de segurança, que o regulamento de execução limita a produtos que protegem a segurança física de consumidores em contexto residencial. Uma câmara ou um alarme numa exploração agrícola não cai aí automaticamente, embora um leitor de controlo de acessos possa cair noutra categoria da classe I.

A armadilha de calendário nas classes I

Para classe I sem norma harmonizada citada, o caminho barato (autoavaliação) fecha. E o estado das normas harmonizadas do CRA continua a ser a maior incerteza do processo. Em outubro de 2026, nenhuma norma do CRA tinha a referência publicada no Jornal Oficial, pelo que ainda não há presunção de conformidade ao abrigo do artigo 27.º. As normas verticais do pedido de normalização M/606 estão em fase de aprovação: a 13 de agosto, a ETSI anunciou que estavam em inquérito público, submetidos ao longo do verão, 17 projetos finais da série EN 304 6xx (entre eles browsers, gestores de palavras-passe, routers, produtos smart home, brinquedos e wearables), que qualquer pessoa pode ler, num procedimento cujo fim varia, consoante a norma, entre meados de setembro e meados de novembro de 2026. Depois da aprovação faltam ainda a avaliação da Comissão e a publicação da referência no Jornal Oficial, e várias não estarão citadas muito antes de dezembro de 2027.

Um fabricante de classe I que planeou “Módulo A” pode descobrir tarde que precisa de organismo notificado, com custos indicativos de 15.000–50.000 € e 6–12 meses de calendário, num mercado de organismos notificados que ainda está a ser montado: o regulamento pede aos Estados-Membros que façam os possíveis para ter um número suficiente até 11 de dezembro de 2026 (artigo 35.º, n.º 2), e nas últimas verificações públicas ainda não havia nenhum notificado ao abrigo do CRA.

A gestão sensata deste risco: decidir a classificação por escrito, com fundamentação, logo na fase de conceção; acompanhar o estado das normas da categoria; e ter um plano B com organismo notificado orçamentado se a norma não chegar a tempo.

O que isto significa para quem fabrica

  1. A classificação é uma decisão de arquitetura de negócio: uma funcionalidade acrescentada que passe a ser a funcionalidade principal do produto pode mudar a categoria e multiplicar o custo de conformidade.
  2. Documentar a fundamentação da categoria escolhida é parte da documentação técnica; é a primeira coisa que uma autoridade de fiscalização vai querer ver.
  3. Para produtos por omissão, o trabalho real está nos requisitos essenciais do Anexo I e no processo de gestão de vulnerabilidades. Na autoavaliação não há terceiros a verificar: é o fabricante que declara a conformidade, sob a sua exclusiva responsabilidade.

Fontes