Saltar para o conteúdo
folhas.io
secure by design para produtos ligados· Artigos

Artigos

CRA e RED: o dispositivo com rádio vive hoje sob dois regimes

Desde agosto de 2025, qualquer equipamento de rádio ligado à internet tem de cumprir os requisitos de cibersegurança da RED. O CRA vem substituí-los, mas até dezembro de 2027 os dois regimes coexistem, e o trabalho feito num não vale automaticamente no outro.

Publicado

Quem fabrica dispositivos com rádio (Wi-Fi, Bluetooth, LoRa, NB-IoT, celular) não está à espera do CRA para ter obrigações de cibersegurança. Já as tem, desde 1 de agosto de 2025, por via da Diretiva de Equipamentos de Rádio.

O regime que já se aplica

O Regulamento Delegado (UE) 2022/30 ativou três requisitos essenciais adormecidos do artigo 3.º, n.º 3 da RED (Diretiva 2014/53/UE):

  • (d) proteção da rede: para qualquer equipamento de rádio que comunique pela internet, diretamente ou através de outro equipamento;
  • (e) proteção de dados pessoais e privacidade: quando o equipamento processa dados pessoais, de tráfego ou de localização; com alcance alargado a equipamento de puericultura, brinquedos e wearables;
  • (f) proteção contra fraude: quando o equipamento permite transferir dinheiro, valor monetário ou moeda virtual.

O caminho harmonizado é a série EN 18031: a parte 1 (proteção de rede, 31 requisitos), a parte 2 (privacidade, 40 requisitos) e a parte 3 (fraude, 34 requisitos), citadas no Jornal Oficial a 30 de janeiro de 2025. Aplicando a norma na íntegra, o fabricante ganha presunção de conformidade e pode autodeclarar.

Com uma pegadinha que apanha equipas todos os meses: a citação no JO veio com restrições. Entre elas, a presunção de conformidade cai se, ao aplicar determinadas cláusulas, o utilizador puder não definir palavra-passe nenhuma, ou se o controlo parental não estiver assegurado nas categorias que o exigem. Onde uma restrição retira a presunção, a autodeclaração fecha para esse requisito, e entra um organismo notificado ao abrigo do Anexo III da RED. Ler as notices da decisão de citação não é opcional.

O que muda com o CRA

O CRA absorve este terreno: na aplicação plena, a 11 de dezembro de 2027, o Regulamento Delegado 2022/30 é revogado e a cibersegurança do equipamento de rádio “muda de casa” para o CRA, que é mais largo (todos os produtos com elementos digitais, com ou sem rádio, mais o software vendido como produto) e mais fundo (obrigações de ciclo de vida, gestão de vulnerabilidades, período de suporte, reporte).

Linha de tempo 2024 a 2028: a EN 18031 é obrigatória sob a RED desde agosto de 2025 até ser revogada em dezembro de 2027; no CRA, o reporte de 24 e 72 horas aplica-se desde setembro de 2026 e a aplicação plena chega em dezembro de 2027; os dois regimes coexistem nesse intervalo.
A janela de coexistência: a EN 18031 já obriga, o CRA não espera pela aplicação plena para exigir o reporte.

Até lá, coexistência. E dois factos desconfortáveis dessa coexistência:

  1. O trabalho EN 18031 não transporta presunção para o CRA. Os dois sistemas de presunção de conformidade são distintos; as normas harmonizadas do CRA são outras e estão, na sua maioria, ainda em elaboração. O que transporta é o trabalho de engenharia subjacente, como o controlo de acessos, a gestão de atualizações e a proteção de dados, que ficará largamente reaproveitável. A documentação é que terá de ser remapeada.
  2. O artigo 14.º do CRA não espera pela aplicação plena. As obrigações de reporte aplicam-se a partir de 11 de setembro de 2026 também a produtos que já estão no mercado, incluindo os que nunca passaram pela EN 18031 por serem anteriores a agosto de 2025.

Como não duplicar trabalho

A sequência que recomendamos a quem tem dispositivo com rádio em desenvolvimento:

  1. Fechar a EN 18031 primeiro. É obrigação corrente desde agosto de 2025 e não pode esperar pelo CRA. Tratar as restrições da citação como requisitos de design (nunca permitir operação sem palavra-passe onde a cláusula o proíbe).
  2. Mapear cada requisito EN 18031 ao requisito essencial correspondente do Anexo I do CRA no momento em que se documenta, não em 2027. O custo marginal de manter a matriz de rastreabilidade agora é pequeno; reconstruí-la depois é um projeto.
  3. Desenhar a documentação técnica uma vez, com duas vistas. Um dossiê técnico único (análise de risco, arquitetura, testes, SBOM) do qual se extraem a vista RED e a vista CRA. Dois dossiês paralelos divergem sempre.

O que isto significa para quem fabrica

Para um fabricante pequeno, a leitura estratégica é esta: a RED DA é o ensaio geral do CRA com âmbito reduzido. Quem tratar a EN 18031 como checklist mínima vai pagar o CRA por inteiro em 2027; quem a tratar como a primeira iteração do mesmo sistema de gestão de segurança de produto chega a dezembro de 2027 com a maior parte do trabalho feito e documentado. A diferença está em fazer o trabalho uma vez ou duas, não no esforço de cada passagem.

Fontes