Saltar para o conteúdo
folhas.io
secure by design para produtos ligados· Artigos

Artigos

CRA e RED: o dispositivo com rádio vive hoje sob dois regimes

Desde agosto de 2025, o equipamento de rádio ligado à internet tem de cumprir os requisitos de cibersegurança da RED. O CRA vem substituí-los, mas até dezembro de 2027 os dois regimes coexistem, e o trabalho feito num não vale automaticamente no outro.

Publicado
Atualizado

Nota de atualização (23 out 2026). Corrigimos a fonte da revogação do Regulamento Delegado 2022/30 (é o Regulamento Delegado (UE) 2026/339 da Comissão), esclarecemos que o que a RED torna obrigatório são os requisitos essenciais, para os quais a EN 18031 é a via harmonizada, e acrescentámos as exclusões do regulamento delegado e o segundo procedimento com organismo notificado.

Quem fabrica dispositivos com rádio (Wi-Fi, Bluetooth, LoRa, NB-IoT, celular) não está à espera do CRA para ter obrigações de cibersegurança. Já as tem, desde 1 de agosto de 2025, por via da Diretiva de Equipamentos de Rádio.

O regime que já se aplica

O Regulamento Delegado (UE) 2022/30 ativou três requisitos essenciais adormecidos do artigo 3.º, n.º 3 da RED (Diretiva 2014/53/UE):

  • (d) proteção da rede: para qualquer equipamento de rádio que comunique pela internet, diretamente ou através de outro equipamento;
  • (e) proteção de dados pessoais e privacidade: quando o equipamento processa dados pessoais, de tráfego ou de localização; com alcance alargado a equipamento de puericultura, brinquedos e wearables;
  • (f) proteção contra fraude: quando o equipamento permite transferir dinheiro, valor monetário ou moeda virtual.

O art. 2.º do mesmo regulamento afasta os três requisitos do equipamento abrangido pelos regulamentos dos dispositivos médicos e dos dispositivos de diagnóstico in vitro (Regulamentos (UE) 2017/745 e 2017/746). Afasta ainda (e) e (f) do equipamento abrangido pelas regras da aviação civil (Regulamento (UE) 2018/1139), da homologação de veículos (Regulamento (UE) 2019/2144) e da portagem eletrónica (Diretiva (UE) 2019/520).

O caminho harmonizado é a série EN 18031: a parte 1 (proteção de rede, 31 requisitos), a parte 2 (privacidade, 40 requisitos) e a parte 3 (fraude, 34 requisitos), citadas no Jornal Oficial a 30 de janeiro de 2025. Aplicando a norma na íntegra, o fabricante ganha presunção de conformidade e pode autodeclarar.

Há, porém, uma ressalva: a citação no JO veio com restrições. Entre elas, a presunção de conformidade cai se, ao aplicar determinadas cláusulas, o utilizador puder não definir palavra-passe nenhuma, ou se o controlo parental não estiver assegurado nas categorias que o exigem. Onde uma restrição retira a presunção, a autodeclaração fecha para esse requisito, e entra um organismo notificado ao abrigo do Anexo III (exame UE de tipo) ou do Anexo IV (garantia de qualidade total) da RED. As restrições constam das notices da Decisão de Execução (UE) 2025/138 e têm de ser lidas cláusula a cláusula.

O que muda com o CRA

O CRA absorve este terreno: na aplicação plena, a 11 de dezembro de 2027, o Regulamento Delegado 2022/30 é revogado e a cibersegurança do equipamento de rádio “muda de casa” para o CRA, que é mais largo (todos os produtos com elementos digitais, com ou sem rádio, mais o software vendido como produto) e mais fundo (obrigações de ciclo de vida, gestão de vulnerabilidades, período de suporte, reporte).

A revogação é feita pelo Regulamento Delegado (UE) 2026/339 da Comissão, adotado ao abrigo da própria RED. O equipamento de rádio colocado no mercado entre 1 de agosto de 2025 e 10 de dezembro de 2027 e sujeito a estes requisitos continua, depois dessa data, a poder ser fiscalizado ao abrigo da RED.

Linha de tempo 2024 a 2028: sob a RED, os requisitos de cibersegurança do artigo 3.º, n.º 3, alíneas d), e) e f), são obrigatórios desde agosto de 2025 (a EN 18031 é a via harmonizada, voluntária, para a presunção de conformidade) até à revogação do Regulamento Delegado 2022/30, com efeitos em dezembro de 2027; no CRA, o reporte de 24 e 72 horas aplica-se desde setembro de 2026 e a aplicação plena chega em dezembro de 2027; os dois regimes coexistem nesse intervalo.
A janela de coexistência: os requisitos de cibersegurança da RED já obrigam, e o CRA não espera pela aplicação plena para exigir o reporte.

Até lá, coexistência. E dois factos desconfortáveis dessa coexistência:

  1. O trabalho EN 18031 não transporta presunção para o CRA. Os dois sistemas de presunção de conformidade são distintos; as normas harmonizadas do CRA são outras e estão, na sua maioria, ainda em elaboração. O que transporta é o trabalho de engenharia subjacente, como o controlo de acessos, a gestão de atualizações e a proteção de dados, que ficará largamente reaproveitável. A documentação é que terá de ser remapeada.
  2. O artigo 14.º do CRA não espera pela aplicação plena. As obrigações de reporte aplicam-se a partir de 11 de setembro de 2026 também a produtos que já estão no mercado, incluindo os que nunca passaram pela EN 18031 por serem anteriores a agosto de 2025.

Como não duplicar trabalho

A sequência que recomendamos a quem tem dispositivo com rádio em desenvolvimento:

  1. Fechar a EN 18031 primeiro. Os requisitos do art. 3.º, n.º 3, al. d), e) e f), da RED são obrigação corrente desde 1 de agosto de 2025 e não podem esperar pelo CRA; a EN 18031 é a via harmonizada para os demonstrar e para autodeclarar a conformidade. Tratar as restrições da citação como requisitos de design (nunca permitir operação sem palavra-passe onde a cláusula o proíbe).
  2. Mapear cada requisito EN 18031 ao requisito essencial correspondente do Anexo I do CRA no momento em que se documenta. Manter a matriz de rastreabilidade à medida que se avança custa pouco e evita reconstruí-la mais tarde.
  3. Desenhar a documentação técnica uma vez, com duas vistas. Um dossiê técnico único (análise de risco, arquitetura, testes, SBOM) do qual se extraem a vista RED e a vista CRA. Dois dossiês paralelos acabam por divergir.

O que isto significa para quem fabrica

Para um fabricante pequeno, a leitura estratégica é esta: a RED DA é o ensaio geral do CRA com âmbito reduzido. Quem tratar a EN 18031 como checklist mínima vai pagar o CRA por inteiro em 2027; quem a tratar como a primeira iteração do mesmo sistema de gestão de segurança de produto chega a dezembro de 2027 com a maior parte do trabalho feito e documentado.

Fontes