Saltar para o conteúdo
folhas.io
secure by design para produtos ligados· Artigos

Artigos

O que o automóvel já aprendeu, e o resto da indústria vai aprender até 2027

O setor automóvel foi o primeiro obrigado a tratar a cibersegurança como propriedade do produto ao longo do ciclo de vida, com a UNECE R155/R156 e a ISO/SAE 21434. Os veículos ficam de fora do CRA precisamente por isso, e é também por isso que servem de antevisão.

Publicado

Há um setor onde as ideias centrais do Cyber Resilience Act (segurança como propriedade do produto, gestão de risco ao longo do ciclo de vida, atualizações geridas, responsabilidade do fabricante depois da venda) não são novidade de 2027. São obrigação de homologação desde 2022. Trabalhámos nesse setor, e é essa experiência que mais informa a forma como lemos o CRA.

O regime automóvel em duas peças

UNECE R155 condiciona a homologação de veículos à existência de um Cyber Security Management System (CSMS) certificado no fabricante: processos organizacionais que cobrem a identificação e gestão de riscos de cibersegurança do veículo, da fase de desenvolvimento à fase pós-produção, incluindo a monitorização de ameaças e a resposta a incidentes na frota em circulação. Não se homologa um veículo novo na UE sem isto; a exigência tornou-se aplicável a todos os veículos novos vendidos a partir de julho de 2024.

UNECE R156 faz o mesmo para atualizações de software: um Software Update Management System (SUMS), com controlo de versões, avaliação de impacto de cada atualização (incluindo sobre a homologação) e, para atualizações over-the-air, garantias de execução segura.

Por baixo das duas, a ISO/SAE 21434 fornece a engenharia: análise de ameaças e avaliação de risco (TARA), requisitos de cibersegurança em cascata pela cadeia de fornecimento, validação, e atividades de monitorização e resposta pós-desenvolvimento.

Quem conhece o Anexo I do CRA reconhece o mapa: avaliação de riscos do produto, requisitos essenciais de design, gestão de vulnerabilidades ao longo do suporte, atualizações seguras. A estrutura é a mesma; muda a escala e o vocabulário. E é por os veículos já terem regime próprio que o CRA os exclui expressamente do seu âmbito, tal como exclui dispositivos médicos e aviação, os outros setores com regulação de produto pré-existente.

Duas linhas de tempo paralelas: o setor automóvel passou pela ISO/SAE 21434 em 2021, pela R155 para tipos novos em julho de 2022 e para todos os veículos novos em julho de 2024; os restantes produtos ligados seguem o mesmo caminho com o CRA, do vigor em dezembro de 2024 à aplicação plena em dezembro de 2027.
O mesmo modelo, uns anos depois: o calendário que o automóvel já cumpriu é o que o resto da indústria tem pela frente.

Cinco lições que custaram caro ao automóvel

O valor de olhar para o automóvel está menos na teoria do que nos erros que a indústria já pagou e que o resto do mercado pode evitar:

  1. A cadeia de fornecimento é o projeto. Um OEM não escreve a maior parte do software do carro; os Tier 1 e 2 escrevem. A R155 obrigou a empurrar requisitos de cibersegurança pelos contratos de fornecimento abaixo, e a lição foi que fazê-lo tarde é caríssimo. No CRA, o equivalente é a due diligence sobre componentes de terceiros: o fabricante responde pelo produto inteiro, incluindo o que não escreveu.
  2. A TARA só é útil se for viva. As primeiras análises de risco automóveis foram documentos de homologação, feitos uma vez. As que funcionam são artefactos mantidos, que se atualizam quando a arquitetura muda ou surge uma nova classe de ataque.
  3. Monitorização pós-venda precisa de órgão próprio. A R155 forçou os fabricantes a montar capacidade permanente de vigilância de ameaças sobre produto em campo, o embrião do PSIRT. É exatamente a capacidade que o artigo 14.º do CRA pressupõe quando dá 24 horas para o primeiro aviso.
  4. Atualizar uma frota é um produto em si. O automóvel aprendeu que OTA não é uma funcionalidade, é uma infraestrutura com gestão de chaves, faseamento, rollback e telemetria de sucesso. Qualquer fabricante de IoT que declare cinco anos de suporte vai redescobrir isto.
  5. Certificar processos é diferente de garantir produtos. O CSMS certifica que a organização tem processos; não impede um produto mau. A tentação de gerir a conformidade como exercício documental existe em todos os regimes, e a fiscalização de mercado do CRA, ao contrário da homologação, pode bater à porta depois da venda.

O que isto significa para quem fabrica

Para um fabricante fora do automóvel, a leitura prática: o CRA não pede nada que uma indústria inteira não tenha já operacionalizado, incluindo fornecedores de dimensão média. Isso é a boa notícia. A má é o corolário: os argumentos de impossibilidade (“não dá para gerir vulnerabilidades durante anos”, “não dá para exigir SBOM aos fornecedores”) já foram refutados na prática por um setor com margens apertadas e cadeias de fornecimento bem mais complexas do que as da maioria dos produtos IoT.

A vantagem de quem começa agora: pode copiar a forma final sem pagar as iterações. TARA viva, requisitos em cascata nos contratos, capacidade de resposta permanente, atualização como infraestrutura. O automóvel demorou uma década a chegar aqui, e o desenho está público.

Fontes