Cyber Resilience Act para fabricantes
O Regulamento (UE) 2024/2847 impõe requisitos de cibersegurança a quem coloca no mercado europeu produtos com elementos digitais. Esta página é o ponto de entrada: o que o regulamento abrange, que decisões técnicas obriga a tomar, e quando.
- Publicado
- Atualizado
O regulamento aplica-se a produtos com elementos digitais, de dispositivos ligados a software comercializado como produto. As obrigações recaem sobre o fabricante, incluindo quem integra componentes digitais em produtos físicos; importadores e distribuidores têm obrigações próprias.
A diferença face a regimes anteriores é o eixo temporal: as obrigações não terminam na colocação no mercado. Gestão de vulnerabilidades, atualizações de segurança e comunicação durante o período de suporte fazem parte do produto.
Calendário do CRA
414 diasaté Aplicação plena para fabricantes (11 dez 2027)
- 10 dez 2024O Cyber Resilience Act entra em vigor. As obrigações para fabricantes só se tornam aplicáveis mais tarde, por fases. Regulamento (UE) 2024/2847
- 27 jul 2026A Comissão Europeia publica orientações não vinculativas sobre a aplicação do CRA: âmbito, modificação substancial, período de suporte, reporte e avaliação de risco. Comissão Europeia, Comunicação C(2026) 5252 (orientações nos termos do artigo 26.º)
- 11 set 2026Tornam-se aplicáveis as obrigações de reporte: notificação de alerta precoce em 24 horas e notificação de vulnerabilidade ou de incidente em 72 horas, para vulnerabilidades ativamente exploradas e incidentes graves. As notificações fazem-se pela plataforma única de comunicação de informações da ENISA, operacional desde a mesma data. Regulamento (UE) 2024/2847, artigo 14.º
- 11 dez 2027O CRA torna-se plenamente aplicável. A partir daqui, os produtos com elementos digitais colocados no mercado têm de cumprir os requisitos essenciais de cibersegurança. Regulamento (UE) 2024/2847
Calendário completo, com contexto nacional
O calendário acima mostra os marcos principais do CRA. Esta tabela acrescenta os restantes e o contexto regulatório nacional, que corre em paralelo.
| Data | Marco | Fonte |
|---|---|---|
| 10 dez 2024 | CRA em vigor O Cyber Resilience Act entra em vigor. As obrigações para fabricantes só se tornam aplicáveis mais tarde, por fases. | Regulamento (UE) 2024/2847 |
| 3 abr 2026 | DL 125/2025 (NIS2 PT) O Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2, entra em vigor. Aplica-se a entidades essenciais e importantes, incluindo fabricantes de média ou grande dimensão das divisões 26 a 30 da NACE (Anexo II), e regula a segurança das suas redes e sistemas, não a dos produtos que colocam no mercado. | Decreto-Lei n.º 125/2025, artigo 11.º |
| 11 jun 2026 | Capítulo IV aplicável Passa a aplicar-se o capítulo IV do CRA (artigos 35.º a 51.º), com as regras de notificação dos organismos de avaliação da conformidade. Dirige-se aos Estados-Membros e aos organismos, não aos fabricantes. | Regulamento (UE) 2024/2847, artigo 71.º, n.º 2 |
| 23 jun 2026 | Quadro Nacional de Referência Entra em vigor o Regulamento n.º 756/2026 do CNCS, de execução do Regime Jurídico da Cibersegurança, que aprova, entre outras matérias, o Quadro Nacional de Referência para a Cibersegurança (QNRCS). | Regulamento n.º 756/2026 (CNCS) |
| 27 jul 2026 | Orientações da Comissão A Comissão Europeia publica orientações não vinculativas sobre a aplicação do CRA: âmbito, modificação substancial, período de suporte, reporte e avaliação de risco. | Comissão Europeia, Comunicação C(2026) 5252 (orientações nos termos do artigo 26.º) |
| 11 set 2026 | Reporte 24h / 72h Tornam-se aplicáveis as obrigações de reporte: notificação de alerta precoce em 24 horas e notificação de vulnerabilidade ou de incidente em 72 horas, para vulnerabilidades ativamente exploradas e incidentes graves. As notificações fazem-se pela plataforma única de comunicação de informações da ENISA, operacional desde a mesma data. | Regulamento (UE) 2024/2847, artigo 14.º |
| 11 dez 2026 | Organismos notificados Data até à qual os Estados-Membros devem procurar dispor de organismos notificados em número suficiente para a avaliação da conformidade por terceiros. A meta é dos Estados-Membros e não cria obrigações para os fabricantes. | Regulamento (UE) 2024/2847, artigo 35.º, n.º 2 |
| 11 dez 2027 | Aplicação plena O CRA torna-se plenamente aplicável. A partir daqui, os produtos com elementos digitais colocados no mercado têm de cumprir os requisitos essenciais de cibersegurança. | Regulamento (UE) 2024/2847 |
Os sete pontos que decidem um projeto
Cada um destes é um artigo de fundo, já publicado.
- 01
SBOM para firmware embebido: o que o CRA pede e como se gera sem mentir
A lista de materiais de software exigida pelo CRA não se escreve à mão. Para firmware, a única SBOM credível sai do sistema de build, e o scan de binários serve para o que não construímos nós.
- 02
O reporte de 24h e 72h: como funciona a obrigação aplicável desde 11 de setembro de 2026
Desde 11 de setembro de 2026, um fabricante que saiba de uma vulnerabilidade ativamente explorada no seu produto tem 24 horas para o primeiro aviso. O que se reporta, a quem, por onde, e o que convém ter pronto.
- 03
Classificação do produto no CRA: a decisão que define o custo de tudo o resto
Padrão, importante classe I, importante classe II ou crítico. A categoria do produto determina se a conformidade é uma autoavaliação ou um organismo notificado, e a diferença mede-se em dezenas de milhares de euros e meses de calendário.
- 04
Período de suporte: a promessa mais cara que o CRA obriga a fazer
O CRA obriga cada fabricante a declarar por quanto tempo suporta o produto: no mínimo, em regra, cinco anos. É uma decisão de engenharia, de contratos e de fornecedores disfarçada de campo num formulário.
- 05
CRA e RED: o dispositivo com rádio vive hoje sob dois regimes
Desde agosto de 2025, o equipamento de rádio ligado à internet tem de cumprir os requisitos de cibersegurança da RED. O CRA vem substituí-los, mas até dezembro de 2027 os dois regimes coexistem, e o trabalho feito num não vale automaticamente no outro.
- 06
O que o automóvel já aprendeu, e o resto da indústria vai aprender até 2027
O setor automóvel foi o primeiro obrigado a tratar a cibersegurança como propriedade do produto ao longo do ciclo de vida, com a UNECE R155/R156 e a ISO/SAE 21434. Os veículos ficam de fora do CRA precisamente por isso, e é também por isso que servem de antevisão.
- 07
CRA para quem faz software: o regulamento não é só para quem solda placas
O equívoco mais comum sobre o CRA é achar que se dirige a fabricantes de dispositivos. Software vendido como produto está dentro. SaaS puro está fora, com uma exceção que apanha muita gente. E 'grátis' não significa 'não comercial'.
Leituras complementares
Artigos de fundo que aprofundam um destes pontos ou o aplicam a um caso concreto.
Divulgação coordenada de vulnerabilidades: o canal que o CRA obriga a manter aberto
As obrigações de reporte às autoridades já estão em aplicação, mas são metade do circuito. O Anexo I, Parte II, exige a outra metade: um canal público para receber relatórios de vulnerabilidades, com política, ponto de contacto e processo por trás. Custa pouco a montar, e há norma para quase tudo.
PHP2Shell e Node.js: o que pedem a quem fabrica aparelhos
A 21 de outubro de 2026, o PHP e o Node.js publicaram correções de segurança graves. Quem fabrica aparelhos com painel web, gateways ou executáveis Node tem três perguntas para responder: se o produto traz o componente, se há dever de reporte ao abrigo do artigo 14.º e como chega a correção às unidades que já estão no terreno.
O resto da pilha: kernel Linux, Python e certificados
A semana do PHP2Shell trouxe também correções para o kernel Linux, para o Python e para o repositório de certificados. Para quem fabrica, a pergunta é a mesma nas três camadas: por que caminho, e com que atraso, a correção chega aos aparelhos já vendidos.
Onde é que isto se torna trabalho
Preparar um produto para o CRA não é preencher um dossiê no fim. As decisões que custam caro tomam-se cedo: que componentes de terceiros entram no firmware e como serão acompanhados, que superfície de atualização o dispositivo expõe, quanto tempo a empresa se compromete a suportar o produto, e quem recebe e responde a um relatório de vulnerabilidade vindo de fora.
O que fazemos descreve como entramos nesse processo. O ponto de partida é uma primeira leitura sem custo e por escrito, com a classificação provável do produto e as decisões mais urgentes.
Sem promessas de conformidade. Nenhum consultor pode garantir a conformidade de um produto — quem a declara é o fabricante, sob a sua responsabilidade. Trabalhamos na preparação e na redução de risco técnico.