Cyber Resilience Act para fabricantes
O Regulamento (UE) 2024/2847 impõe requisitos de cibersegurança a quem coloca no mercado europeu produtos com elementos digitais. Esta página é o ponto de entrada: o que o regulamento abrange, que decisões técnicas obriga a tomar, e quando.
A leitura corrente é que o CRA se dirige a grandes fabricantes de hardware. Não é o caso. O regulamento aplica-se a produtos com elementos digitais, o que inclui software comercializado como produto, empresas que integram componentes digitais em produtos físicos, e ainda importadores e distribuidores, com obrigações próprias.
A diferença face a regimes anteriores é o eixo temporal: as obrigações não terminam na colocação no mercado. Gestão de vulnerabilidades, atualizações de segurança e comunicação durante o período de suporte fazem parte do produto.
Calendário do CRA
456 diasaté Aplicação plena para fabricantes (11 dez 2027)
- 10 dez 2024O Cyber Resilience Act entra em vigor. As obrigações para fabricantes só se tornam aplicáveis mais tarde, por fases. Regulamento (UE) 2024/2847
- 27 jul 2026A Comissão Europeia publica orientações práticas sobre a aplicação do CRA. Comissão Europeia
- 11 set 2026Tornam-se aplicáveis as obrigações de reporte: aviso inicial em 24 horas e notificação em 72 horas para vulnerabilidades ativamente exploradas e incidentes graves. Regulamento (UE) 2024/2847, artigo 14.º
- 11 dez 2027O CRA torna-se plenamente aplicável. A partir daqui, os produtos com elementos digitais colocados no mercado têm de cumprir os requisitos essenciais de cibersegurança. Regulamento (UE) 2024/2847
Calendário completo, com contexto nacional
O calendário acima mostra os marcos do CRA. Esta tabela inclui também o contexto regulatório nacional, que corre em paralelo e se aplica a entidades, não a fabricantes enquanto tal.
| Data | Marco | Fonte |
|---|---|---|
| 10 dez 2024 | CRA em vigor O Cyber Resilience Act entra em vigor. As obrigações para fabricantes só se tornam aplicáveis mais tarde, por fases. | Regulamento (UE) 2024/2847 |
| 3 abr 2026 | DL 125/2025 (NIS2 PT) Transposição portuguesa da diretiva NIS2 produz efeitos. Aplica-se a entidades essenciais e importantes, não a fabricantes enquanto tal. | Decreto-Lei n.º 125/2025 |
| 23 jun 2026 | Quadro Nacional de Referência Regulamento 756/2026 do CNCS produz efeitos, estabelecendo o Quadro Nacional de Referência para a Cibersegurança. | Regulamento n.º 756/2026 (CNCS) |
| 27 jul 2026 | Orientações da Comissão A Comissão Europeia publica orientações práticas sobre a aplicação do CRA. | Comissão Europeia |
| 11 set 2026 | Reporte 24h / 72h Tornam-se aplicáveis as obrigações de reporte: aviso inicial em 24 horas e notificação em 72 horas para vulnerabilidades ativamente exploradas e incidentes graves. | Regulamento (UE) 2024/2847, artigo 14.º |
| 11 dez 2027 | Aplicação plena O CRA torna-se plenamente aplicável. A partir daqui, os produtos com elementos digitais colocados no mercado têm de cumprir os requisitos essenciais de cibersegurança. | Regulamento (UE) 2024/2847 |
Os sete pontos que decidem um projeto
Cada um destes é um artigo de fundo, já publicado. Novos artigos saem a cada duas a três semanas.
- 01
SBOM para firmware embebido: o que o CRA pede e como se gera sem mentir
A lista de materiais de software exigida pelo CRA não se escreve à mão. Para firmware, a única SBOM credível sai do sistema de build, e o scan de binários serve para o que não construímos nós.
- 02
O reporte de 24h e 72h: como funciona a obrigação que chega a 11 de setembro
A partir de 11 de setembro de 2026, um fabricante que saiba de uma vulnerabilidade ativamente explorada no seu produto tem 24 horas para o primeiro aviso. O que se reporta, a quem, por onde, e o que preparar antes.
- 03
Classificação do produto no CRA: a decisão que define o custo de tudo o resto
Padrão, importante classe I, importante classe II ou crítico. A categoria do produto determina se a conformidade é uma autoavaliação ou um organismo notificado, e a diferença mede-se em dezenas de milhares de euros e meses de calendário.
- 04
Período de suporte: a promessa mais cara que o CRA obriga a fazer
O CRA obriga cada fabricante a declarar por quanto tempo suporta o produto: no mínimo, em regra, cinco anos. É uma decisão de engenharia, de contratos e de fornecedores disfarçada de campo num formulário.
- 05
CRA e RED: o dispositivo com rádio vive hoje sob dois regimes
Desde agosto de 2025, qualquer equipamento de rádio ligado à internet tem de cumprir os requisitos de cibersegurança da RED. O CRA vem substituí-los, mas até dezembro de 2027 os dois regimes coexistem, e o trabalho feito num não vale automaticamente no outro.
- 06
O que o automóvel já aprendeu, e o resto da indústria vai aprender até 2027
O setor automóvel foi o primeiro obrigado a tratar a cibersegurança como propriedade do produto ao longo do ciclo de vida, com a UNECE R155/R156 e a ISO/SAE 21434. Os veículos ficam de fora do CRA precisamente por isso, e é também por isso que servem de antevisão.
- 07
CRA para quem faz software: o regulamento não é só para quem solda placas
O equívoco mais comum sobre o CRA é achar que se dirige a fabricantes de dispositivos. Software vendido como produto está dentro. SaaS puro está fora, com uma exceção que apanha muita gente. E 'grátis' não significa 'não comercial'.
Onde é que isto se torna trabalho
Preparar um produto para o CRA não é preencher um dossiê no fim. As decisões que custam caro tomam-se cedo: que componentes de terceiros entram no firmware e como serão acompanhados, que superfície de atualização o dispositivo expõe, quanto tempo a empresa se compromete a suportar o produto, e quem recebe e responde a um relatório de vulnerabilidade vindo de fora.
O que fazemos descreve como entramos nesse processo.
Sem promessas de conformidade. Nenhum consultor pode garantir a conformidade de um produto — quem a declara é o fabricante, sob a sua responsabilidade. Trabalhamos na preparação e na redução de risco técnico.