Secure by design para fabricantes de produtos ligados. Preparação para o Cyber Resilience Act, com fundo em segurança ofensiva e em ciclo de vida de produto automóvel.https://folhas.iopt-PThttps://folhas.io/artigos/08-divulgacao-coordenadahttps://folhas.io/artigos/08-divulgacao-coordenadaAs obrigações de reporte às autoridades já estão em aplicação, mas são metade do circuito. O Anexo I, Parte II, exige a outra metade: um canal público para receber relatórios de vulnerabilidades, com política, ponto de contacto e processo por trás. Custa pouco a montar, e há norma para quase tudo.Fri, 11 Sep 2026 00:00:00 GMThttps://folhas.io/diario/004-a-contagem-chegou-a-zerohttps://folhas.io/diario/004-a-contagem-chegou-a-zeroAs obrigações de reporte do artigo 14.º tornaram-se aplicáveis hoje. O que muda para quem já tem produtos no mercado, o que fizemos com o aviso prévio, e porque é que a entrada sobre OTA espera mais uma volta.Fri, 11 Sep 2026 00:00:00 GMThttps://folhas.io/artigos/07-cra-para-quem-faz-softwarehttps://folhas.io/artigos/07-cra-para-quem-faz-softwareO equívoco mais comum sobre o CRA é achar que se dirige a fabricantes de dispositivos. Software vendido como produto está dentro. SaaS puro está fora, com uma exceção que apanha muita gente. E 'grátis' não significa 'não comercial'.Wed, 05 Aug 2026 00:00:00 GMThttps://folhas.io/diario/003-do-prototipo-ao-produtohttps://folhas.io/diario/003-do-prototipo-ao-produtoA auditoria da entrada 002 transformada em plano de trabalho. Quatro fases, o que entra em cada uma, e onde é que o dinheiro se gasta. Boa parte não é código.Wed, 05 Aug 2026 00:00:00 GMThttps://folhas.io/artigos/06-o-que-o-automovel-ja-aprendeuhttps://folhas.io/artigos/06-o-que-o-automovel-ja-aprendeuO setor automóvel foi o primeiro obrigado a tratar a cibersegurança como propriedade do produto ao longo do ciclo de vida, com a UNECE R155/R156 e a ISO/SAE 21434. Os veículos ficam de fora do CRA precisamente por isso, e é também por isso que servem de antevisão.Wed, 29 Jul 2026 00:00:00 GMThttps://folhas.io/diario/002-o-prototipo-encontra-o-regulamentohttps://folhas.io/diario/002-o-prototipo-encontra-o-regulamentoAplicámos ao Aerodry, o nosso protótipo com dois anos de operação real, a mesma análise CRA que oferecemos a clientes. Descrevemos as nove falhas com consequência direta. Este é o relatório.Wed, 29 Jul 2026 00:00:00 GMThttps://folhas.io/artigos/05-cra-e-redhttps://folhas.io/artigos/05-cra-e-redDesde agosto de 2025, qualquer equipamento de rádio ligado à internet tem de cumprir os requisitos de cibersegurança da RED. O CRA vem substituí-los, mas até dezembro de 2027 os dois regimes coexistem, e o trabalho feito num não vale automaticamente no outro.Wed, 22 Jul 2026 00:00:00 GMThttps://folhas.io/artigos/04-periodo-de-suportehttps://folhas.io/artigos/04-periodo-de-suporteO CRA obriga cada fabricante a declarar por quanto tempo suporta o produto: no mínimo, em regra, cinco anos. É uma decisão de engenharia, de contratos e de fornecedores disfarçada de campo num formulário.Wed, 15 Jul 2026 00:00:00 GMThttps://folhas.io/diario/001-ponto-de-partidahttps://folhas.io/diario/001-ponto-de-partidaPrimeira entrada do diário de preparação do nosso produto agro-IoT para o CRA. Onde estamos, o que já decidimos, o que ainda não sabemos.Wed, 15 Jul 2026 00:00:00 GMThttps://folhas.io/artigos/03-classificacao-do-produtohttps://folhas.io/artigos/03-classificacao-do-produtoPadrão, importante classe I, importante classe II ou crítico. A categoria do produto determina se a conformidade é uma autoavaliação ou um organismo notificado, e a diferença mede-se em dezenas de milhares de euros e meses de calendário.Wed, 08 Jul 2026 00:00:00 GMThttps://folhas.io/artigos/02-reporte-24h-72hhttps://folhas.io/artigos/02-reporte-24h-72hA partir de 11 de setembro de 2026, um fabricante que saiba de uma vulnerabilidade ativamente explorada no seu produto tem 24 horas para o primeiro aviso. O que se reporta, a quem, por onde, e o que preparar antes.Wed, 01 Jul 2026 00:00:00 GMThttps://folhas.io/artigos/01-sbom-firmware-embebidohttps://folhas.io/artigos/01-sbom-firmware-embebidoA lista de materiais de software exigida pelo CRA não se escreve à mão. Para firmware, a única SBOM credível sai do sistema de build, e o scan de binários serve para o que não construímos nós.Wed, 24 Jun 2026 00:00:00 GMT