--- id: CP-370 slug: regulamento-ciberresiliencia-cra-pt lang: pt title: O Cyber Resilience Act description: "O Regulamento (UE) 2024/2847 impõe regras de cibersegurança aos fabricantes de produtos digitais: o que muda para si como colaborador." canonical_url: https://startbrain.io/cyberpedia/pt/articles/regulamento-ciberresiliencia-cra-pt/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/regulamento-ciberresiliencia-cra-pt.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «O Cyber Resilience Act», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/regulamento-ciberresiliencia-cra-pt/ (CC BY 4.0) wing: 6 theme: safeguard_data reflex: cr-035 schema: G3 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/regulamento-ciberresiliencia-cra-pt/ fr: https://startbrain.io/cyberpedia/fr/articles/cyber-resilience-act-cra/ en: https://startbrain.io/cyberpedia/en/articles/cyber-resilience-act-cra-explained/ de: https://startbrain.io/cyberpedia/de/articles/cyber-resilience-act-cra-de/ es: https://startbrain.io/cyberpedia/es/articles/reglamento-ciberresiliencia-cra/ it: https://startbrain.io/cyberpedia/it/articles/regolamento-cyber-resilience-act-cra/ nl: https://startbrain.io/cyberpedia/nl/articles/cyber-resilience-act-cra-nl/ sources: - "n": 1 title: Cyber Resilience Act publisher: Commission européenne url: https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act published: "2026-09-07" accessed: "2026-11-03" - "n": 2 title: Secure by Design | CISA publisher: CISA url: https://www.cisa.gov/securebydesign accessed: "2026-11-03" - "n": 3 title: Secure Software Development Framework | CSRC publisher: NIST url: https://csrc.nist.gov/projects/ssdf published: "2026-10-06" accessed: "2026-11-03" - "n": 4 title: Secure-by-Design | CISA publisher: CISA url: https://www.cisa.gov/resources-tools/resources/secure-by-design published: "2023-10-25" accessed: "2026-11-03" --- # O Cyber Resilience Act Um relógio inteligente, um intercomunicador para bebé, uma aplicação ou um programa de secretária: todos estes produtos podem apresentar um risco de segurança que os utilizadores dificilmente percebem. O Cyber Resilience Act (CRA), o Regulamento (UE) 2024/2847, pretende que os dispositivos e o software sejam concebidos, atualizados e mantidos de forma a proteger quem os utiliza [1]. O texto dirige-se, em primeiro lugar, aos fabricantes. No entanto, o que os fabricantes têm de fazer altera o que a empresa pode comprar, a forma como pode comparar os seus fornecedores e o que lhes pode pedir. ## Em 30 segundos - Onde acontece: nos produtos com elementos digitais, sejam de hardware ou de software [1]. - O que o texto pretende: reduzir o baixo nível de cibersegurança de muitos produtos e a falta de atualizações de segurança em tempo útil [1]. - O reflexo: antes de comprar ou instalar um produto ligado, perguntar ao fornecedor como trata as falhas e as atualizações. A marcação CE ao abrigo do CRA virá depois, aplicando-se as obrigações principais a partir de 11 de dezembro de 2027 [1]. - Se já o fez: um produto cujo fabricante não responde sobre as suas atualizações deve ser comunicado ao serviço informático ou de compras antes de qualquer utilização. ## Perguntas diretas ### O que é o Cyber Resilience Act? É um regulamento europeu que fixa requisitos obrigatórios de cibersegurança para os fabricantes de produtos com elementos digitais. Abrange o planeamento, a conceção, o desenvolvimento e a manutenção desses produtos [1]. ### Quem está abrangido? O regulamento protege os consumidores e as empresas que compram software ou hardware com elementos digitais [1]. As obrigações recaem sobre os fabricantes e têm de ser cumpridas em cada etapa da cadeia de valor [1]. A página da Comissão indica também que os fabricantes situados ao longo da cadeia de abastecimento têm uma responsabilidade em matéria de segurança [1]. ### Como se reconhece um produto conforme? Os produtos terão a marcação CE para indicar que cumprem os requisitos do regulamento [1]. As autoridades nacionais de fiscalização do mercado velarão pela aplicação das regras [1]. ### O regulamento já está em vigor? Entrou em vigor a 10 de dezembro de 2024 [1]. As obrigações de notificação aplicam-se a partir de 11 de setembro de 2026 e as obrigações principais a partir de 11 de dezembro de 2027 [1]. ### Um produto de risco tem de ser verificado por um terceiro? Certos produtos particularmente importantes para a cibersegurança poderão ter de ser sujeitos a uma avaliação por um organismo notificado, um terceiro, antes de serem vendidos no mercado da União [1]. ## O que muda para os colaboradores O regulamento não atribui nenhuma tarefa ao colaborador comum. O seu efeito é indireto: a Comissão explica que os consumidores e as empresas têm dificuldade em saber quais os produtos seguros e em configurá-los corretamente, e que o CRA deve facilitar a identificação dos produtos dotados das funções de cibersegurança adequadas [1]. Convém preferir os equipamentos e o software validados pela empresa a um produto ligado comprado ou instalado por iniciativa própria. Convém aceitar as atualizações propostas, uma vez que a falta de atualizações em tempo útil é um dos problemas que o texto pretende corrigir [1]. Comunicar ao serviço informático um produto que já não recebe correções continua a ser um conselho de bom senso, não uma obrigação do regulamento. As obrigações de notificação do CRA dirigem-se aos fabricantes [1]. ## O que muda para a direção Nas compras, os produtos terão a marcação CE [1]: a direção poderá fazer dela um critério de controlo à medida que o texto se for aplicando. Pode também perguntar aos fornecedores como gerem as vulnerabilidades ao longo de toda a vida do produto, uma vez que o regulamento o exige aos fabricantes [1]. As fontes aqui citadas não detalham as funções de fabricante, importador ou distribuidor; a direção que tenha dúvidas sobre este ponto deve ler o texto jurídico e o guia prático publicado pela Comissão a 27 de julho de 2026, destinado a fabricantes, programadores e empresas de todas as dimensões [1]. Referenciais norte-americanos descrevem o mesmo movimento e podem servir de base de conversa com um fornecedor. Do lado do comprador, a CISA publica um guia, «Secure by Demand», concebido para ser usado por qualquer cliente de software nas conversas de compra com revendedores ou prestadores de serviços [2]. Espera que os produtos sejam seguros logo à saída da caixa, com autenticação multifator, registo de eventos e início de sessão único disponíveis sem custo adicional [2]. O quadro SSDF do NIST é um conjunto de práticas de desenvolvimento seguro. Oferece uma linguagem comum que permite aos produtores de software e aos seus compradores entenderem-se melhor nas compras [3]. As suas práticas dividem-se em quatro grupos: preparar a organização, proteger o software, produzir software bem protegido e responder às vulnerabilidades [3]. O NIST precisa que este quadro não é uma lista de verificação para preencher [3]. ## O que diz o texto O CRA impõe requisitos obrigatórios de cibersegurança aos fabricantes, do planeamento à manutenção do produto [1]. Os fabricantes devem tratar as vulnerabilidades durante todo o ciclo de vida dos seus produtos [1]. Pode ser exigida uma avaliação por um organismo notificado para certos produtos [1]. A marcação CE atestará a conformidade [1]. As autoridades nacionais de fiscalização do mercado farão aplicar as regras [1]. O CRA assenta na estratégia de cibersegurança da União de 2020 e na estratégia para a união da segurança, e complementa a diretiva NIS2 [1]. A Comissão mantém páginas separadas sobre os fabricantes, os Estados-Membros, a avaliação da conformidade, as microempresas e PME, o software de código aberto, a normalização e as obrigações de notificação [1]. Não foram lidas para esta ficha. ## Em que ponto está a aplicação - 10 de dezembro de 2024: entrada em vigor do regulamento [1]. - 27 de julho de 2026: publicação pela Comissão de um guia prático para ajudar os fabricantes, os programadores e as empresas de todas as dimensões a cumprir as suas obrigações [1]. - 11 de setembro de 2026: início das obrigações de notificação. Os fabricantes devem notificar as vulnerabilidades ativamente exploradas [1]. - 11 de dezembro de 2027: aplicação das principais obrigações [1]. A página da Comissão foi atualizada pela última vez a 7 de setembro de 2026 [1]. Um produto colocado hoje no mercado ainda não está, portanto, sujeito ao conjunto das obrigações principais, que só se aplicam a partir de dezembro de 2027 [1]. A CISA e 17 parceiros norte-americanos e internacionais publicaram uma atualização dos seus princípios «Secure by Design», cuja edição inicial data de abril de 2023 [4]. Esses princípios são: assumir os resultados de segurança dos clientes, adotar uma transparência e uma responsabilização radicais, e liderar a partir do topo [4]. São recomendações [4]. ## Fontes 1. Commission européenne, «Cyber Resilience Act», 7 de setembro de 2026. https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (consultado em 3 de novembro de 2026) 2. CISA, «Secure by Design | CISA». https://www.cisa.gov/securebydesign (consultado em 3 de novembro de 2026) 3. NIST, «Secure Software Development Framework | CSRC», 6 de outubro de 2026. https://csrc.nist.gov/projects/ssdf (consultado em 3 de novembro de 2026) 4. CISA, «Secure-by-Design | CISA», 25 de outubro de 2023. https://www.cisa.gov/resources-tools/resources/secure-by-design (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/regulamento-ciberresiliencia-cra-pt/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.