O Cyber Resilience Act
O Regulamento (UE) 2024/2847 impõe regras de cibersegurança aos fabricantes de produtos digitais: o que muda para si como colaborador.
Em 30 segundos
- Onde acontece
- Nos produtos com elementos digitais, sejam de hardware ou de software1.
- O que o texto pretende
- Reduzir o baixo nível de cibersegurança de muitos produtos e a falta de atualizações de segurança em tempo útil1.
- O reflexo
- Antes de comprar ou instalar um produto ligado, perguntar ao fornecedor como trata as falhas e as atualizações. A marcação CE ao abrigo do CRA virá depois, aplicando-se as obrigações principais a partir de 11 de dezembro de 20271.
- Se já o fez
- Um produto cujo fabricante não responde sobre as suas atualizações deve ser comunicado ao serviço informático ou de compras antes de qualquer utilização.
Do que se trata
Um relógio inteligente, um intercomunicador para bebé, uma aplicação ou um programa de secretária: todos estes produtos podem apresentar um risco de segurança que os utilizadores dificilmente percebem. O Cyber Resilience Act (CRA), o Regulamento (UE) 2024/2847, pretende que os dispositivos e o software sejam concebidos, atualizados e mantidos de forma a proteger quem os utiliza1.
O texto dirige-se, em primeiro lugar, aos fabricantes. No entanto, o que os fabricantes têm de fazer altera o que a empresa pode comprar, a forma como pode comparar os seus fornecedores e o que lhes pode pedir.
Perguntas diretas
O que é o Cyber Resilience Act?
É um regulamento europeu que fixa requisitos obrigatórios de cibersegurança para os fabricantes de produtos com elementos digitais. Abrange o planeamento, a conceção, o desenvolvimento e a manutenção desses produtos1.
Quem está abrangido?
O regulamento protege os consumidores e as empresas que compram software ou hardware com elementos digitais1. As obrigações recaem sobre os fabricantes e têm de ser cumpridas em cada etapa da cadeia de valor1. A página da Comissão indica também que os fabricantes situados ao longo da cadeia de abastecimento têm uma responsabilidade em matéria de segurança1.
Como se reconhece um produto conforme?
Os produtos terão a marcação CE para indicar que cumprem os requisitos do regulamento1. As autoridades nacionais de fiscalização do mercado velarão pela aplicação das regras1.
O regulamento já está em vigor?
Entrou em vigor a 10 de dezembro de 20241. As obrigações de notificação aplicam-se a partir de 11 de setembro de 2026 e as obrigações principais a partir de 11 de dezembro de 20271.
Um produto de risco tem de ser verificado por um terceiro?
Certos produtos particularmente importantes para a cibersegurança poderão ter de ser sujeitos a uma avaliação por um organismo notificado, um terceiro, antes de serem vendidos no mercado da União1.
1O que muda para os colaboradores1 min
O regulamento não atribui nenhuma tarefa ao colaborador comum. O seu efeito é indireto: a Comissão explica que os consumidores e as empresas têm dificuldade em saber quais os produtos seguros e em configurá-los corretamente, e que o CRA deve facilitar a identificação dos produtos dotados das funções de cibersegurança adequadas1.
Convém preferir os equipamentos e o software validados pela empresa a um produto ligado comprado ou instalado por iniciativa própria. Convém aceitar as atualizações propostas, uma vez que a falta de atualizações em tempo útil é um dos problemas que o texto pretende corrigir1. Comunicar ao serviço informático um produto que já não recebe correções continua a ser um conselho de bom senso, não uma obrigação do regulamento. As obrigações de notificação do CRA dirigem-se aos fabricantes1.
2O que muda para a direçãoDireção2 min
Nas compras, os produtos terão a marcação CE1: a direção poderá fazer dela um critério de controlo à medida que o texto se for aplicando. Pode também perguntar aos fornecedores como gerem as vulnerabilidades ao longo de toda a vida do produto, uma vez que o regulamento o exige aos fabricantes1.
As fontes aqui citadas não detalham as funções de fabricante, importador ou distribuidor; a direção que tenha dúvidas sobre este ponto deve ler o texto jurídico e o guia prático publicado pela Comissão a 27 de julho de 2026, destinado a fabricantes, programadores e empresas de todas as dimensões1.
Referenciais norte-americanos descrevem o mesmo movimento e podem servir de base de conversa com um fornecedor. Do lado do comprador, a CISA publica um guia, «Secure by Demand», concebido para ser usado por qualquer cliente de software nas conversas de compra com revendedores ou prestadores de serviços2. Espera que os produtos sejam seguros logo à saída da caixa, com autenticação multifator, registo de eventos e início de sessão único disponíveis sem custo adicional2.
O quadro SSDF do NIST é um conjunto de práticas de desenvolvimento seguro. Oferece uma linguagem comum que permite aos produtores de software e aos seus compradores entenderem-se melhor nas compras3. As suas práticas dividem-se em quatro grupos: preparar a organização, proteger o software, produzir software bem protegido e responder às vulnerabilidades3. O NIST precisa que este quadro não é uma lista de verificação para preencher3.
3O que diz o textoTexto oficial1 min
O CRA impõe requisitos obrigatórios de cibersegurança aos fabricantes, do planeamento à manutenção do produto1. Os fabricantes devem tratar as vulnerabilidades durante todo o ciclo de vida dos seus produtos1. Pode ser exigida uma avaliação por um organismo notificado para certos produtos1.
A marcação CE atestará a conformidade1. As autoridades nacionais de fiscalização do mercado farão aplicar as regras1. O CRA assenta na estratégia de cibersegurança da União de 2020 e na estratégia para a união da segurança, e complementa a diretiva NIS21.
A Comissão mantém páginas separadas sobre os fabricantes, os Estados-Membros, a avaliação da conformidade, as microempresas e PME, o software de código aberto, a normalização e as obrigações de notificação1. Não foram lidas para esta ficha.
4Em que ponto está a aplicação1 min
- 10 de dezembro de 2024: entrada em vigor do regulamento1.
- 27 de julho de 2026: publicação pela Comissão de um guia prático para ajudar os fabricantes, os programadores e as empresas de todas as dimensões a cumprir as suas obrigações1.
- 11 de setembro de 2026: início das obrigações de notificação. Os fabricantes devem notificar as vulnerabilidades ativamente exploradas1.
- 11 de dezembro de 2027: aplicação das principais obrigações1.
A página da Comissão foi atualizada pela última vez a 7 de setembro de 20261. Um produto colocado hoje no mercado ainda não está, portanto, sujeito ao conjunto das obrigações principais, que só se aplicam a partir de dezembro de 20271.
A CISA e 17 parceiros norte-americanos e internacionais publicaram uma atualização dos seus princípios «Secure by Design», cuja edição inicial data de abril de 20234. Esses princípios são: assumir os resultados de segurança dos clientes, adotar uma transparência e uma responsabilização radicais, e liderar a partir do topo4. São recomendações4.
Ficha
- Identificador
- CP-370
- Ala
- 6. Governação e GRC
- Competência Brain
- Proteger os dados (safeguard_data)
- Reflexo Brain
- cr-035
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr, it, nl, pt
- Fontes
- 4 fontes verificadas em 3 de novembro de 2026
Fontes4 fontes
- Commission européenne, «Cyber Resilience Act», 7 de setembro de 2026. https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (consultado em 3 de novembro de 2026)
- CISA, «Secure by Design | CISA». https://www.cisa.gov/securebydesign (consultado em 3 de novembro de 2026)
- NIST, «Secure Software Development Framework | CSRC», 6 de outubro de 2026. https://csrc.nist.gov/projects/ssdf (consultado em 3 de novembro de 2026)
- CISA, «Secure-by-Design | CISA», 25 de outubro de 2023. https://www.cisa.gov/resources-tools/resources/secure-by-design (consultado em 3 de novembro de 2026)
Citar este artigo
Brain, «O Cyber Resilience Act», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp370_pt_2026,
author = {Brain},
title = {O Cyber Resilience Act},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pt/articles/regulamento-ciberresiliencia-cra-pt/},
note = {CC BY 4.0}
}