Regulamento de Ciber-Resiliência da UE (CRA): notificação desde set. 2026, CE em 2027

Âmbito e avaliação da conformidade

O CRA se aplica a produtos de hardware e software com elementos digitais disponibilizados no mercado da UE, incluindo soluções de tratamento remoto de dados e componentes colocados no mercado separadamente, quando o uso pretendido ou razoavelmente previsível inclui uma conexão de dados direta ou indireta. Produtos não fornecidos no âmbito de uma atividade comercial não são abrangidos, e alguns produtos cobertos por outra legislação da UE são excluídos.

A maioria dos produtos pode usar a autoavaliação (controle interno, módulo A). Os produtos importantes de Classe I só podem se autoavaliar se tiverem sido aplicadas normas harmonizadas, especificações comuns ou um sistema europeu de certificação de cibersegurança; caso contrário, é necessário um organismo notificado. Os produtos importantes de Classe II e os produtos críticos exigem avaliação por terceiros ou um sistema de certificação. O uso de normas harmonizadas confere presunção de conformidade.

Obrigações do fabricante

• Realizar uma avaliação de riscos de cibersegurança e cumprir os requisitos essenciais do Anexo I, incluindo o tratamento de vulnerabilidades durante o período de suporte.
• Exercer a devida diligência em relação aos componentes de terceiros integrados.
• Manter a documentação técnica à disposição das autoridades de fiscalização do mercado.
• Fornecer os dados de identificação e de contato e as informações para os usuários conforme o Anexo II, incluindo a data de término do período de suporte (mês e ano) no momento da compra.
• Elaborar a declaração de conformidade da UE e aplicar a marcação CE antes de colocar o produto no mercado.
• Notificar as vulnerabilidades ativamente exploradas e os incidentes graves: alerta precoce em 24 horas, notificação em 72 horas e relatório final em 14 dias após a disponibilização de uma correção (vulnerabilidades) ou em um mês (incidentes graves).

Importadores, distribuidores e cronograma

Os importadores devem verificar se o fabricante realizou a avaliação da conformidade, se a documentação técnica existe e se o produto tem a marcação CE, e não devem colocar no mercado produtos não conformes. Os distribuidores devem verificar a marcação CE e as informações do fabricante e do importador, incluindo o período de suporte. Uns e outros devem informar o fabricante sobre vulnerabilidades e cooperar com as autoridades. O fabricante pode nomear um mandatário por mandato escrito.

As obrigações de notificação se aplicam a partir de 11 de setembro de 2026, inclusive a produtos que já estão no mercado. As principais disposições se aplicam a partir de 11 de dezembro de 2027; os produtos que já estão no mercado só são abrangidos se forem substancialmente modificados após essa data. Os certificados de exame UE de tipo vigentes em matéria de cibersegurança expiram em 11 de junho de 2028, a menos que percam a validade antes. As sanções são definidas por cada Estado-Membro, e as microempresas e pequenas empresas não podem ser multadas por descumprir o prazo de 24 horas.