O que deveria entregar um serviço integral de conformidade com o CRA

A conformidade com o Regulamento Ciber-Resiliência da UE (CRA) não se resume a um único teste de penetração nem à obtenção isolada de um certificado. Para um fabricante, é um processo de produção de evidência e decisão de colocação no mercado que liga o âmbito do produto, a avaliação dos riscos de cibersegurança, os controlos de engenharia, o tratamento de vulnerabilidades, a documentação técnica, a via de avaliação da conformidade aplicável, os controlos de marcação CE/declaração UE de conformidade e as obrigações pós-colocação no mercado.

Em 7 de outubro de 2026, o CRA encontra-se numa fase transitória: as obrigações de comunicação dos fabricantes previstas no artigo 14.º aplicam-se desde 11 de setembro de 2026, enquanto o Regulamento se aplica, em geral, a partir de 11 de dezembro de 2027. Um projeto sólido estrutura-se, por isso, em duas frentes: um processo operacional de comunicação que funcione já e um programa de preparação para o mercado que feche as evidências de produto e de processo antes da data de aplicação de 2027.

O que deveria entregar um serviço integral de conformidade com o CRA

O serviço deveria transformar os requisitos legais em resultados de projeto controlados. O principal entregável não é um parecer genérico; é um processo documental rastreável que mostre qual o produto e a versão avaliados, que riscos e requisitos se aplicam, como cada requisito foi implementado ou justificado, que ensaios suportam a conclusão, que via de conformidade foi utilizada e o que deve continuar após a colocação no mercado.

O fabricante continua responsável pelo produto e pela declaração UE de conformidade. Consultores externos, laboratórios e organismos de avaliação da conformidade podem fornecer análise ou evidência, mas as responsabilidades e os pontos de decisão têm de estar atribuídos no próprio processo interno de aprovação do produto do fabricante.

Controlo inicial: fixar produto, operador, âmbito e via

Antes de encomendar ensaios, é necessário fixar o objeto regulatório. Devem ser registados o fabricante, a família de produtos e as variantes exatas, as versões de software e firmware, as dependências de tratamento remoto de dados, a finalidade prevista, a utilização razoavelmente previsível, os mercados, o modelo de distribuição, os componentes de terceiros e a entidade que controla as atualizações e o tratamento de vulnerabilidades.

De seguida, deve decidir-se se o produto está abrangido pelo CRA e se é outro produto, um produto importante da classe I, um produto importante da classe II ou um produto potencialmente crítico. Esta classificação é relevante porque altera a via de avaliação da conformidade permitida. Se o âmbito ou a classificação forem incertos, devem ser tratados como uma decisão em aberto, com evidência e responsável, e não escondidos numa ordem de ensaio.

Fluxo operacional desde a análise inicial até à preparação para o mercado

Ensaios e evidência: demonstrar a avaliação dos riscos, não procurar um «teste CRA» universal

O CRA não reduz a conformidade a uma bateria universal de ensaios. Os ensaios deveriam derivar da avaliação dos riscos de cibersegurança do produto e dos requisitos aplicáveis do anexo I. Consoante o produto, o plano de evidência pode combinar revisão da arquitetura, revisão da configuração segura, ensaios de interfaces e autenticação, análise de vulnerabilidades, análise de dependências/SBOM, testes de penetração, ensaios do mecanismo de atualização, casos de utilização indevida ou abuso e verificação dos processos de tratamento de vulnerabilidades.

Para cada ensaio, devem ser registados a versão testada, a configuração, o ambiente, o método, o critério de aceitação, o resultado, a correção e o estado da repetição. Se for utilizado um laboratório externo, devem ser preservados o âmbito do trabalho e o âmbito do ensaio para que o relatório fique ligado ao candidato exato à colocação no mercado. Um resultado «aprovado» numa versão não identificada ou obsoleta é uma evidência fraca de conformidade.

Documentação técnica e dossiê de colocação no mercado

O dossiê técnico deveria ser construído à medida que a evidência de engenharia é produzida, e não reconstruído no fim. Um dossiê prático de colocação no mercado inclui normalmente:

• identificação do produto, arquitetura e linha de base da versão/configuração;
• avaliação dos riscos de cibersegurança, incluindo a utilização prevista e razoavelmente previsível;
• correspondência dos requisitos aplicáveis do anexo I com os controlos implementados e a evidência;
• informação de conceção e desenvolvimento e evidência relevante sobre componentes/dependências;
• relatórios de ensaio, correções e registos de repetição;
• processos de tratamento de vulnerabilidades e divulgação coordenada, mecanismo de atualização e disposições de apoio em matéria de segurança;
• justificação do período de apoio e informação/instruções exigidas ao utilizador;
• registos de conformidade específicos da via, declaração UE de conformidade e evidência de marcação CE quando aplicável.

Nos termos do CRA, a documentação técnica deve ser preparada antes da colocação no mercado e atualizada, quando adequado, durante o período de apoio. Os fabricantes devem manter disponíveis a documentação técnica e a declaração UE de conformidade durante pelo menos dez anos após a colocação no mercado ou durante o período de apoio, consoante o que for mais longo.

Via de avaliação da conformidade e entregas a terceiros

A coordenação com prestadores deveria ser tratada como uma entrega controlada. Antes de enviar um dossiê a um organismo notificado ou a outro prestador de avaliação, confirme que está autorizado para o âmbito exigido, acorde o idioma e o pacote de apresentação, fixe a versão avaliada e crie um registo de perguntas. Em 2026, a infraestrutura de avaliação da conformidade e as normas do CRA continuam em desenvolvimento, pelo que o estatuto do prestador e as normas aplicáveis deveriam ser verificados em tempo real, e não presumidos com base em material comercial antigo.

Controlo de colocação no mercado, comunicação e gestão de alterações

A preparação para o mercado é uma decisão de colocação no mercado, e não apenas a conclusão dos ensaios. O controlo deveria confirmar que o produto aprovado para colocação no mercado corresponde à linha de base avaliada, que a documentação de conformidade exigida está aprovada, que a informação ao utilizador e sobre o apoio em matéria de segurança está pronta, que o período de apoio foi determinado e que os responsáveis pós-mercado têm acesso aos sistemas de receção de notificações de vulnerabilidades, atualização e comunicação.

Desde 11 de setembro de 2026, os fabricantes já têm de comunicar vulnerabilidades ativamente exploradas e incidentes graves com impacto na segurança do produto através da Plataforma Única de Comunicação (SRP) do CRA. A Comissão descreve um aviso inicial no prazo de 24 horas e uma comunicação completa no prazo de 72 horas; o relatório final aplicável segue os prazos do CRA para o tipo de evento. Este fluxo deveria ser ensaiado antes de ocorrer um incidente, incluindo quem pode comunicar, quem valida os factos e como a evidência de engenharia é preservada.

Após a colocação no mercado, alterações ao código, hardware, dependências, criptografia, interfaces, processamento remoto, finalidade prevista, disposições de apoio ou processos de tratamento de vulnerabilidades deveriam ser submetidas a uma análise de impacto documentada. A questão não é apenas saber se uma funcionalidade mudou, mas também se a avaliação dos riscos de cibersegurança, a evidência, a informação ao utilizador ou a conclusão de conformidade têm de ser atualizadas.

Estrangulamentos frequentes que atrasam a preparação para o CRA

• a classificação permanece por fechar quando os ensaios começam e é orçamentada a via de avaliação errada;
• as variantes do produto e as dependências de nuvem ou processamento remoto não estão sob controlo de configuração;
• a avaliação dos riscos, o inventário SBOM/dependências e o âmbito dos ensaios descrevem versões diferentes;
• falta evidência do fornecedor para componentes críticos de segurança ou dependências de atualização;
• as constatações são corrigidas no código, mas não é conservada evidência da correção e da repetição do ensaio;
• o período de apoio, a receção de notificações de vulnerabilidades e a responsabilidade pela comunicação só são decididos no lançamento;
• é contratada uma avaliação por terceiros antes de o dossiê técnico estar internamente coerente.

O que esta página não substitui

Se a questão principal for como escolher um consultor, estruturar a governação ou obter uma análise estratégica de lacunas, consulte a página sobre consultoria CRA. Se a questão principal for o orçamento e os fatores de custo, consulte a página sobre custos do CRA. Para a mecânica de colocação no mercado com marcação CE em vários regimes para além do CRA, consulte os serviços de marcação CE. Esta página trata da cadeia de execução e das entregas necessárias para transformar os requisitos do CRA num dossiê de evidência pronto para a colocação no mercado.