Custos de conformidade com o CRA: orçamento realista
Custos de conformidade com o CRA: orçamento realista
Não existe um preço único para cumprir o Regulamento Ciber-Resiliência da UE (CRA), nem uma taxa obrigatória de certificação para todos os produtos. Separe o trabalho específico do produto, a via de avaliação de conformidade e a segurança após a colocação no mercado. A marcação CE não é um certificado CRA adquirido mediante pagamento.
Existe uma taxa oficial do CRA?
O Regulamento (UE) 2024/2847 não estabelece uma tarifa única da UE para o controlo interno do fabricante ou a aposição da marcação CE. O controlo interno não exige automaticamente a intervenção remunerada de um organismo notificado. Quando há avaliação de terceiros, o preço depende do âmbito; ensaios e consultoria são serviços distintos. Não apresentamos um valor universal em euros porque não existe fundamento verificado.
As obrigações de comunicação do artigo 14 aplicam-se desde 11 de setembro de 2026, incluindo produtos anteriormente disponibilizados no mercado da UE. A maioria das restantes obrigações aplica-se a partir de 11 de dezembro de 2027. O orçamento de 2026 já deve prever a operação de comunicação.
A categoria do produto determina a avaliação e os custos
Nos termos do artigo 32, compare a função principal com os anexos III e IV e as descrições técnicas oficiais. A tabela serve para orçamentação, não substitui uma classificação definitiva.
| Categoria | Via de avaliação possível | Impacto no orçamento |
|---|---|---|
| Produtos comuns | Regra geral, pode utilizar-se o controlo interno do fabricante (módulo A). | Análise de riscos, prova técnica e documentação; ensaios externos não são automaticamente obrigatórios. |
| Importantes de classe I | Controlo interno apenas com normas harmonizadas aplicáveis, especificações comuns ou sistema de certificação de cibersegurança da UE elegível; caso contrário, organismo notificado. Verificar exceção de software livre. | Prever duas opções até confirmar condições: avaliação interna e avaliação externa. |
| Produtos importantes de classe II / produtos críticos | Organismo notificado ou, se juridicamente disponível e aplicável, sistema de certificação de cibersegurança da UE adequado. Verificar a exceção de certos produtos importantes de código aberto. | Pedir âmbito, módulo, variantes e custos de novos ensaios; a declaração interna pode não bastar. |
Mapa dos custos antes de pedir uma proposta
Separe despesas iniciais dos custos durante o ciclo de vida; registe responsável, quantidades e prova.
| Rubrica | Variável de custo | Documento a pedir |
|---|---|---|
| Classificação e análise de lacunas | Utilização prevista, funções de segurança, componentes e controlos existentes. | Âmbito, via legal e pressupostos escritos. |
| Correções e documentação | Conceção segura, riscos, vulnerabilidades, fornecedores e instruções. | Pacotes de trabalho, dias-pessoa e critérios de aceitação. |
| Ensaios e repetição dos ensaios | Interfaces, ameaças, ambiente, amostras, versões de firmware e software. | Plano, número de amostras, correções e preço de repetição. |
| Avaliação externa | Só quando exigida ou escolhida; módulos B+C e H podem diferir. | Notificação do organismo para CRA, entregáveis, acompanhamento e alterações. |
| Produção e versões | Instalações, subcontratados, variantes e aprovação de lançamentos. | Visitas ou verificações justificadas; não presumir auditoria universal à fábrica. |
| Cibersegurança após a colocação no mercado e funções na UE | Prazo de suporte, monitorização, atualizações, avisos e serviços efetivos de representante/importador. | Orçamento anual e atribuição contratual de funções. |
Três cenários de orçamento, sem preços garantidos
- Um único produto de software comum com processos de segurança consolidados — Pode implicar menores custos de avaliação externa; dominam correções, prova técnica e processos de atualizações e comunicações.
- Classe I com cobertura das normas incerta — Orçamentar controlo interno elegível e exame externo se não cumprir requisitos. Confirmar normas antes de fixar preço.
- Família de equipamentos conectados de classe II com atualizações frequentes do firmware — Prever avaliação externa ou regime adequado, amostras representativas e custo de mudanças e novos ensaios; fundamentar prova partilhada.
Elementos necessários para uma proposta credível
Sem estes dados, qualquer número é uma hipótese não vinculativa.
- Fabricante, marca, canal de fornecimento UE, importador/mandatário quando aplicável e repartição de responsabilidades.
- Descrição, finalidade, funções principais, conectividade, ambiente de uso e mercados.
- Classe CRA fundamentada; normas, especificações ou sistema de certificação de cibersegurança com aplicabilidade confirmada.
- Versões, variantes, fornecedores, lista de materiais de software (SBOM) e dependências externas/remotas.
- Análise de riscos, testes, resposta a incidentes, vulnerabilidades, atualizações e documentação já existentes.
- Prazo de suporte, calendário de versões, alterações substanciais possíveis, amostras e equipa disponível.
Planear as despesas e evitar repetição de trabalho
- Delimitar o produto e as dúvidas de aplicação/classificação CRA; não comprar certificação primeiro.
- Confirmar a via legal, normas e regimes atuais; verificar a competência do organismo para o âmbito.
- Reutilizar prova de segurança credível e contratar apenas as lacunas documentadas.
- Fixar por escrito condições de ensaio, versões, amostras, repetições, alterações e exclusões.
- Reservar verba recorrente para monitorização, correções, suporte e comunicações do artigo 14.
Comparar propostas e prever custos permanentes
Exija rubricas distintas para entregáveis fixos, opções, trabalho interno, deslocações e verificações justificadas, novos ensaios, eventual acompanhamento, impostos e suporte. «Certificado CRA por X euros» sem classe ou âmbito não é comparável.
Para a execução técnica, consulte os serviços de conformidade com o CRA; para a classificação e estratégia, a consultoria em classificação CRA; e, para outros regimes, os custos da marcação CE. São questões distintas.
Fontes oficiais
- Regulamento (UE) 2024/2847: artigos 32 e 71 e anexos
- Comissão: resumo do CRA e avaliação da conformidade
- Comissão: obrigações de comunicação
Perguntas frequentes sobre custos do CRA
Existe pagamento fixo pela marcação CE ou declaração CRA?
O CRA não prevê uma taxa geral pela aposição da marcação CE ou pela elaboração da declaração UE de conformidade. Há custos internos; um organismo notificado pode cobrar pela avaliação quando intervém.
A classe I exige sempre laboratório externo?
Não. Verifique se o controlo interno é admissível e qual a prova necessária. Testes independentes podem ser úteis sem obrigação expressa.
Uma avaliação cobre toda uma família de produtos?
Apenas na medida justificada pelo procedimento, pela arquitetura comum documentada, pelas diferenças e pelo âmbito aceite pelo organismo de avaliação, quando intervenha. Orçamente as variantes, as alterações de firmware e a eventual repetição dos ensaios.
Um fabricante fora da UE tem sempre de pagar a um mandatário?
Não presuma. Pode ser nomeado um mandatário CRA por mandato escrito; avalie em separado o importador e outros operadores conforme a cadeia real.
Porque orçamentar comunicações antes de dezembro de 2027?
O artigo 14 aplica-se desde 11 de setembro de 2026; a maioria das restantes obrigações começa em 11 de dezembro de 2027.