O que é o CRA e a quem afeta
O Regulamento (UE) 2024/2847, conhecido como CRA, fixa requisitos de cibersegurança para os produtos com elementos digitais: hardware e software que se ligam, direta ou indiretamente, a outro equipamento ou a uma rede. Aplica-se ao que é colocado no mercado da UE, e as orientações da Comissão de 2026 confirmam que o hardware com software integrado, como um computador ou uma placa-mãe, está abrangido.
O responsável é o fabricante: quem coloca o produto no mercado com o seu nome. Se vende uma máquina com um computador lá dentro, responde pela máquina inteira, e o computador é uma das suas peças digitais mais importantes.
As datas que importam
| Data | O que começa |
|---|---|
| 11 de setembro de 2026 | Notificação de vulnerabilidades ativamente exploradas e incidentes graves: alerta precoce em 24 horas, notificação em 72 horas e relatório final, através da plataforma única da ENISA. Também para produtos já vendidos. |
| 20 de janeiro de 2027 | Aplica-se o novo Regulamento das máquinas (UE) 2023/1230, que inclui a proteção dos sistemas de comando contra manipulações. |
| 11 de dezembro de 2027 | Obrigações completas do CRA: requisitos essenciais, avaliação da conformidade, documentação técnica e marcação CE nos termos do regulamento. |
O que o CRA pede, na prática
- Segurança desde a conceção e por defeito: sem palavras-passe genéricas e com os serviços desnecessários fechados.
- Gestão de vulnerabilidades durante o período de suporte, que em geral deve ser de pelo menos cinco anos, salvo se o produto se destinar a uma utilização mais curta.
- Atualizações de segurança gratuitas, separadas das funcionais sempre que possível.
- Uma lista de materiais de software (SBOM) num formato legível por máquina, com pelo menos as dependências de primeiro nível, na documentação técnica.
- Um ponto de contacto onde qualquer pessoa possa comunicar uma vulnerabilidade, e a data de fim do suporte comunicada ao utilizador.
O incumprimento é punido com coimas até 15 milhões de euros ou 2,5 % do volume de negócios mundial, e um produto sem a marcação CE correspondente não pode ser vendido na UE.
O computador lá dentro: o que pedir ao seu fornecedor
Muitos fabricantes de máquinas encontram o mesmo problema: não conseguem completar a documentação porque os fornecedores não lhes dão a informação. Para o computador, peça isto:
- A lista de componentes e de versões de firmware (BIOS ou UEFI, controladoras e gestão remota) de cada configuração.
- Um compromisso de atualizações de firmware durante o período de suporte do seu produto.
- Um aviso se aparecer uma vulnerabilidade numa das suas peças, para que possa cumprir o seu próprio prazo de 24 horas.
- Uma plataforma congelada: mudar o computador obriga a rever a sua documentação técnica.
- Um sistema operativo com suporte longo (Windows IoT Enterprise LTSC ou uma versão LTS de Linux), arranque seguro e TPM ativados, e nenhuma conta com palavra-passe de fábrica.
- Um registo por número de série da configuração exata de cada unidade.
Um plano simples até dezembro de 2027
- Faça o inventário dos seus produtos e de tudo o que levam de digital.
- Peça a cada fornecedor a sua lista de componentes e os seus compromissos de atualização.
- Decida o período de suporte de cada produto.
- Monte já o processo de notificação de vulnerabilidades: é obrigatório desde setembro de 2026.
- Prepare a documentação técnica e a avaliação da conformidade, e reveja-as com um especialista.
Como tratamos o computador do seu produto
No programa OEM o computador sai com a plataforma congelada (nenhuma alteração sem aviso nem revalidação), com a sua configuração exata e o resultado do teste de 24 horas registados por número de série, com a sua imagem de sistema carregada e testada, com sistemas de suporte longo e com gestão remota por KVM-IPMI dedicado. A pedido, entregamos a lista de componentes e de versões de firmware de cada unidade para a sua documentação técnica.
Equipamento e guias relacionados
Perguntas frequentes
O CRA afeta os equipamentos já vendidos?
A obrigação de notificar vulnerabilidades ativamente exploradas e incidentes graves, em vigor desde 11 de setembro de 2026, aplica-se também a produtos que já estavam no mercado. Os restantes requisitos aplicam-se ao que for colocado no mercado a partir de 11 de dezembro de 2027.
O que é uma SBOM?
A lista de materiais de software: todo o software, bibliotecas e componentes de um produto, com as suas versões. O CRA pede-a num formato legível por máquina na documentação técnica; não é preciso publicá-la.
Durante quanto tempo tenho de dar atualizações?
Durante o período de suporte que declarar, que em geral deve ser de pelo menos cinco anos, salvo se o produto se destinar a uma utilização mais curta.
O que acontece em caso de incumprimento?
As coimas podem chegar a 15 milhões de euros ou a 2,5 % do volume de negócios mundial, e um produto sem a marcação CE correspondente não pode ser vendido na UE.
Preparamos o computador da sua máquina?
Diga-nos o que fabrica e quantas unidades por ano. Propomos a plataforma e o que documentamos de cada unidade em menos de 12 horas úteis.