Em um mundo tão tecnologicamente avançado como o nosso, os ciberataques se tornaram o equivalente moderno de assaltos à mão armada. Em vez de invadir bancos, lojas de bairro ou abordar pessoas desavisadas à noite, muitos criminosos atuais concentram seus esforços em usar ataques cibernéticos para roubar de empresas, governos e cidadãos comuns. Embora esses ataques variem em tamanho, alcance e ousadia, juntos representam um enorme empreendimento criminoso.
Segundo o grupo do setor Cybersecurity Ventures, o custo anual total de todos os crimes cibernéticos globais já ultrapassa US$ 10 trilhões. Esses custos vêm de uma combinação de consequências negativas, incluindo:
- Paralisação das operações e a perda de produtividade decorrente
- Roubo por meio de fraude, extorsão e desvio de recursos
- Perda de dados
- Roubo de propriedade intelectual
As diversas maneiras pelas quais cibercriminosos podem atacar indivíduos e organizações — e a ampla variedade de informações valiosas que podem obter nesses ataques — alimentam um setor criminoso massivo, que cresce a cada ano. Dados da Cybersecurity Ventures sugerem que o custo total do cibercrime aumentou drasticamente na última década:
- 2015: US$ 3 trilhões
- 2021: US$ 6 trilhões
- 2025: US$ 10,5 trilhões
Embora algumas organizações estimem números significativamente menores, mesmo custos anuais de cibercrime entre US$ 1 e US$ 2 trilhões colocariam essas atividades ilícitas no mesmo patamar do PIB inteiro da Indonésia ou da Holanda. Então, o que exatamente o mundo e seus governos mais poderosos estão fazendo em relação a esse novo cenário de atores mal-intencionados?
O que é o Cyber Resilience Act?
O Cyber Resilience Act (CRA) é uma regulamentação criada pela União Europeia para enfrentar o amplo universo do cibercrime. O objetivo da lei é obrigar empresas de tecnologia e outros fabricantes a desenvolverem hardware e software protegidos contra ataques cibernéticos e menos propensos a se tornarem vetores para crimes que visem dados e/ou recursos financeiros de cidadãos comuns da UE. Como explica a Comissão Europeia em seu site, o Cyber Resilience Act busca estabelecer "requisitos de cibersegurança claros e obrigatórios para todo o ciclo de vida dos produtos digitais".
O CRA foi inicialmente proposto pela Comissão Europeia em 2022. Dois anos depois, em 2024, o Parlamento Europeu aprovou formalmente o texto do CRA e o Conselho Europeu o referendou. Após a publicação no Jornal Oficial da UE em novembro, o CRA entrou oficialmente em vigor em dezembro de 2024.
Dada a amplitude das obrigações que o CRA impõe às empresas contempladas pela regulamentação, a UE concedeu um longo período para que as organizações possam se preparar para as novas responsabilidades de conformidade. A lei está sendo implementada em cerca de 15 meses, começando em setembro de 2026 e com implementação total prevista para dezembro de 2027.
Quais são os requisitos do Cyber Resilience Act?
O CRA da UE impõe uma série de obrigações para as organizações que se enquadram em seu escopo. O objetivo da regulamentação é exigir legalmente que essas empresas criem produtos digitais mais seguros e resilientes, desenvolvam protocolos robustos para lidar com incidentes de cibersegurança e garantam transparência junto aos consumidores e demais partes interessadas sobre suas medidas de mitigação e postura geral de segurança.
Os principais requisitos do Cyber Resilience Act estão detalhados no Anexo I da lei, intitulado Requisitos Essenciais de Cibersegurança. Eles são divididos em duas seções: quais propriedades os produtos digitais fabricados pelas empresas abrangidas devem ter e quais processos os fabricantes desses produtos precisam adotar para garantir conformidade com a legislação.
Anexo I, Parte I: Propriedades que Produtos Digitais Devem Ter
Esta seção da lei é, em muitos aspectos, o cerne da legislação. A UE deseja que os produtos digitais comercializados e vendidos na Europa sejam mais seguros e protegidos contra cibercriminosos, e estas são as medidas que acreditam ser eficazes para atingir esse nível de proteção. Para estar em conformidade com o CRA, os produtos digitais devem ser projetados e lançados no mercado da UE com as seguintes características:
- 1 Ausência de vulnerabilidades conhecidas e exploráveis
- 2 Configuração segura por padrão. Isso significa que as configurações seguras são o padrão no dispositivo ou produto.
- 3 Vulnerabilidades podem ser solucionadas por meio de atualizações de segurança, incluindo atualizações automáticas com mecanismo claro de exclusão (opt-out).
- 4 Proteção contra acesso não autorizado, inclusive por meio de mecanismos como autenticação, identidade ou gerenciamento de acesso.
- 5 Preservação da confidencialidade de qualquer dado armazenado no produto, seja por criptografia ou outros métodos.
- 6 Proteção da integridade de dados, programas e configurações contra manipulação ou modificação externa.
- 7 Apenas os dados necessários para o funcionamento contínuo do produto podem ser coletados.
- 8 Preservação das funções básicas de um produto após um ciberataque.
- 9 Minimização do impacto negativo de ciberataques em outros dispositivos ou redes.
- 10 "Superfícies de ataque" limitadas, ou seja, pontos de exposição ou vulnerabilidade que possam ser explorados por atores mal-intencionados.
- 11 Mecanismos para limitar o impacto e a eficácia de ciberataques bem-sucedidos.
- 12 Capacidade de registrar eventos de segurança, incluindo alterações nos dados ou funções do dispositivo. Esse recurso deve prever mecanismo de exclusão (opt-out) para o usuário.
- 13 Possibilidade de o usuário excluir todos os dados e configurações personalizadas do produto.
Anexo I, Parte II: Processos que os Fabricantes Devem Realizar
Além de projetar e produzir produtos digitais com os recursos de segurança adequados, os fabricantes também precisam estar preparados para atuar ativamente na mitigação de ciberataques durante todo o ciclo de vida do produto.
Os fabricantes de produtos devem adotar as seguintes medidas:
- 1 Identificar e documentar vulnerabilidades dos produtos, inclusive por meio da elaboração de uma lista de materiais (BOM) que cubra todas as dependências críticas.
- 2 Resolver e corrigir vulnerabilidades de segurança assim que surgirem, inclusive por meio de atualizações de segurança.
- 3 Realizar testes contínuos de segurança para produtos digitais.
- 4 Compartilhar informações sobre vulnerabilidades e eventos de segurança, incluindo impacto, gravidade e instruções claras de como os usuários podem corrigir as vulnerabilidades existentes.
- 5 Estabelecer uma política oficial de divulgação coordenada de vulnerabilidades (CVD).
- 6 Criar um framework para compartilhamento e reporte de vulnerabilidades de segurança, inclusive com divulgação de um canal de contato para que pessoas possam reportar questões de segurança.
- 7 Criar mecanismos para que atualizações de segurança sejam transmitidas a todos os produtos digitais de forma ágil e, sempre que possível, automaticamente.
Esses mecanismos devem ser distribuídos aos usuários e produtos sem demora, de forma gratuita e acompanhados de mensagens com informações relevantes e orientações sobre as ações necessárias por parte do usuário.
Quais empresas estão no escopo do CRA?
O Cyber Resilience Act tem um escopo bastante amplo, e muitas empresas que atuam na UE terão obrigação legal de cumprir a diretiva. Em linhas gerais, o CRA se aplica a qualquer empresa que fabrique “produtos com elementos digitais” disponíveis no mercado da UE. Em outras palavras, qualquer produto de hardware que possa se conectar à internet ou a outro dispositivo, assim como qualquer software — incluindo programas, aplicativos e firmware — está contemplado pelo CRA.
Embora não seja uma lista exaustiva, estes são alguns dos itens regulados pelo Cyber Resilience Act:
- Eletrônicos de Consumo: Notebooks, celulares, tablets, roteadores, switches.
- Dispositivos Inteligentes: Eletrodomésticos inteligentes, alto-falantes inteligentes, assistentes virtuais, sistemas de alarme.
- Tecnologia Vestível: Relógios inteligentes, rastreadores fitness, óculos inteligentes, anéis inteligentes.
- Software e Firmware: Aplicativos móveis e desktop, sistemas operacionais, firmware de dispositivos.
- Componentes eletrônicos: Processadores gráficos, unidades centrais de processamento (CPUs), microprocessadores (MPUs).
Produtos digitais e de tecnologia têm cadeias de suprimentos complexas, com diversos fabricantes, fornecedores e subfornecedores. A UE destaca três grupos específicos, ou "operadores econômicos", que precisam cumprir a lei:
Fabricantes
São as empresas que fabricam o produto e o comercializam sob sua marca. Frequentemente são chamados de fabricantes de equipamentos originais (OEMs) e geralmente contam com grandes cadeias de suprimentos que envolvem dezenas, centenas ou até milhares de fornecedores diretos e indiretos. Esses fabricantes específicos são responsáveis por garantir a conformidade com o CRA.
Importadores
Como o nome indica, esses operadores são empresas que importam produtos digitais de fora da UE — geralmente de um OEM ou outro fabricante — e os vendem no mercado europeu.
Distribuidores
Distribuidores é um termo abrangente para todos os atores que não são fabricantes nem importadores e que são responsáveis por colocar produtos digitais no mercado da UE. Inclui varejistas e outros negócios relacionados, e frequentemente vendem diretamente ao consumidor.
Como a UE está fiscalizando o CRA?
O CRA exige que todos os países da UE designem sua própria autoridade de mercado para fiscalizar a lei e monitorar as empresas enquadradas em seu escopo. Podem ser órgãos governamentais, agências ou outras entidades com capacidade de monitoramento e fiscalização. Essas autoridades de mercado têm poder para solicitar documentação técnica dos operadores incluídos no escopo, realizar recall de produtos ou restringir que um produto específico chegue ao mercado, caso seja considerado fora da conformidade com o CRA.
Além disso, as autoridades podem aplicar sanções e multas aos infratores.
Consequências do não cumprimento do CRA
Empresas que não cumprem o Cyber Resilience Act podem enfrentar multas significativas.
- Violações dos Requisitos Essenciais do CRA: Multas de até 15 milhões de euros ou 2,5% do faturamento global da empresa, prevalecendo o valor maior.
- Violações de Outras Obrigações do CRA (incluindo exigências de documentação e procedimentos de marcação CE): Multas de até 10 milhões de euros ou 2% do faturamento global da empresa, prevalecendo o valor maior.
- Fornecimento de Informações Falsas ou Incompletas para Autoridades de Mercado ou Organismos Notificados: Multas de até 5 milhões de euros ou 1% do faturamento global da empresa, prevalecendo o valor maior.
O Papel dos Organismos de Certificação no Cyber Resilience Act
A necessidade de uma empresa trabalhar com um organismo de certificação ou notificado para atender ao Cyber Resilience Act depende da classificação de risco dos produtos que ela fabrica, importa ou distribui. O CRA enquadra todos os produtos digitais em um de quatro níveis de produto:
- Produtos Padrão: Esta categoria abrange a maioria dos produtos digitais no mercado da UE, incluindo eletrônicos de consumo, brinquedos e a maior parte dos dispositivos inteligentes. Empresas que fabricam, importam ou distribuem produtos na categoria padrão não precisam obter avaliação de terceiros.
- Produtos Importantes (Classe I): Esta classificação cobre itens com responsabilidades especiais de segurança, incluindo roteadores, modems, navegadores e redes privadas virtuais (VPNs). Esta classe geralmente exige avaliação de terceiros, feita por um organismo notificado, para comprovação da conformidade com o CRA — a menos que o operador econômico comprove aderência a uma norma harmonizada relevante de cibersegurança, ou obtenha uma certificação europeia de cibersegurança aprovada pelo CRA.
- Produtos Importantes (Classe II): Este grupo se refere a infraestruturas de segurança ainda mais críticas, incluindo firewalls, hipervisores e sistemas de detecção de intrusão. Empresas que fabricam, importam ou distribuem esses produtos devem sempre obter avaliação de terceiros por um organismo notificado para demonstrar a conformidade ao CRA.
- Produtos Críticos: Esta é a categoria de maior risco e inclui produtos como módulos de hardware de segurança, smart cards e gateways de medidores inteligentes. Assim como na terceira categoria, empresas envolvidas na introdução desses produtos ao mercado europeu devem sempre obter avaliação de terceiros feita por organismo notificado.
Principais Datas de Implementação do Cyber Resilience Act
A UE está implementando o CRA de forma escalonada. A lei entrará em vigor ao longo de aproximadamente 15 meses, de setembro de 2026 até dezembro de 2027.
Em 11 de setembro, as empresas enquadradas precisarão começar a relatar vulnerabilidades de cibersegurança ativamente exploradas e incidentes graves de cibersegurança. Como esses relatórios precisam ser enviados a partir dessa data, as empresas deverão já ter implementado internamente processos de comunicação de incidentes antes do prazo.
Quinze meses após o início das obrigações de relatório, as empresas passam a ser responsáveis por seguir todos os outros requisitos de conformidade. Isso inclui os 13 requisitos para produtos digitais e todas as oito obrigações para fabricantes de produtos.
Como as Empresas Podem Cumprir o CRA
Uma das principais dificuldades em relação ao CRA é que as normas harmonizadas do regulamento ainda não foram finalizadas e publicadas (até o outono de 2026). Mesmo assim, a UE demonstra estar avançando com seus dois principais prazos — o início do reporte de vulnerabilidades em setembro de 2026; e as obrigações de conformidade totais em dezembro de 2027.
Adote Padrões de Cibersegurança Existentes
Empresas enquadradas podem se perguntar: se ainda não há normas harmonizadas oficiais para essa regulamentação, como posso me preparar agora? Embora exista fundamento nesse questionamento, as organizações não estão completamente desamparadas. Sabe-se que o comitê europeu responsável pela elaboração das normas do CRA está se baseando em diversos frameworks já utilizados, que as empresas podem adotar desde já para se preparar para uma regulamentação cujos requisitos concretos ainda não estão totalmente definidos. Entre os padrões utilizados pelo CRA, estão:
- IEC 62443
- ISO 30111
- ISO/IEC 27001
- IEC 62443-4-1
Estabeleça um Protocolo de Resposta a Incidentes
Se há algo que as organizações abrangidas sabem com certeza, é que, a partir de 11 de setembro de 2026, será obrigatório relatar vulnerabilidades ativamente exploradas ou outros incidentes graves de cibersegurança.
Ou seja, as empresas precisam ter um processo de reporte de incidentes em vigor antes dessa data para cumprir efetivamente o Cyber Resilience Act. Parte dessa obrigação é a exigência de criação de uma equipe de resposta a incidentes de segurança de produto (PSIRT), responsável por responder a incidentes cibernéticos, identificar rapidamente vulnerabilidades, avaliar seus níveis de ameaça e criar patches de segurança que devem ser distribuídos para todos os usuários.
As empresas abrangidas devem agora formar equipes profissionais, implementar ferramentas digitais, processos e atender às exigências de documentação para cumprir essa obrigação.
Documente Tudo com Cuidado
Quando todas as obrigações do CRA entrarem em vigor em dezembro de 2027, as entidades incluídas no escopo serão responsáveis por manter um arquivo extensivo de documentação utilizado para a avaliação de conformidade (seja feita internamente ou por um organismo notificado de terceiros). Esse arquivo precisará incluir uma lista de materiais, avaliação de riscos de cibersegurança, decisões de projeto influenciadas por requisitos de segurança e uma explicação dos padrões seguidos, entre outros elementos.
As empresas não precisam esperar pelas normas harmonizadas do CRA para começar a reunir essas informações. É possível já dar início à organização de tudo o que será exigido pela diretiva.
