Num mundo tão tecnologicamente avançado como o atual, os ciberataques tornaram-se os equivalentes modernos dos assaltos à mão armada. Em vez de se assaltarem bancos, pequenas lojas ou pessoas distraídas numa rua deserta durante a noite, muitos criminosos de hoje focam os seus esforços em ataques informáticos para roubar empresas, governos e cidadãos comuns. Apesar das diferenças nos tamanhos, alvos e audácia, estes ataques representam uma atividade criminosa de enormes dimensões.
Segundo o grupo do setor Cybersecurity Ventures, o custo anual global de todos os cibercrimes ascende já a mais de 10 biliões de dólares. Estes custos resultam de uma combinação de consequências negativas, incluindo:
- Paragem da atividade e consequente perda de produtividade
- Roubo por fraude, extorsão e desfalque
- Perda de dados
- Propriedade intelectual roubada
As várias formas de atuação dos cibercriminosos — e a vasta gama de informação valiosa que podem obter através destes ataques — fazem deste fenómeno um setor criminoso gigantesco, em contínuo crescimento anual. Os dados da Cybersecurity Ventures indicam que o custo total do cibercrime aumentou de forma dramática na última década:
- 2015: 3 biliões de dólares
- 2021: 6 biliões de dólares
- 2025: 10,5 biliões de dólares
Embora algumas organizações apresentem estimativas significativamente inferiores, mesmo custos anuais de cibercrime entre 1 e 2 biliões de dólares colocariam esta atividade ao nível do PIB total da Indonésia ou dos Países Baixos. Mas afinal, o que estão o mundo e os seus principais governos a fazer perante esta nova vaga de agentes mal-intencionados?
O que é o Cyber Resilience Act?
O Cyber Resilience Act (CRA) é um regulamento criado pela União Europeia para responder ao crescimento exponencial do cibercrime. O objetivo principal é forçar as empresas tecnológicas e demais fabricantes a disponibilizarem hardware e software protegidos contra ciberataques e menos suscetíveis de serem usados como vetor para crimes que visam dados e/ou recursos financeiros dos cidadãos da UE. Como explica a Comissão Europeia no seu site, o Cyber Resilience Act pretende definir «requisitos claros e obrigatórios de cibersegurança para todo o ciclo de vida dos produtos digitais».
O CRA foi inicialmente proposto pela Comissão Europeia em 2022. Dois anos depois, em 2024, o Parlamento Europeu aprovou formalmente o texto do CRA, tendo o Conselho da UE dado a sua aprovação. Após publicação no Jornal Oficial da UE em novembro, o CRA entrou oficialmente em vigor em dezembro de 2024.
Dada a abrangência das obrigações impostas pelo CRA às empresas abrangidas, a UE concedeu tempo suficiente para preparação e adaptação às exigências de conformidade. A lei será implementada durante um período de cerca de 15 meses, começando em setembro de 2026 e atingindo plena aplicação em dezembro de 2027.
Quais são os requisitos do Cyber Resilience Act?
O CRA da UE impõe um vasto conjunto de obrigações às organizações abrangidas. O intuito do regulamento é obrigar legalmente estas empresas a desenvolver produtos digitais mais seguros e resilientes, a implementar protocolos robustos de resposta a incidentes de cibersegurança, e a garantir maior transparência perante consumidores e demais partes interessadas sobre as medidas de mitigação e a postura de segurança adotada.
Os requisitos principais do Cyber Resilience Act podem ser consultados no Anexo I da lei, intitulado Requisitos Essenciais de Cibersegurança. Estes estão divididos em dois grupos: as propriedades que os produtos digitais fabricados pelas empresas abrangidas devem apresentar, e os processos que os fabricantes desses produtos devem cumprir para observar a legislação.
Anexo I, Parte I: Propriedades que os Produtos Digitais Devem Ter
Esta secção da lei constitui, em grande medida, o núcleo da legislação. A UE pretende que os produtos digitais comercializados e vendidos na Europa sejam mais seguros e protegidos contra a ação de cibercriminosos, e estas são as medidas consideradas essenciais para alcançar esse nível de proteção. Para conformidade com o CRA, os produtos digitais devem ser concebidos e lançados no mercado da UE com as seguintes características:
- 1 Sem vulnerabilidades exploráveis conhecidas
- 2 Configuração segura por defeito. Isto significa que as definições seguras são a configuração predefinida no dispositivo ou produto.
- 3 As vulnerabilidades podem ser eficazmente resolvidas através de atualizações de segurança, incluindo atualizações automáticas que ofereçam uma opção clara de exclusão para o utilizador.
- 4 Proteção contra acessos não autorizados, incluindo funcionalidades como mecanismos de autenticação, gestão de identidades ou de acessos.
- 5 Preservação da confidencialidade de qualquer dado armazenado no produto, recorrendo a encriptação ou outros meios.
- 6 Proteção da integridade de dados, programas e configurações contra manipulação ou modificação externa.
- 7 Apenas pode ser recolhida a informação estritamente necessária ao funcionamento contínuo do produto.
- 8 Preservação das funções básicas do produto após um ciberataque.
- 9 Minimização do impacto negativo de ciberataques noutros dispositivos ou redes.
- 10 "Superfícies de ataque" limitadas, significando pontos de exposição ou vulnerabilidade que possam ser explorados por agentes mal-intencionados.
- 11 Mecanismos para limitar o impacto e a eficácia de ciberataques bem-sucedidos.
- 12 Capacidade de registar eventos de segurança, incluindo alterações a dados ou funções do dispositivo. Esta funcionalidade deve permitir ao utilizador optar por desativação.
- 13 Permitir ao utilizador eliminar todos os dados e definições personalizadas do produto.
Anexo I, Parte II: Processos que os Fabricantes Devem Cumprir
Além de conceber e produzir produtos digitais com as funcionalidades de segurança adequadas, os fabricantes devem estar preparados para assumir um papel ativo na mitigação de ciberataques ao longo de todo o ciclo de vida do produto.
Os fabricantes de produtos digitais devem adotar as seguintes medidas:
- 1 Identificar e documentar vulnerabilidades dos produtos, incluindo através da produção de uma lista de materiais (BOM) que cubra todas as dependências críticas.
- 2 Resolver e remediar vulnerabilidades de segurança logo que sejam identificadas, incluindo através de atualizações de segurança.
- 3 Efetuar testes de segurança contínuos aos produtos digitais.
- 4 Partilhar informação sobre vulnerabilidades e eventos de segurança, incluindo impacto, gravidade e instruções claras para resolução por parte dos utilizadores.
- 5 Definir uma política oficial de divulgação coordenada de vulnerabilidades (CVD).
- 6 Criar um enquadramento para partilha e reporte de vulnerabilidades de segurança, incluindo um endereço de contacto divulgado para comunicação de questões de segurança.
- 7 Implementar mecanismos que permitam a distribuição de atualizações de segurança para todos os produtos digitais de modo atempado e, quando aplicável, de forma automática.
Estes mecanismos devem ser disponibilizados prontamente aos utilizadores e produtos, sem custos, incluindo mensagens com informação relevante e indicação de todas as ações necessárias por parte do utilizador.
Que empresas estão abrangidas pelo CRA?
O Cyber Resilience Act é de aplicação muito ampla, e muitas empresas que operam na UE serão legalmente obrigadas a cumprir esta diretiva. De uma forma geral, o CRA abrange qualquer empresa que fabrique «produtos com elementos digitais» disponíveis no mercado da UE. Em termos práticos, qualquer produto de hardware que possa ligar-se à internet ou a outro dispositivo e qualquer software — incluindo programas, aplicações e firmware — estão abrangidos pelo CRA.
Ainda que esta não seja uma lista exaustiva, estes são alguns dos produtos abrangidos pelo Cyber Resilience Act:
- Eletrónica de Consumo: Portáteis, smartphones, tablets, routers, switches.
- Dispositivos Inteligentes: Eletrodomésticos inteligentes, assistentes virtuais, colunas inteligentes, sistemas de alarme.
- Tecnologia Vestível: Relógios inteligentes, pulseiras de fitness, óculos inteligentes, anéis inteligentes.
- Software e Firmware: Aplicações móveis e desktop, sistemas operativos, firmware de dispositivos.
- Componentes eletrónicos: Processadores gráficos, unidades centrais de processamento (CPUs), microprocessadores (MPUs).
Os produtos digitais e tecnológicos têm cadeias de abastecimento complexas, com diversos fabricantes, fornecedores e terceiros subcontratados. A UE identifica três grupos específicos, ou «operadores económicos», que devem cumprir a legislação:
Fabricantes
São as empresas que fabricam o produto e o comercializam sob a sua marca. Frequentemente referidos como fabricantes de equipamento original (OEMs), geralmente recorrem a cadeias de abastecimento extensas, com dezenas, centenas ou mesmo milhares de fornecedores diretos e indiretos. Estes fabricantes específicos têm a responsabilidade de cumprir o CRA.
Importadores
Como indica o nome, estes operadores são empresas que importam produtos digitais de fora da UE — muitas vezes de um OEM ou outro fabricante — e os vendem no mercado da União Europeia.
Distribuidores
Distribuidores é um termo abrangente para todos os intervenientes, exceto fabricantes e importadores, que sejam responsáveis por colocar produtos digitais no mercado da UE. Incluem retalhistas e outros negócios relacionados, vendendo frequentemente diretamente ao consumidor.
Como está a UE a fazer cumprir o CRA?
O CRA exige que todos os países da UE designem uma autoridade de mercado própria para assegurar o cumprimento da lei e monitorizar as empresas abrangidas pelo seu âmbito de aplicação. Estas entidades podem ser gabinetes governamentais, agências ou outros organismos com capacidade de monitorização e aplicação. A autoridade de mercado designada tem poder para solicitar documentação técnica aos operadores abrangidos, efetuar recolha de produtos ou limitar/deter a colocação de produtos no mercado, caso se verifique que não cumprem o CRA.
Além disso, as autoridades podem aplicar sanções e multas aos infratores.
Consequências de não cumprir o CRA
As empresas que não cumpram o Cyber Resilience Act podem enfrentar multas significativas.
- Violações dos Requisitos Essenciais do CRA: Multas até 15 milhões de euros ou 2,5% do volume de negócios mundial da empresa, consoante o valor mais elevado.
- Violações de Outras Obrigações do CRA (incluindo exigências documentais e procedimentos de marcação CE): Multas até 10 milhões de euros ou 2% do volume de negócios mundial da empresa, consoante o valor mais elevado.
- Fornecimento de informações falsas ou incompletas às autoridades de mercado ou organismos notificados: Multas até 5 milhões de euros ou 1% do volume de negócios mundial da empresa, consoante o valor mais elevado.
O papel dos organismos de certificação no Cyber Resilience Act
A necessidade de uma empresa trabalhar com um organismo de certificação ou organismo notificado para cumprir o Cyber Resilience Act depende da classificação de risco dos produtos que fabrica, importa ou distribui. O CRA classifica todos os produtos digitais em quatro categorias de produto:
- Produtos Padrão: Esta categoria abrange a maioria dos produtos digitais no mercado da UE, incluindo eletrónica de consumo, brinquedos e a maioria dos dispositivos inteligentes. As empresas que fabricam, importam ou distribuem produtos nesta categoria não precisam de obter uma avaliação de terceiros.
- Produtos Importantes (Classe I): Esta classificação cobre itens com responsabilidades especiais de segurança, incluindo routers, modems, browsers e redes privadas virtuais (VPNs). Estes produtos exigem, geralmente, uma avaliação de terceiros por um organismo notificado que ateste a conformidade com o CRA, exceto se o operador económico demonstre cumprimento de uma norma harmonizada relevante de cibersegurança ou obtenha uma certificação europeia reconhecida pelo CRA.
- Produtos Importantes (Classe II): Este grupo destina-se a infraestruturas de segurança ainda mais críticas, incluindo firewalls, hipervisores e sistemas de deteção de intrusões. As empresas que fabricam, importam ou distribuem estes produtos devem, obrigatoriamente, obter uma avaliação de terceiros por um organismo notificado para demonstrar conformidade com o CRA.
- Produtos Críticos: Esta é a categoria de maior risco e inclui produtos como módulos de segurança de hardware, cartões inteligentes (smart cards) e gateways de contadores inteligentes. Tal como na terceira categoria, as empresas envolvidas na colocação destes bens no mercado da UE devem, sempre, obter uma avaliação de terceiros por um organismo notificado.
Principais datas de implementação do Cyber Resilience Act
A UE está a implementar o CRA de forma faseada. A legislação entrará em vigor durante cerca de 15 meses, entre setembro de 2026 e dezembro de 2027.
A partir de 11 de setembro, as empresas abrangidas terão de começar a reportar vulnerabilidades de cibersegurança ativamente exploradas e incidentes graves de cibersegurança. Como o reporte tem de se iniciar nesta data, as empresas necessitam de ter processos internos de reporte de incidentes estabelecidos e implementados antes do prazo.
Quinze meses após entrarem em vigor as obrigações de reporte, as empresas terão de cumprir todos os restantes requisitos de conformidade. Tal inclui os 13 requisitos para produtos digitais e as oito obrigações para fabricantes de produtos.
Como podem as empresas cumprir o CRA
Uma das principais questões em aberto sobre o CRA é que as normas harmonizadas do regulamento ainda não foram finalizadas nem publicadas (até ao outono de 2026). Apesar disso, a UE parece continuar a avançar com os dois prazos mais relevantes — reporte de vulnerabilidades em setembro de 2026 e obrigações totais de conformidade em dezembro de 2027.
Cumprir os padrões de cibersegurança já existentes
As empresas abrangidas poderão naturalmente questionar-se: se não existem normas harmonizadas oficiais para este regulamento, como é que podem preparar-se já? Embora esta perspetiva seja legítima, as organizações não estão totalmente indefesas. Sabe-se que o comité europeu responsável pela elaboração das normas do CRA tem vindo a basear-se em vários referenciais já estabelecidos — padrões que as empresas podem adotar desde já, enquanto procuram cumprir um regulamento cujos requisitos concretos ainda não são totalmente claros. As normas subjacentes ao CRA incluem:
- IEC 62443
- ISO 30111
- ISO/IEC 27001
- IEC 62443-4-1
Implementar um protocolo de resposta a incidentes
Se há algo que as organizações abrangidas sabem com certeza, é que, a partir de 11 de setembro de 2026, será obrigatório reportar vulnerabilidades ativamente exploradas e outros incidentes graves de cibersegurança.
Ou seja, as empresas terão de ter um processo de reporte de incidentes em funcionamento antes dessa data para poderem cumprir de forma eficaz o Cyber Resilience Act. Uma parte desta obrigação é a necessidade de as empresas criarem uma equipa de resposta a incidentes de segurança de produto (PSIRT), capaz de dar resposta a incidentes cibernéticos, identificar rapidamente vulnerabilidades, avaliar o seu nível de ameaça e criar atualizações de segurança que devem ser distribuídas a todos os utilizadores.
As empresas abrangidas deverão, desde já, começar a compor as equipas profissionais, ferramentas digitais, processos e requisitos documentais necessários para esta obrigação.
Documentar cuidadosamente todos os processos
Uma vez em vigor todas as obrigações do CRA (em dezembro de 2027), as entidades abrangidas serão responsáveis por um ficheiro documental extenso para a avaliação de conformidade (quer essa avaliação seja interna ou feita por entidade terceira). Este ficheiro terá de incluir uma lista de materiais (BOM), avaliação de risco de cibersegurança, decisões de projeto fundamentadas nos requisitos de segurança e uma explicação dos padrões seguidos, entre outros elementos.
Não é necessário aguardar pelas normas harmonizadas do CRA para começar a reunir esta informação. As empresas podem já compilar todos os requisitos documentais previstos pela diretiva.
