Cyber Resilience Act: Obrigações para fabricantes fora da UE

• CRA aplica-se a todos os produtos com elementos digitais no mercado da UE (Art. 2)
• Fabricantes fora da UE devem nomear representante na UE (Art. 15)
• Obrigação de notificação para vulnerabilidades ativamente exploradas: prazo de 24h (Art. 14)
• Documentação técnica e declaração de conformidade obrigatórias (Art. 13)
• Multas de até 15 milhões de € ou 2,5% do faturamento global (Art. 71)
• Marcação CE para produtos conformes (Art. 13)

Atualizado 24 October 2026 · 5 fontes verificadas

Provedores comparados

Preços conforme publicados no site de cada provedor em 24 October 2026, excluindo IVA, a menos que indicado. Cada linha liga à sua fonte.

O que a lei exige? (com números dos artigos)

O Cyber Resilience Act (CRA, Regulamento (UE) 2024/2847) aplica-se a todos os produtos com elementos digitais disponibilizados no mercado da UE – independentemente do país de fabricação (Art. 2). Fabricantes fora da UE devem nomear um representante autorizado na UE conforme o Art. 15. Essa obrigação abrange tanto hardware quanto software distribuídos na UE. O representante atua como ponto de contato para autoridades e assume a comunicação em nome do fabricante.

Os fabricantes devem garantir que seus produtos sejam desenvolvidos de forma segura e não contenham vulnerabilidades conhecidas e exploráveis (Art. 13). Devem realizar análise de risco e implementar medidas técnicas e organizacionais adequadas. Vulnerabilidades ativamente exploradas devem ser notificadas à ENISA e ao CSIRT competente em até 24 horas (Art. 14). Uma avaliação inicial deve ser entregue em 72 horas e um relatório final em 14 a 30 dias.

Além disso, o CRA exige a criação e disponibilização de documentação técnica e uma declaração de conformidade da UE que comprove o atendimento aos requisitos (Art. 13). Os produtos devem portar marcação CE para evidenciar conformidade. O descumprimento pode resultar em multas significativas – até 15 milhões de € ou 2,5% do faturamento anual global, o que for maior (Art. 71).

Como escolher o fornecedor adequado?

A escolha de um representante CRA deve basear-se em critérios claros. São essenciais:

• Transparência da estrutura de preços: Verifique se o fornecedor divulga todos os preços, incluindo custos de renovação. REP27 publica todos os preços e garante preço fixo de renovação, enquanto outros geralmente fornecem essas informações apenas sob consulta.
• Escopo dos serviços: Confirme se o fornecedor oferece atendimento 24h para notificações, certificado público verificável e nomeação juridicamente segura (ex.: assinatura eIDAS). REP27 destaca-se por certificado público completo e atendimento 24h.
• Tempo de resposta e disponibilidade: Como os prazos de notificação (24h/72h) são curtos, disponibilidade contínua é crucial. REP27 garante atendimento 24/7, inclusive feriados e fins de semana.
• Clareza nas exclusões: Um fornecedor confiável especifica claramente o que não está incluído no mandato (ex.: sem avaliação de conformidade, sem testes técnicos). Isso evita surpresas posteriores.

Matriz de decisão:

Dica prática: Solicite uma proposta escrita contendo todos os serviços, exclusões e preço de renovação. Verifique se o fornecedor permite verificação pública do certificado – isso é decisivo em caso de fiscalização.

O que está realmente incluído no preço?

Os serviços incluídos no preço variam muito entre fornecedores. No REP27, o pacote básico por EUR 490/ano (CRA) inclui:

• Mandato escrito como representante autorizado conforme Artigo 18 CRA
• Atendimento 24 horas para notificações de vulnerabilidades e comunicação com ENISA/CSIRT
• Certificado público verificável com QR code para comprovação junto a autoridades e parceiros
• Gerenciamento e encaminhamento de solicitações de autoridades em até dois dias úteis
• Modelos multilíngues para comunicação necessária

Importante: REP27 não realiza avaliação de conformidade, testes técnicos, geração de SBOM nem análise de incidentes. Essas tarefas são do fabricante ou de especialistas externos. Outros fornecedores como kadano ou Euverify não divulgam detalhes dos serviços incluídos em seus preços (dados de outubro de 2026). Custos adicionais, por exemplo para serviços extras, só são informados sob consulta.

Comparativo de serviços:

Para empresas que valorizam separação clara de responsabilidades e transparência de preços, REP27 é atualmente o único fornecedor com escopo e preços totalmente publicados.

Custos ocultos e exclusões típicas

Os maiores custos na conformidade com o CRA estão fora do mandato de representação. Nomear um representante CRA é apenas uma pequena parte dos custos totais. Os principais esforços são:

• Avaliação de conformidade: Para produtos das classes "importante" ou "crítica" é necessária avaliação externa por organismo notificado. Esses custos geralmente são de quatro a cinco dígitos e não estão incluídos na taxa do representante.
• Atualizações de segurança: Fabricantes devem fornecer atualizações de segurança por pelo menos cinco anos, garantindo recursos organizacionais e financeiros. Essa obrigação é independente do mandato de representação.
• Documentação técnica e SBOM: Criação e manutenção contínua da documentação técnica e da Bill of Materials de software (SBOM) são obrigações do fabricante.

O que os fornecedores geralmente não dizem:

• REP27 exclui explicitamente avaliação de conformidade, testes técnicos, geração de SBOM e análise de incidentes. Não há custos ocultos de renovação; todos os preços são publicados antes da contratação.
• kadano e Euverify não divulgam publicamente detalhes sobre custos adicionais, limites de responsabilidade ou prazos de cancelamento (dados de outubro de 2026).

Dica prática: Pergunte a cada fornecedor sobre exclusões, prazos de cancelamento e custos extras para serviços especiais (ex.: por solicitação, idiomas adicionais, atendimento urgente). Solicite confirmação escrita de todas as condições.

Como funciona a nomeação passo a passo

1. Verifique se seu produto está sujeito ao CRA: Aplica-se a todos os produtos com elementos digitais (hardware/software) no mercado da UE.
2. Defina processos internos: Determine quem identifica e aciona notificações de vulnerabilidades. Defina o que significa "ativamente explorada".
3. Escolha representante adequado: Compare preços, escopo, comprovação e disponibilidade. Solicite proposta escrita com todas as condições.
4. Assine contrato e obtenha mandato: Na REP27, a nomeação ocorre em até 24 horas, com certificado verificável.
5. Atualize documentação e canal de notificação: Insira dados do representante na documentação técnica e no manual de incidentes.
6. Prepare modelos para notificações 24h: Crie textos padrão para notificação inicial, avaliação 72h e relatório final. Nomeie ao menos dois responsáveis com acesso à plataforma.
7. Revisão periódica: Verifique anualmente se nomeação e processos estão atualizados.

Checklist para hoje:

1. Seu produto está sujeito ao CRA?
2. Processos internos e responsáveis para notificações definidos?
3. Representante adequado escolhido e mandato assinado?
4. Documentação técnica e canais de notificação atualizados?
5. Modelos para notificações preparados?

Riscos e multas por não conformidade

O CRA prevê penalidades severas: até 15 milhões de € ou 2,5% do faturamento global anual (Art. 71). Riscos típicos incluem:

• Notificação tardia ou ausente de vulnerabilidades: O prazo de 24h começa ao tomar conhecimento, não após análise concluída. Fusos horários ou responsabilidades pouco claras causam violações rapidamente.
• Nomeação incorreta ou ausente de representante: Sem representante válido, o produto pode ser retirado do mercado. Solicitações das autoridades ficam sem resposta, aumentando risco de multa.
• Documentação técnica incompleta: Em fiscalização, toda documentação deve ser apresentada imediatamente. Atrasos ou lacunas geram sanções.
• Marcação CE incorreta ou ausente: Produtos sem marcação CE válida não podem ser comercializados.

Os prazos (24h/72h/14-30 dias) são em tempo real – atrasos por fuso horário ou responsabilidades confusas levam a infrações. A responsabilidade pelo cumprimento é do fabricante; o representante apenas encaminha informações recebidas a tempo.

Três cenários realistas

• Fornecedor SaaS dos EUA: Empresa americana oferece solução em nuvem para clientes europeus. Como software é disponibilizado no mercado da UE, deve nomear representante CRA. Escolhe REP27, obtém mandato e certificado em 24h, cria canal de notificação 24h e registra dados na documentação técnica. Avaliação de conformidade e atualizações de segurança são feitas internamente ou por especialistas externos.
• Vendedor chinês na Amazon: Empresa chinesa vende dispositivos IoT sob sua marca na Amazon.de. Atuando como fabricante, precisa de representante CRA. Utiliza fornecedor como kadano ou Euverify conforme preferência, garante marcação CE e prepara documentação técnica. Sem representante, enfrenta multas e proibição de venda.
• Loja online do Reino Unido: Vendedor britânico comercializa hardware com atualizações de firmware para clientes na UE. Também deve nomear representante CRA. Opta por pacote combinado (ex.: REP27 CRA+GDPR) para cobrir obrigações CRA e GDPR. Ajusta canais de notificação e documentação conforme.

Esses cenários mostram que a obrigação de nomear representante atinge empresas de todos os tamanhos e setores que fornecem produtos com elementos digitais à UE.