Obrigações do produtor extra-UE segundo o Cyber Resilience Act

• Obrigação de representante UE (Art. 18 CRA) para produtores extra-UE
• Notificação de vulnerabilidades em até 24 horas (Art. 14 CRA) via representante
• REP27: mandato CRA €490/ano (preço publicado, outubro 2026)
• Serviços incluídos e limites variam entre fornecedores, sempre verifique antes
• Não incluído: avaliação de conformidade, testes, SBOM, relatórios técnicos
• Importadores/distribuidores sem venda em próprio nome não têm obrigação

Atualizado 21 October 2026 · 4 fontes verificadas

Provedores comparados

Preços conforme publicados no site de cada provedor em 21 October 2026, excluindo IVA, a menos que indicado. Cada linha liga à sua fonte.

O que a lei exige: artigos-chave do CRA

O Cyber Resilience Act (CRA, Regulamento UE 2024/2847) impõe obrigações rigorosas para produtores de produtos com elementos digitais que pretendem vender na União Europeia. Se o produtor não tiver sede na UE, deve nomear um representante autorizado na União conforme o Artigo 18. Esse representante atua como ponto único de contato para todas as comunicações oficiais com as autoridades europeias de vigilância do mercado e gerencia o recebimento e encaminhamento das solicitações formais.

Outra obrigação fundamental é a notificação de vulnerabilidades: o Artigo 14 do CRA exige que o produtor informe em até 24 horas qualquer vulnerabilidade explorada ativamente ou incidente grave que impacte a segurança do produto. A notificação ocorre via plataforma ENISA e CSIRT coordenador, definido conforme a localização do representante. O representante autorizado é essencial para garantir a rapidez e correção das comunicações, especialmente para empresas com fusos horários diferentes ou sem pessoal na Europa.

Importante: a obrigação se aplica apenas aos produtores. Importadores e distribuidores não precisam nomear representante CRA, a menos que coloquem o produto no mercado em próprio nome. Quem vende via marketplaces (Amazon, Etsy, eBay) deve avaliar se é considerado produtor conforme definição do CRA. Produtos já no mercado antes da entrada em vigor do CRA continuam sujeitos às obrigações de notificação.

• Artigo 18 CRA: Nomeação de representante UE para produtores extra-UE
• Artigo 14 CRA: Notificação de vulnerabilidades em até 24 horas
• Quem está excluído: Importadores/distribuidores que não vendem em próprio nome

Como escolher o representante CRA: critérios, comparação e perguntas-chave

A escolha do representante CRA é uma decisão estratégica que impacta a conformidade, rapidez na resposta a incidentes e transparência dos custos. Os principais critérios a considerar são:

• Preço publicado e clareza sobre renovação: Apenas alguns fornecedores (ex. REP27) publicam preços e condições de renovação transparentes; outros exigem contato direto para detalhes.
• Serviços incluídos: Verifique sempre o que está incluído no mandato: recebimento e encaminhamento de solicitações, certificado verificável, suporte para notificação, presença de atendimento 24/7.
• Exclusões explícitas: Nenhum representante pode oferecer avaliação de conformidade, testes de segurança, geração de SBOM ou relatórios técnicos: esses são responsabilidade do produtor.
• Verificação do mandato: Prefira quem oferece certificado com QR code e página pública de verificação.
• Perguntas a fazer: Quem assina o mandato? Qual o processo em caso de solicitação das autoridades? Em quais idiomas respondem? Quais são os custos de renovação e eventuais despesas extras?

Abaixo uma tabela comparativa dos serviços declarados:

Transparência sobre inclusões, exclusões e preços é sinal de confiabilidade: desconfie de quem não especifica claramente o que oferece.

O que o preço realmente inclui: transparência, limites e comparação prática

O mandato do representante CRA cobre exclusivamente a representação legal e gestão das comunicações com as autoridades europeias. O preço publicado pela REP27 (€490/ano, €440 renovação) inclui:

• Mandato escrito Art. 18 CRA, assinado eletronicamente
• Certificado verificável com QR code e página pública
• Recebimento e encaminhamento de todas as solicitações das autoridades de vigilância do mercado
• Gestão da notificação de vulnerabilidades conforme prazos do CRA

Não estão incluídos:

• Avaliação de conformidade do produto (função dos organismos notificados, não do representante)
• Testes de segurança ou geração de SBOM
• Elaboração ou envio de relatórios técnicos
• Suporte operacional ou consultoria técnica

A maioria dos fornecedores não publica detalhes dos serviços incluídos: kadano (€999/ano) e Euverify (£590/ano) não especificam o que está incluído ou excluído no preço. É fundamental sempre solicitar lista detalhada antes de assinar.

Atenção também a renovações automáticas e políticas de faturamento: REP27 garante uma única fatura anual e preço de renovação declarado antecipadamente.

Custos ocultos e riscos: o que avaliar para a conformidade CRA

O custo do mandato de representante é apenas uma pequena parte da conformidade CRA. Os principais custos, muitas vezes ocultos ou subestimados, são:

• Avaliação de conformidade: Para produtos de classe importante ou crítica, é obrigatório o envolvimento de organismo notificado, com custos que podem superar muito o do representante.
• Suporte técnico e atualizações: O produtor deve garantir pelo menos cinco anos de atualizações de segurança, com recursos dedicados.
• Gestão de incidentes e relatórios: A falta de notificação rápida de vulnerabilidade pode acarretar sanções, bloqueio da comercialização e danos reputacionais.
• Renovações e custos extras: Alguns fornecedores aplicam custos adicionais para solicitações fora do horário, idiomas extras ou para gestão de incidentes complexos. REP27 declara não cobrar taxas extras, mas outros fornecedores não especificam.

O risco operacional mais grave é não ter um canal de notificação ativo 24/7: o atendimento do representante deve estar sempre disponível, inclusive à noite e feriados, para respeitar o prazo de 24 horas.

Em resumo, a conformidade CRA exige planejamento, recursos internos e escolha consciente do representante, sem se basear apenas no preço mais baixo.

Como funciona a nomeação: passos operacionais e melhores práticas

A nomeação do representante CRA segue um esquema preciso, fundamental para garantir conformidade e prontidão na gestão das solicitações das autoridades:

1. Avalie a necessidade: Você é produtor extra-UE que vende produtos digitais na União? Se sim, prossiga.
2. Escolha o fornecedor: Analise preços publicados, serviços incluídos, modalidades de verificação do mandato e presença de atendimento 24/7.
3. Solicite o serviço: Preencha o formulário no site do fornecedor escolhido.
4. Assine o mandato: Receba e assine o mandato escrito Art. 18 CRA, preferencialmente com assinatura eletrônica reconhecida (ex. eIDAS).
5. Receba o certificado: Obtenha o certificado verificável (QR code, página pública) e inclua na documentação técnica.
6. Atualize procedimentos internos: Insira os dados do representante nas políticas de segurança, runbook de resposta a incidentes e documentação técnica.
7. Prepare a notificação: Preencha templates para notificação de vulnerabilidades (early warning, notificação 72h, relatório final) e nomeie pelo menos dois submitters com acesso à plataforma ENISA.
8. Verifique a disponibilidade: Assegure que o representante esteja acessível 24/7 para encaminhar notificações dentro dos prazos.

Melhores práticas: sempre solicite uma simulação de notificação ao fornecedor antes de assinar, para avaliar tempos de resposta e clareza dos procedimentos.

Checklist para conformidade CRA (produtores extra-UE)

1. Verifique se vende produtos digitais na UE
2. Classifique o produto segundo o CRA (default, importante I/II, crítico)
3. Nomeie um representante UE com mandato Art. 18
4. Prepare canais e procedimentos para notificação de vulnerabilidades 24/7
5. Documente a nomeação na documentação técnica e políticas internas
6. Nomeie pelo menos dois submitters com acesso à plataforma ENISA
7. Preencha templates de notificação (early warning, notificação, relatório final)
8. Reserve recursos para pelo menos 5 anos de atualizações de segurança
9. Verifique a cobertura do representante em todos os países UE de interesse
10. Simule uma notificação para testar a prontidão operacional

O que os fornecedores frequentemente não dizem: exclusões, limites e riscos práticos

• O mandato cobre apenas a representação legal: Nenhum representante pode oferecer avaliação de conformidade, testes de segurança, SBOM ou suporte técnico no preço base.
• Os principais custos são internos: A conformidade CRA exige recursos de engenharia, suporte e atualizações, não incluídos no serviço de representação.
• Renovações automáticas e preços não publicados: Alguns fornecedores não declaram preço de renovação ou aplicam aumentos não transparentes. REP27 publica preços e renovações antecipadamente.
• Atendimento nem sempre ativo: A disponibilidade 24/7 não é sempre garantida: sempre pergunte como é gerenciada a notificação fora do horário.
• Responsabilidade limitada: O representante não assume responsabilidade técnica sobre o produto, apenas pela transmissão das comunicações.
• Taxas por solicitação: Alguns fornecedores podem cobrar taxas extras para solicitações complexas, idiomas adicionais ou gestão de incidentes fora do horário: sempre verifique antes de assinar.

Matriz decisória: quem deve nomear o representante CRA

Essa matriz ajuda a determinar rapidamente a obrigação de nomeação conforme o papel e modelo de negócio.

Cenários práticos: três exemplos reais e a solução mais simples

• SaaS EUA: Uma empresa americana oferece plataforma de software para clientes UE. Deve nomear representante CRA, preparar canais de notificação de vulnerabilidades e incluir certificado na documentação técnica. Solução: REP27 oferece mandato a €490/ano, atendimento 24/7, certificado verificável.
• Vendedor Amazon China: Se o vendedor for produtor do produto digital, deve nomear representante CRA e preparar documentação de notificação. Se for apenas revendedor/importador, não há obrigação. Solução: avaliar definição de produtor segundo CRA e nomear representante só se necessário.
• Loja UK: Uma loja online britânica que produz e vende dispositivos digitais na UE deve nomear representante CRA e preparar procedimentos de notificação. Se importa produtos de terceiros sem modificá-los ou marcá-los, não tem obrigação. Solução: esclarecer o papel na cadeia de fornecimento e escolher fornecedor com preços publicados e atendimento ativo.

Em todos os cenários, escolher um fornecedor transparente reduz riscos e custos inesperados.