Obrigações do Cyber Resilience Act para Fabricantes Fora da UE

• CRA aplica-se a fabricantes fora da UE que vendem na UE a partir de 11 de setembro de 2026
• Artigo 18: representante autorizado na UE obrigatório se não houver estabelecimento na UE
• Obrigação de reportar vulnerabilidades exploradas em 24 horas (Artigo 14)
• Rota de avaliação de conformidade depende da classe do produto
• Multas de até €15 milhões ou 2,5% do faturamento por infrações

Atualizado 18 October 2026 · 7 fontes verificadas

Provedores comparados

Preços conforme publicados no site de cada provedor em 18 October 2026, excluindo IVA, a menos que indicado. Cada linha liga à sua fonte.

O Que a Lei Exige (com Números dos Artigos)

O Cyber Resilience Act (CRA) é o novo regulamento da UE para produtos com elementos digitais, incluindo hardware, software e componentes. Aplica-se a qualquer fabricante — independentemente da localização — se seus produtos forem colocados no mercado da UE. A lei entrou em vigor em 10 de dezembro de 2024. As obrigações de reporte começam em 11 de setembro de 2026; conformidade total (incluindo marcação CE e avaliação de conformidade) é exigida a partir de 11 de dezembro de 2027.

• Artigo 18: Fabricantes fora da UE devem nomear um representante autorizado na UE para cada linha de produto, a menos que possuam estabelecimento na UE. Esse representante atua como contato oficial para autoridades e vigilância de mercado.
• Artigo 14: Fabricantes devem reportar vulnerabilidades ativamente exploradas e incidentes graves que afetem a segurança do produto. O prazo é rigoroso: alerta inicial em 24 horas, notificação completa em 72 horas e relatório final em 14 dias após mitigação ou notificação. A plataforma de reporte é gerida pela ENISA, e o destinatário é definido pelo estado-membro do representante.
• Anexos I & II: Fabricantes devem cumprir requisitos essenciais de cibersegurança, incluindo tratamento de vulnerabilidades, desenvolvimento seguro por design e instruções claras ao usuário em idioma acessível para usuários e autoridades.
• Avaliação de Conformidade: O processo exigido depende da classe do produto. Produtos padrão podem autoavaliar; classe importante I deve usar normas harmonizadas ou avaliação terceirizada; classe importante II e críticos requerem organismo notificado ou esquema de certificação.
• Período de Suporte: Fabricantes devem fornecer atualizações de segurança e tratamento de vulnerabilidades durante o período declarado de suporte (mínimo cinco anos).
• Isenções: Micro e pequenas empresas, e mantenedores de código aberto, estão isentos de multas por atraso no reporte, mas devem cumprir obrigações técnicas e de reporte.

Importadores e distribuidores tornam-se fabricantes se colocarem produtos sob seu próprio nome ou os modificarem substancialmente. Caso contrário, o fabricante original permanece responsável pela conformidade e reporte do CRA.

Como Escolher um Representante CRA ou Provedor de Conformidade

Escolher o representante do Artigo 18 ou provedor de conformidade correto é crítico para fabricantes fora da UE. O mercado varia muito em preço, transparência e serviços incluídos. Veja o que considerar:

• Entidade Legal e Localização: Verifique a entidade legal do provedor e seu estabelecimento na UE. Por exemplo, REP27 é Europe Services, SE, sediada em Praga e listada no registro comercial tcheco. Sempre confira antes de pagar.
• Escopo do Mandato: Alguns provedores oferecem apenas o mandato do Artigo 18 (exigido por lei), enquanto outros incluem serviços adicionais como representação GDPR ou NIS2. Confirme se o mandato está limitado ao Artigo 18(3) (como deve ser) e não cobre obrigações proibidas pelo Artigo 18(2).
• Transparência de Preços: Procure provedores que publiquem preços do primeiro ano e renovações. Cuidado com preços introdutórios baixos seguidos por renovações silenciosas e mais caras. REP27, por exemplo, informa claramente preços de renovação junto com os do primeiro ano.
• Verificação e Suporte: Garanta que o provedor ofereça certificado verificável, método público de verificação e central de atendimento para solicitações. Pergunte sobre o processo de encaminhamento de pedidos de autoridades ou CSIRT, idiomas suportados e tempos de resposta.
• Serviços Combinados: Se precisar também de representação para GDPR Artigo 27 ou GPSR Artigo 16, alguns provedores (ex.: REP27) oferecem pacotes combinados com preço reduzido.

Matriz de Decisão:

Sempre solicite mandato escrito e certificado antes de colocar produtos no mercado da UE.

O Que o Preço Realmente Inclui: Comparação de Provedores

Preços e serviços incluídos variam bastante. Mandatos do Artigo 18 são tipicamente o menor custo externo na conformidade CRA, mas muitos provedores não divulgam detalhes completos. Abaixo, comparação do que está incluído, não incluído ou pode gerar custos extras para cada provedor (em outubro de 2026):

Para a maioria dos fabricantes, o mandato do Artigo 18 é um documento de uma página mais a obrigação de encaminhar solicitações. Avaliação de conformidade, testes técnicos e geração de SBOM são custos separados e não incluídos nas taxas básicas de representante.

Custos Ocultos e Exclusões

Embora o mandato do Artigo 18 seja uma necessidade legal, ele representa apenas uma pequena parte dos custos totais de conformidade CRA. Os elementos mais caros — avaliação de conformidade, taxas de organismo notificado, documentação técnica e período de suporte — não estão incluídos na maioria dos pacotes de representantes. Veja o que observar:

• Taxas de Avaliação de Conformidade: Para produtos importantes classe II ou críticos, custos de organismo notificado ou esquema de certificação podem chegar a milhares de euros e levar meses para concluir. Orce separadamente.
• Documentação Técnica: Provedores como Reglyze e EmberKat oferecem geração de arquivo técnico, ingestão de SBOM e análise de lacunas, mas não fazem parte dos mandatos padrão.
• Taxas de Renovação e Por Solicitação: Alguns provedores podem cobrar renovações mais altas ou taxas por solicitação/relatório. Sempre solicite confirmação escrita de preços de renovação e cobranças extras antes de assinar.
• Períodos de Aviso e Limites de Responsabilidade: Renovações silenciosas e políticas de cancelamento pouco claras podem gerar despesas inesperadas. Responsabilidade por falhas de conformidade geralmente é excluída ou limitada pelo representante.
• Custos do Período de Suporte: A lei exige pelo menos cinco anos de atualizações de segurança e tratamento de vulnerabilidades, que devem ser orçados e alocados como uma linha de produto.

REP27 é transparente sobre o que não está incluído: consultoria jurídica, avaliação técnica e geração de SBOM ficam fora do mandato. Sempre esclareça exclusões e custos ocultos com qualquer provedor.

Como Funciona a Nomeação: Passo a Passo

Nomear um representante do Artigo 18 e alcançar conformidade CRA envolve várias etapas concretas. Aqui está um processo prático e acionável para fabricantes fora da UE:

1. Determine se Seus Produtos Estão no Escopo: Identifique todos os produtos com elementos digitais (hardware, software, componentes ou soluções remotas de processamento de dados) colocados no mercado da UE.
2. Classifique Seus Produtos: Use as definições do CRA para determinar se seus produtos são padrão, importantes classe I/II ou críticos. Isso afeta a rota de avaliação de conformidade.
3. Escolha um Representante: Selecione um representante do Artigo 18 com entidade legal verificável na UE. Confirme escopo, preços e termos de renovação por escrito.
4. Assine o Mandato: Execute um mandato escrito (Artigo 18(3)) com o provedor escolhido. Obtenha certificado e método público de verificação.
5. Prepare a Documentação: Monte documentação técnica (Anexo VII), SBOM, Declaração de Conformidade da UE e instruções ao usuário nos idiomas exigidos.
6. Configure Canal de Reporte 24 Horas: Garanta canal de atendimento para vulnerabilidades e incidentes. Prepare modelos pré-escritos para alerta inicial e notificação.
7. Registre-se na ENISA: Cadastre os responsáveis na plataforma de reporte da ENISA. Atribua pelo menos duas pessoas com acesso em fusos horários diferentes.
8. Orce Conformidade Contínua: Planeje custos do período de suporte (mínimo cinco anos de atualizações), avaliação de conformidade (se exigida) e manutenção documental.
9. Revise e Atualize Regularmente: Agende revisões periódicas da postura de conformidade, documentação e processos de reporte.

Seguir este checklist garante que você esteja preparado para as exigências legais e práticas da conformidade CRA.

Riscos e Multas por Não Conformidade

O CRA introduz penalidades substanciais por não conformidade. Infrações aos requisitos essenciais de cibersegurança ou obrigações do fabricante podem resultar em multas de até €15 milhões ou 2,5% do faturamento mundial anual, o que for maior. Essas penalidades aplicam-se a fabricantes da UE e fora da UE que colocam produtos no mercado da UE.

• Falhas no Reporte: Perder o prazo de 24 horas para reporte de vulnerabilidades expõe você a ações de fiscalização. Micro e pequenas empresas, e mantenedores de código aberto, são isentos de multas por atraso, mas não da obrigação de reportar.
• Riscos em Compras e Acesso ao Mercado: Sem representante do Artigo 18, processos de compra podem travar e você pode ser excluído de vendas empresariais ou licitações públicas.
• Ações de Vigilância de Mercado: Autoridades podem agir contra fabricantes não conformes, incluindo retirada ou recall de produtos.
• Riscos para Distribuidores/Importadores: Se não nomear representante, importadores ou distribuidores da UE podem ser tratados como sua via de reporte por padrão, podendo perder controle das comunicações de conformidade.
• Lapsos Silenciosos: Falha em renovar mandatos ou manter documentação atualizada pode resultar em lapsos não percebidos, deixando você vulnerável a fiscalizações sem aviso.

Conformidade eficaz não é só evitar multas, mas garantir acesso contínuo ao mercado e manter confiança de clientes e parceiros.

O Que os Provedores Geralmente Não Dizem

Muitos provedores focam na necessidade legal do mandato do Artigo 18, mas podem não revelar o quadro completo. Veja o que costuma ser omitido:

• Escopo do Mandato: O mandato do Artigo 18 limita-se a encaminhar solicitações e atuar como ponto de contato. Não inclui consultoria jurídica, avaliação técnica ou geração de SBOM, salvo declaração explícita.
• Avaliação de Conformidade: Para produtos importantes classe II e críticos, custos de organismo notificado ou esquema de certificação são muito maiores que a taxa do representante e podem levar meses. Nunca incluídos em mandatos básicos.
• Período de Suporte: A exigência de pelo menos cinco anos de atualizações de segurança e tratamento de vulnerabilidades é um custo operacional significativo, não coberto por nenhum serviço de representante.
• Termos de Renovação e Aviso: Alguns provedores usam preços baixos no primeiro ano com renovações muito mais altas ou exigem longos prazos de aviso para cancelamento. Sempre obtenha termos de renovação por escrito.
• Responsabilidade: Representantes geralmente excluem responsabilidade por falhas de conformidade. O fabricante permanece responsável por todas as obrigações do CRA.

Transparência sobre o que não está incluído é tão importante quanto o que está. Sempre solicite lista completa de exclusões e esclareça o papel do provedor antes de assinar.

Cenários Realistas: Qual Rota se Aplica?

• Empresa SaaS dos EUA: Um provedor SaaS dos EUA vende software diretamente para clientes da UE. A empresa deve nomear representante do Artigo 18, preparar documentação técnica e SBOM, e configurar canal de reporte 24 horas. Se o produto for classe padrão, autoavaliação pode bastar; se importante ou crítico, organismo notificado é necessário. A rota mais simples é nomear representante (ex.: REP27), preparar documentação e registrar na ENISA.
• Vendedor Chinês na Amazon: Um fabricante na China vende dispositivos IoT sob seu próprio nome na Amazon para compradores da UE. O vendedor deve nomear representante do Artigo 18 e cumprir todas as exigências do CRA. Se o produto for colocado no mercado por importador baseado na UE, este pode assumir as obrigações. Caso contrário, o fabricante original deve cuidar do reporte e documentação.
• Loja Online do Reino Unido: Um varejista do Reino Unido envia dispositivos conectados para clientes da UE. O varejista deve nomear representante do Artigo 18, preparar arquivos técnicos e garantir processo de reporte de vulnerabilidades 24 horas. Se vender via distribuidor da UE que coloca o produto sob seu próprio nome, o distribuidor assume as obrigações; caso contrário, o varejista do Reino Unido permanece responsável.

Para todos os cenários, o essencial é mapear canais de venda, determinar quem coloca o produto no mercado e nomear representante se necessário. Isso evita atrasos em compras, garante conformidade e evita multas.

Checklist: Como Ficar em Conformidade Hoje

1. Mapeie seus canais de venda na UE e identifique todos os produtos com elementos digitais.
2. Classifique cada produto (padrão, importante I/II, crítico) conforme definições do CRA.
3. Determine se precisa de representante do Artigo 18 (exigido para fabricantes fora da UE).
4. Solicite mandato escrito e certificado do provedor escolhido (ex.: REP27, kadano, Euverify).
5. Prepare documentação técnica: arquivo Anexo VII, SBOM, Declaração de Conformidade da UE, instruções ao usuário nos idiomas da UE.
6. Configure canal de reporte de vulnerabilidades com equipe 24 horas. Prepare modelos pré-escritos para alerta inicial e notificação.
7. Cadastre pelo menos dois responsáveis na plataforma de reporte da ENISA (em fusos horários diferentes, se possível).
8. Orce organismo notificado ou esquema de certificação se seu produto for importante classe II ou crítico.
9. Declare e aloque recursos para período de suporte de pelo menos cinco anos para atualizações de segurança e tratamento de vulnerabilidades.
10. Agende revisões regulares de conformidade e atualizações documentais.

Seguir esses passos garante preparação para os prazos de aplicação do CRA em 2026-2027 e evita lacunas de conformidade custosas.