Dispositivos conectados e software com elementos digitais

• Regulation (EU) 2024/2847 — Cyber Resilience Act
• Regulation (EU) 2019/1020 — market surveillance
• Directive 2014/53/EU — Radio Equipment, for radio products

Quem tem de designar

Fabricantes estabelecidos fora da União que colocam produtos com elementos digitais no mercado da UE. 'Produtos com elementos digitais' abrange hardware cujo propósito pretendido inclui uma conexão de dados — câmeras, roteadores, eletrodomésticos inteligentes, sensores industriais, dispositivos vestíveis — e software fornecido separadamente, seja vendido, licenciado ou monetizado indiretamente. Importadores e distribuidores têm seus próprios deveres e assumem a posição do fabricante se comercializarem o produto sob seu próprio nome. Quando o fabricante está fora da União e não tem um importador estabelecido lá, o representante autorizado é a entidade a quem as autoridades se dirigem.

Limiares e isenções

Nenhum limite de faturamento ou tamanho se aplica às obrigações substantivas. Software livre e de código aberto desenvolvido ou fornecido fora do curso de uma atividade comercial está fora do escopo, e os administradores de código aberto têm um regime mais leve. Microempresas e pequenas empresas recebem alívio processual em alguns documentos, não uma isenção. Produtos já cobertos por regras setoriais equivalentes de cibersegurança — dispositivos médicos, veículos motorizados, aviação civil, equipamentos marítimos — estão excluídos para evitar duplicação.

O que deve constar do rótulo

O nome do fabricante, nome comercial registrado ou marca registrada e endereço postal, e o mesmo para o representante autorizado, no produto, sua embalagem ou um documento acompanhante. Um ponto de contato único para relatar vulnerabilidades, que deve ser fácil de encontrar e legível por máquina, quando viável. A marcação CE uma vez que as obrigações de conformidade se aplicam a partir de dezembro de 2027. Informações para o usuário sobre o período de suporte durante o qual as atualizações de segurança serão fornecidas, sobre como as atualizações são entregues e sobre o propósito pretendido e riscos conhecidos.

Campos nos marketplaces

Ainda não existe um campo de mercado dedicado, mas os campos de conformidade já utilizados para produtos com marca CE carregarão esses detalhes, e a aquisição empresarial na União agora pergunta rotineiramente quem é o representante CRA e qual é o período de suporte declarado. Espere que os marketplaces adicionem um campo de período de suporte à medida que dezembro de 2027 se aproxima, da mesma forma que adicionaram o campo de responsável pelo GPSR em 2024.

Documentação a conservar

Documentação técnica cobrindo os processos de design, desenvolvimento e tratamento de vulnerabilidades. Uma avaliação de risco de cibersegurança, atualizada durante o período de suporte, que determina quais dos requisitos essenciais do Anexo I se aplicam e como. Uma lista de materiais de software em um formato legível por máquina comumente utilizado, cobrindo no mínimo as dependências de nível superior. Uma política de divulgação coordenada de vulnerabilidades, disponível publicamente. Registros de vulnerabilidades e suas remediações. A declaração de conformidade da UE. Onde o produto se enquadra em uma classe importante ou crítica sob o Anexo III ou IV, o certificado do organismo notificado ou a certificação do esquema relevante.

Normas e ensaios

As rotas de avaliação de conformidade dependem da classe. Produtos padrão podem usar controle interno contra os requisitos essenciais. Produtos importantes na classe I podem se autoavaliar se normas harmonizadas forem aplicadas integralmente, caso contrário, um terceiro é necessário. A classe II sempre requer um terceiro. Produtos críticos podem exigir certificação de cibersegurança europeia. Normas harmonizadas sob o CRA ainda estão sendo desenvolvidas, o que significa que a autoavaliação atualmente se baseia em raciocínio documentado contra o Anexo I, em vez de um número de norma.

Requisitos linguísticos

Instruções e informações para o usuário, incluindo o período de suporte e o ponto de contato para vulnerabilidades, em uma língua facilmente compreensível pelos usuários em cada estado membro onde o produto é colocado no mercado, conforme determinado por esse estado.

A partir de quando

Três datas são importantes. A partir de 11 de setembro de 2026, as obrigações de relato no Artigo 14 se aplicam: vulnerabilidades exploradas ativamente e incidentes graves devem ser relatados através da plataforma única de relato. A partir de 11 de dezembro de 2027, as obrigações restantes se aplicam integralmente, incluindo marcação CE, avaliação de conformidade e os requisitos essenciais. Produtos colocados no mercado antes dessa data geralmente não são abrangidos retroativamente, a menos que sejam substancialmente modificados posteriormente, mas os deveres de relato se aplicam mais cedo.

Prazo de conservação

Documentação técnica e a declaração de conformidade da UE por pelo menos dez anos após o produto ter sido colocado no mercado, ou pelo período de suporte, o que for mais longo. O período de suporte deve ser de pelo menos cinco anos, a menos que o uso esperado seja mais curto, e o raciocínio para um período mais curto deve ser documentado.

Em caso de incumprimento

Até €15 milhões ou 2,5% do faturamento anual total mundial, o que for maior, por violações dos requisitos essenciais ou das obrigações principais do fabricante. Até €10 milhões ou 2% para a maioria das outras obrigações, e até €5 milhões ou 1% por fornecer informações incorretas ou enganosas a um organismo notificado ou autoridade. Além das multas, as autoridades podem ordenar a retirada do mercado, proibir ou restringir a disponibilização do produto e exigir recalls.

Quem fiscaliza

Autoridades nacionais de vigilância do mercado designadas para o CRA, ENISA, e os CSIRTs designados como coordenadores para as obrigações de relato. A Comissão tem poderes de execução para produtos que apresentam um risco significativo de cibersegurança em vários estados membros.

Onde está a fronteira

A maior parte do software empresarial é abrangida, mas há limites que vale a pena conhecer. Um produto vendido apenas fora da União está fora do escopo; tornar o mesmo software disponível para download para usuários da UE não está. SaaS geralmente está fora do CRA, a menos que seja uma solução de processamento de dados remoto integral às funções de um produto, caso em que é avaliado como parte desse produto. Dispositivos médicos, veículos e aviação seguem seus próprios regimes de cibersegurança. E o CRA se sobrepõe ao NIS2 em vez de substituí-lo: o NIS2 trata de incidentes que afetam seu serviço como entidade, o CRA trata de vulnerabilidades no produto que você coloca no mercado.

Perguntas frequentes

Somos uma pequena empresa de software — isso realmente se aplica a nós?

Sim, se o software for fornecido comercialmente a usuários na União. Não há isenção para PME, apenas alguma simplificação processual. O que muda com o tamanho é a profundidade da documentação esperada, não se as obrigações existem.

Nossa plataforma SaaS está no escopo?

Geralmente não sozinha. Ela entra no escopo onde é uma solução de processamento de dados remoto cuja ausência impediria um produto com elementos digitais de desempenhar suas funções, caso em que é avaliada como parte desse produto.

Precisamos da marcação CE agora?

Ainda não. A marcação CE e a avaliação de conformidade se aplicam a partir de 11 de dezembro de 2027. Os deveres de relato sob o Artigo 14 se aplicam a partir de 11 de setembro de 2026, que é o prazo mais próximo e aquele para o qual a maioria dos fabricantes não está preparada.

O que conta como o período de suporte?

O período durante o qual você fornece atualizações de segurança, que deve refletir quanto tempo os usuários podem razoavelmente esperar usar o produto e ser de pelo menos cinco anos, a menos que um período mais curto seja justificado e documentado. Deve ser declarado aos usuários antes da compra.