Terminais de pagamento, hardware de POS e quiosques

• Directive 2014/53/EU — Radio Equipment
• Directive 2014/35/EU — Low Voltage
• Regulation (EU) 2024/2847 — Cyber Resilience Act
• Regulation (EU) 2016/679 — GDPR
• Directive (EU) 2015/2366 — PSD2 for the payment service itself

Quem tem de designar

Fabricantes fora da União que colocam terminais de pagamento, quiosques de autoatendimento ou leitores de cartões no mercado da UE. As obrigações de hardware recaem sobre o fabricante; as obrigações de serviço de pagamento recaem sobre a instituição de pagamento, que é uma entidade regulada separada, e os vendedores frequentemente confundem as duas.

Limiares e isenções

Nenhum para o hardware. A autorização PSD2 se aplica ao prestador de serviços de pagamento em vez do fabricante do terminal, a menos que o vendedor também manipule fundos ou acesso a contas.

O que deve constar do rótulo

Marcação CE, detalhes do fabricante e do representante da UE, modelo e número de série, parâmetros de rádio onde sem fio, e a partir de dezembro de 2027 o período de suporte do CRA e ponto de contato de vulnerabilidade.

Campos nos marketplaces

Adquirentes e esquemas de pagamento impõem a aprovação PCI PIN Transaction Security como uma pré-condição comercial, que é um requisito do esquema em vez de uma lei da UE, mas é decisivo na prática: um terminal não aprovado não pode ser implantado independentemente da marcação CE.

Documentação a conservar

Declaração de conformidade da UE, arquivo técnico, relatórios de testes de rádio e segurança, documentação de cibersegurança sob a EN 18031 e, a partir de 2026, o processo de manuseio de vulnerabilidades do CRA e SBOM. Onde o vendedor opera uma nuvem de gerenciamento, o registro do Artigo 30, a designação do Artigo 27 e o mecanismo de transferência.

Normas e ensaios

EN IEC 62368-1 para segurança, os padrões de rádio aplicáveis, EN 55032 e EN 55035 para EMC, EN 18031 para os requisitos de cibersegurança do RED, e separadamente a avaliação PCI PTS para o dispositivo de entrada de PIN.

Requisitos linguísticos

Instruções e documentação voltada para o comerciante na língua de cada estado membro de implantação.

A partir de quando

Documentação de hardware antes da colocação no mercado. Relato de vulnerabilidades do CRA a partir de 11 de setembro de 2026 e o regime completo a partir de 11 de dezembro de 2027, o que para terminais com longos ciclos de implantação significa que o período de suporte deve ser planejado agora.

Prazo de conservação

Dez anos para documentação técnica, ou o período de suporte do CRA se for mais longo, o que para hardware de pagamento é tipicamente o ciclo de vida completo de implantação.

Em caso de incumprimento

Retirada e recusa aduaneira para o hardware. Sob o CRA, até €15 milhões ou 2,5% do faturamento. Separadamente, uma vulnerabilidade em terminais implantados é um evento reputacional e contratual com adquirentes que geralmente excede o custo regulatório.

Quem fiscaliza

Autoridades de vigilância do mercado e reguladores de rádio, CSIRTs para relato do CRA, autoridades de proteção de dados onde dados pessoais são processados, e autoridades competentes nacionais para o lado do serviço de pagamento.

Onde está a fronteira

Ser marcado com CE e aprovado pelo PCI não torna o vendedor uma instituição de pagamento, e, inversamente, ter uma licença PSD2 não isenta o hardware da conformidade do produto. Ciclos de implantação longos tornam o período de suporte do CRA o compromisso mais difícil nesta categoria, porque os terminais permanecem em campo por uma década.

Perguntas frequentes

A aprovação PCI é um requisito legal na UE?

Não, é um requisito do esquema imposto pelas redes de cartões e adquirentes. É comercialmente decisivo, mas não substitui a marcação CE ou as obrigações do CRA.

Quem relata uma vulnerabilidade em terminais implantados?

O fabricante, sob o Artigo 14 do CRA a partir de setembro de 2026, dentro de 24 horas após tomar conhecimento de que está sendo explorada.