O crescimento acelerado da digitalização trouxe enormes oportunidades para empresas e consumidores, mas também novos desafios de cibersegurança. Neste contexto, tornou-se essencial garantir que os produtos digitais que desenvolvemos, importamos, distribuímos ou utilizamos cumprem todos os requisitos de segurança.
É neste contexto que surge o CRA. Embora tenha entrado em vigor em 10 de dezembro de 2024, o regulamento começará a produzir efeitos de forma faseada ao longo de 2026, impondo novas obrigações a fabricantes, importadores e distribuidores. As organizações abrangidas terão de demonstrar que os seus produtos cumprem requisitos específicos de segurança, gestão de vulnerabilidades e fornecimento de atualizações.
A crescente complexidade regulamentar no setor da cibersegurança, impulsionada por regulamentos como DORA e NIS2, leva as organizações a focarem-se na proteção e no aumento da resiliência operacional, através da robustez dos seus processos, pessoas e tecnologias. O CRA introduz uma vertente regulatória diferenciada: centra-se na segurança dos produtos digitais oferecidos pelas organizações no mercado. Para muitas empresas, isto representará uma mudança significativa na forma como a cibersegurança é integrada nos processos de desenvolvimento, distribuição e manutenção de produtos.
Principais obrigações introduzidas pelo CRA?
O CRA estabelece requisitos obrigatórios de cibersegurança para produtos com elementos digitais comercializados e distribuídos dentro da UE.
Entre as principais novidades do regulamento destacam-se:
- requisitos de segurança desde a conceção e desenvolvimento dos produtos;
- gestão contínua de vulnerabilidades ao longo do ciclo de vida;
- novas responsabilidades para fabricantes, importadores e distribuidores;
- obrigações de notificação de vulnerabilidades e incidentes de segurança.
Os produtos abrangidos pelo regulamento correspondem a elementos digitais capazes de comunicar, direta ou indiretamente, com outros dispositivos ou redes. Entre os produtos abrangidos encontram-se dispositivos, IoT, produtos como microprocessadores ou software antivírus, produtos como firewalls e infraestruturas críticas como gateways de contadores ou cartões.
O nível de obrigações aplicável depende da classificação atribuída a cada produto. Para esse efeito, o regulamento distingue diferentes categorias: standard, importantes Classe I, importantes Classe II e críticos, sujeitas a requisitos de conformidade proporcionais ao respetivo nível de risco.
Os três pilares do Cyber Resilience Act
Segurança dos produtos digitais ao longo de todo o seu ciclo de vida
Os produtos digitais devem ser concebidos, desenvolvidos, comercializados e mantidos com requisitos de cibersegurança adequados, incluindo a gestão contínua de vulnerabilidades e a disponibilização de atualizações de segurança sempre que necessário.
Proteção de consumidores e organizações contra riscos de cibersegurança
O regulamento procura reduzir a exposição a ciberataques, falhas de segurança e exploração de vulnerabilidades, aumentando a proteção dos utilizadores e a resiliência das organizações que dependem de produtos e serviços digitais.
Reforço da confiança no mercado digital europeu
Ao estabelecer requisitos harmonizados de cibersegurança para produtos digitais, o CRA promove a transparência, a responsabilização dos operadores económicos e a confiança dos clientes, tornando a segurança um requisito essencial para a comercialização de produtos na União Europeia.
Quem está abrangido pelo Cyber Resilience Act?
O CRA aplica-se a fabricantes, importadores e distribuidores de produtos digitais comercializados na União Europeia. Em determinadas circunstâncias, pode também abranger entidades responsáveis pela disponibilização comercial de software de código aberto.
Qual o impacto para as empresas?
O incumprimento dos requisitos do CRA pode impedir a comercialização de produtos no mercado europeu e originar coimas até 15 milhões de euros ou 2,5% do volume de negócios anual global (o valor mais elevado).
A conformidade implica investimento em competências, processos e monitorização de vulnerabilidades. Para a maioria dos produtos abrangidos será também necessária a Marcação CE, que comprova o cumprimento dos requisitos de cibersegurança, documentação técnica e gestão de vulnerabilidades.
Apesar do esforço exigido, o CRA representa também uma oportunidade. As organizações que se adaptarem mais rapidamente poderão reforçar a confiança dos clientes e diferenciar-se no mercado europeu.
Ainda há tempo para preparar a conformidade?
Sim, mas o relógio está a contar. Embora o CRA tenha entrado em vigor em 10 de dezembro de 2024, a aplicação das suas obrigações ocorre de forma faseada.
11 de setembro de 2026: começam a aplicar-se os requisitos de notificação de incidentes graves e vulnerabilidades;
11 de dezembro de 2027: passa a ser obrigatória a conformidade integral com o regulamento.
Isto significa que as organizações dispõem ainda de algum tempo para se preparar, mas deverão iniciar desde já os trabalhos de avaliação, adaptação e implementação dos requisitos aplicáveis.
Embora o prazo final de conformidade seja dezembro de 2027, a preparação pode exigir alterações relevantes aos processos de desenvolvimento, gestão de vulnerabilidades, documentação técnica e governação da cibersegurança. Por essa razão, as organizações abrangidas devem começar a avaliar o seu nível de preparação o mais cedo possível.
Reforce a segurança digital da sua empresa com as soluções da PwC
Na PwC, atuamos com rapidez e eficácia para conter, investigar e recuperar.
Como preparar a conformidade com o CRA?
As empresas devem considerar quatro passos essenciais:
1. Identificar os produtos abrangidos pelo CRA
Determinar quais os produtos digitais que se enquadram no âmbito do regulamento.
2. Classificar os produtos de acordo com o nível de risco
Verificar se os produtos se enquadram nas categorias standard, importantes (Classe I ou II) ou críticas.
3. Avaliar os requisitos de conformidade
Identificar obrigações técnicas, documentais e de gestão de vulnerabilidades aplicáveis.
4. Garantir recursos e competências adequados
Preparar equipas, processos e mecanismos de monitorização necessários para responder aos requisitos regulamentares.
A resiliência não é uma opção. Mais do que uma obrigação regulatória, o CRA é uma oportunidade.
Para ajudar nestas ações, estão disponíveis para consulta novas orientações (não vinculativas e que não alteram a lei), disponibilizadas pela Comissão Europeia, com o objetivo de apoiar todos os incluídos no âmbito a aplicar corretamente o CRA. Este conteúdo foi aprovado a 26 de julho de 2026 e esclarece os principais tópicos que têm levantado dúvidas como o âmbito de aplicação e classificação dos produtos, períodos de tratamento de vulnerabilidades, processamento de dados e comunicação e notificação de incidentes.
O CRA não deve ser visto apenas como um mecanismo sancionatório. Representa uma mudança estrutural na forma como a União Europeia encara a segurança digital. As organizações que se prepararem atempadamente estarão mais bem posicionadas para crescer com confiança, transparência e resiliência.
As organizações que desenvolvem, fabricam, importam ou distribuem produtos digitais devem iniciar quanto antes a avaliação do impacto do CRA. Uma análise estruturada dos produtos abrangidos, dos requisitos aplicáveis e das lacunas de conformidade pode reduzir riscos regulatórios e facilitar a adaptação aos novos requisitos europeus de cibersegurança.
Já subscreveu a mailing list de Cibersegurança da PwC?
Aceda a conteúdos sobre tendências, boas práticas e soluções para a proteção do seu negócio contra ciberameaças.
Contacte-nos
