Compreendendo a Lei de Resiliência Cibernética (CRA)

O que a CRA visa alcançar

Conforme destacado em nosso artigo, “A CRA como a Pedra Angular do Ecossistema de Cibersegurança da UE", a Lei de Resiliência Cibernética visa principalmente assegurar a soberania digital da Europa e aumentar a ciber-resiliência das empresas europeias. A regulamentação estabelece um quadro abrangente para garantir que produtos com elementos digitais atendam aos requisitos de segurança essenciais ao longo de seu ciclo de vida. A CRA persegue dois objetivos fundamentais. Primeiro, trabalha para aprimorar a cibersegurança de produtos com elementos digitais estabelecendo requisitos horizontais para hardware e software vendidos no mercado da UE. Segundo, cria condições que permitem aos usuários fazer escolhas informadas mediante a obrigatoriedade de informações transparentes sobre os recursos de segurança. Além disso, a CRA promove a responsabilidade ao responsabilizar os fabricantes por identificar e corrigir riscos de segurança. Essa abordagem reforça a confiança do consumidor e aumenta os incentivos de mercado para o desenvolvimento seguro de produtos.

Que Produtos Abaixo de CRA?

A regulamentação se aplica a uma categoria ampla conhecida como "produtos com elementos digitais." Isso é definido como qualquer produto de software ou hardware (e suas soluções de processamento de dados remotos) que se conecta direta ou indiretamente a um dispositivo ou rede. Para facilitar a compreensão, a CRA abrange uma ampla variedade de itens que usamos diariamente:

• Dispositivos consumidores: Produtos residenciais inteligentes, brinquedos conectados, wearables e dispositivos IoT.

• Equipamento de rede: Roteadores, modems, interruptores e VPNs.

• produtos de segurança: Gestores de senhas, ferramentas de remoção de malware e firewalls.

• componentes computacionais: Microprocessadores, microcontroladores e sistemas operacionais.

Como explicado em nosso artigo, “Além de 2025: Por que RED é o Diagrama para a CRA Success”, uma parte significativa destes produtos, especialmente os dispositivos sem fios, já está sujeita a regulamentos rigorosos em matéria de cibersegurança através da Directiva relativa aos Equipamentos de Rádio (RED). Uma vez que os requisitos de RED e CRA estão estrategicamente alinhados, preparar o prazo de 2025 para a RD-DA não é apenas uma tarefa de transição, mas também uma pedra angular do cumprimento da LFC.

O CRA não aplica uma abordagem de "tamanho único". Em vez disso, categoriza os produtos ao nível de risco para garantir que as obrigações de segurança são proporcionais ao impacto potencial de uma vulnerabilidade. A regulamentação especificamente identifica "importante" e "crítico" produtos, que estão sujeitos a obrigações muito mais rigorosas do que os programas informáticos de consumo normalizados. Estas categorias estão formalmente definidas nos anexos técnicos do regulamento:

1. Produtos Padrão (Incrítico): Isso inclui a grande maioria dos produtos digitais (cerca de 90%), que estão sujeitos a requisitos de segurança normalizados e dependem frequentemente da auto-avaliação do fabricante.

2. Produtos Importantes (Anexo III): Dividir em Classe I e Classe II, , estes incluem produtos que realizam funções vitais de segurança, como navegadores, gerenciadores de senhas e interfaces de rede.

3. Produtos Críticos (Anexo IV): Esta categoria é reservada para componentes de alto risco, como módulos de segurança de hardware (HSMs) e smartcards, exigindo o mais alto nível de escrutínio.

Por referência Anexo III e Anexo IV, Os fabricantes podem identificar exatamente qual é a posição do produto e determinar se devem ser submetidos a uma avaliação obrigatória de terceiros.

Dica de Pro: à medida que a paisagem digital evolui, a Comissão Europeia tem poderes para actualizar as listas da Anexo III e do Anexo IV. Os fabricantes devem rever regularmente estes anexos e acompanhar as obrigações de comunicação que se avizinham a partir da data 11 de Setembro de 2026 para garantir que a classificação do seu produto permaneça em conformidade com a adopção de novos actos delegados.

Quem precisa estar em conformidade: fabricantes, importadores, distribuidores

A CRA impõe obrigações de conformidade a todos os operadores econômicos in a cadeia de abastecimento de produtos digitais:

• Fabricantes têm as responsabilidades mais pesadas, incluindo a realização de avaliações de riscos cibernéticos, implementação dos requisitos de segurança essenciais, preparação de documentação técnica, afixação da marcação CE e manutenção dos produtos durante o período de suporte.

• Os importadores devem verificar a conformidade dos fabricantes com os requisitos da CRA antes de colocar produtos no mercado da UE. Isto inclui verificar se as avaliações de conformidade adequadas foram concluídas e se está disponível documentação técnica.

• Distribuidores devem atuar com devida diligência, verificando a marcação CE e a documentação adequada. Ao tomar conhecimento de vulnerabilidades, devem imediatamente informar os fabricantes e, se necessário, as autoridades de vigilância de mercado.

O objetivo é estabelecer um quadro abrangente e unificado que eleve os padrões de cibersegurança. Fonte: Canva

O que é o EUCC e por que é importante

A Certificação de Cibersegurança da União Europeia, elaborada pela ENISA (Agência da União Europeia para a Cibersegurança), é um avanço monumental na certificação de produtos de Tecnologia da Informação e Comunicação (TIC) na paisagem europeia e no nível da UE.

Concebido sob o Ato de Cibersegurança da UE, promulgado em 2019, este esquema inovador é projetado para revolucionar o processo de certificação de cibersegurança para um amplo espectro de produtos TIC, cobrindo hardware, software e serviços. O objetivo abrangente é estabelecer um quadro abrangente e unificado que eleve os padrões de cibersegurança, crie um ambiente digital mais seguro para os consumidores e promova comércio mais suave em toda a União Europeia.

Para uma visão mais detalhada do framework EUCC, consulte o nosso post "EUCC: Um Novo Esquema de Segurança Virtual para a Avaliação e Certificação de Produtos na Europa.

Principais Diferenças e sobreposições entre CRA e EUCC

A CRA opera como uma regulamentação horizontal aplicada a todos os produtos com elementos digitais no mercado da UE, enquanto a EUCC funciona como um sistema de certificação voluntária com base em critérios comuns. Além disso, a CRA categoriza os produtos para as classificações "importantes" e "críticas" sujeitas a obrigações mais rigorosas, ainda assim a EUCC aplica os seus próprios níveis "substancial" e "alto" de garantia de certificação de segurança.

Ambos os frameworks endereço gerenciamento de vulnerabilidade, implantação de correções e avaliações de segurança. Essencialmente, muitos requisitos funcionais de segurança da EUCC estão naturalmente alinhados com os requisitos essenciais de cibersegurança da ANC, criando uma base para a compatibilidade entre os dois sistemas.

Apesar dos objetivos sobrepostos, o CRA é legalmente vinculado com potenciais sanções, enquanto EUCC permanece voluntário. O CRA obriga os processos de avaliação da conformidade que variam com base na crítica do produto, embora a certificação EUCC ofereça um caminho para demonstrar esta conformidade.

A certificação EUCC estabelece uma "presunção de conformidade" com requisitos de CRA. Como resultado, ENISA lançou projectos-piloto para testar essa entrelaçamento, visando a:

• Validar mapeamentos técnicos entre os requisitos de segurança essenciais da CRA e as funções de segurança da EUCC

• Identificar lacunas que requerem métodos de conformidade adicionais

• Desenvolver recomendações para fabricantes que buscam conformidade de CRA através da certificação EUCC

Pathways de conformidade e considerações estratégicas

Para os fabricantes enfrentando a implementação de CRA, existem múltiplas vias de conformidade para demonstrar a conformidade do produto.

Usando o EUCC para demonstrar a conformidade da CRA

Os fabricantes de produtos críticos podem aproveitar a certificação EUCC no nível substancial para demonstrar conformidade com a CRA. Os requisitos funcionais de segurança (SFRs) e requisitos de garantia de segurança (SARs) do esquema EUCC se alinham com muitos requisitos da CRA, criando um valioso caminho de conformidade. Através da equivalência estabelecida entre os quadros, a certificação EUCC pode fornecer presunção de conformidade com os requisitos essenciais da CRA.

caminhos alternativos: padrões e avaliações harmonizadas

Produtos que cumprem com padrões harmonizados beneficiam automaticamente da presunção de conformidade com requisitos essenciais da CRA. A Comissão Europeia adoptou o pedido de normalização M/606, que engloba as normas 41 que sustentam a implementação da ANC. Este alinhamento sistemático ilustra ainda o motivo pelo qual consideramos RED como o plano para o sucesso da CRA; as bases técnicas e os esforços de normalização que actualmente garantem os dispositivos sem fios estão a abrir directamente caminho a estas normas mais amplas da ANC. Estes incluem ambos os padrões horizontais (fornecer quadros comuns) e padrões verticais (oferecer orientações específicas para produto).

Escolher o caminho de conformidade adequado é fundamental para o acesso ao mercado. Para uma visão abrangente dos procedimentos de conformidade e documentação técnica exigidos sob a CRA, consulte nossa Infografia da Lei de Resiliência Cibernética da UE.

Linha temporal para CRA de conformidade e comunicação de obrigações

Os prazos principais incluem:

• 11 de Setembro de 2026: As obrigações de relatórios para vulnerabilidades exploradas ativamente e incidentes graves entram em vigor

• 11 de Dezembro de 2026: os Estados-Membros devem garantir organismos notificados suficientes para a avaliação de conformidade

• 11 de dezembro de 2027: Aplicação completa dos requisitos de CRA

Conclusão

À medida que as normas europeias de cibersegurança continuam a evoluir, as organizações enfrentam agora prazos críticos para a conformidade com a ANC. Setembro de 2026 marca o início de relatórios obrigatórios sobre vulnerabilidade, seguido de implementação completa em 2027. As empresas que se preparam hoje, em vez de esperarem até ao último minuto, ganharão vantagens competitivas significativas reforçando a sua posição geral em matéria de segurança.

A relação entre CRA e EUCC cria tanto desafios quanto oportunidades para os fabricantes. Embora estes quadros difiram sobre o âmbito e a aplicação, a CRA é obrigatória enquanto a EUCC se mantém voluntária, eles partilham objectivos fundamentais de cibersegurança. Portanto, organizações podem usar estrategicamente a certificação EUCC como um caminho viável para demonstrar a conformidade da CRA, particularmente para produtos críticos que requerem avaliação por terceiros.

Independentemente do caminho de conformidade que as organizações escolham, certas ações merecem atenção imediata. Primeiro, os fabricantes devem categorizar seus produtos de acordo com as classificações de risco da CRA. Subsequentemente, eles devem desenvolver processos robustos de gestão de vulnerabilidades para atender aos requisitos de notificação de 24 horas para vulnerabilidades exploradas ativamente. Além disso, examinar os padrões harmonizados aplicáveis fornecerá uma direção mais clara para as estratégias de implementação.

A convergência desses quadros regulatórios serve em última análise para maior propósito, criando um ecossistema digital mais seguro em toda a Europa. Ao estabelecer requisitos coerentes de cibersegurança e percursos de certificação, tanto o CRA como a EUCC trabalham em conjunto para proteger os consumidores. fortalecer a confiança do mercado e aumentar a base de segurança para todos os produtos com elementos digitais. As empresas que acederem a estes requisitos encontrarão, sem dúvida, melhor posicionadas para o sucesso no mercado digital cada vez mais regulamentado do amanhã.

Como QIMA CCLab suporta conformidade CRA

Como um laboratório de cibersegurança credenciado com vasta experiência na avaliação de produtos digitais e padrões de segurança, a QIMA CCLab oferece suporte abrangente aos fabricantes que se preparam para a conformidade com a CRA.

Nossos serviços incluem:

• Análise de Gap de CRA — avaliando o estado atual da segurança virtual dos produtos em comparação com os padrões de CRA.

• Suporte à Avaliação de Conformidade – guia os fabricantes através do Módulo A documentação, controles internos e processos de ciclo de vida.

• Teste e Consulta com base na hEN Desenvolvimento – alinhar práticas de segurança com os padrões emergentes do CEN/CENELEC/ETSI.

• Avaliação do ciclo de vida e da gestão de vulnerabilidades – avaliação de processos de correção, fluxos de trabalho de resposta a incidentes e mecanismos de atualização seguros.

• Treinamento e Construção de Capacidade - ajudando as equipes a entender os requisitos de CRA e integrá-los a fluxos de trabalho seguros em design e desenvolvimento.

QIMA CCLab atua não apenas como um laboratório de testes, mas também como um parceiro estratégico, apoiar empresas desde estágios de design inicial por meio de avaliação final, permitindo que criem produtos seguros, compatíveis e resistentes.

UPronto para iniciar a sua jornada de conformidade? Explore a nossa gama completa deServiços de Conformidade com CRA ou contate nossos especialistas hoje para uma consulta personalizada.

FAQ

O que é o EUCC?

A EUCC é o Sistema de Certificação de Segurança Virtual da União Europeia baseado em critérios comuns. Desenvolvido ao abrigo da Lei de Segurança Virtual da UE, fornece um quadro de certificação à escala da UE baseado em CC. Uma vez plenamente operacional, o EUCC harmonizará e substituirá certas disposições nacionais no seio da UE. oferecer um caminho de reconhecimento padronizado para avaliações baseadas na CAC em todos os Estados-Membros da UE.

O que é o “Módulo A” e como ele se relaciona com a CRA?

O "Módulo A" refere-se ao procedimento de avaliação de conformidade do Controle de Produção Interna. Ao abrigo do SIR, permite aos fabricantes auto-declararem a conformidade se aplicarem plenamente as normas harmonizadas pertinentes. Os fabricantes que usam o Módulo A devem implementar processos internos para que seus produtos atendam a todos os requisitos essenciais de cibersegurança, Depois, emita uma Declaração de Conformidade da UE, assumindo plena responsabilidade jurídica.

Todos os produtos podem alcançar a Presunção de Conformidade (PoC) completa sob o Módulo A?

Não. Sob o CRA, apenas a classe I produtos listados no Anexo III (“produtos importantes com elementos digitais”) pode alcançar o CPP completo aplicando normas harmonizadas. Para outras classes de produtos, será possível apenas um CPP parcial.

Nota importante: Nenhum padrão harmonizado foi publicado ainda sob a CRA. Portanto, a Presunção de Conformidade completa é atualmente impossível, e os fabricantes devem recorrer a métodos de avaliação alternativos até que os padrões estejam finalizados.