Compreendendo a Lei de Resiliência Cibernética (CRA)

O SIR aplica-se a uma categoria extremamente vasta de produtos, essencialmente a qualquer produto que inclua ou interaja com componentes digitais. Isto inclui dispositivos e software que:

• Contém componentes eletrônicos ou digitais,

• processo, transmita, ou armazene dados,

• depende da conectividade de rede para funcionar eficazmente,

• incorporar softwares embutidos ou autônomos.

Este âmbito abrange tudo, desde aparelhos inteligentes, roteadores, wearables, PLC industriais, software médico e veículos conectados às plataformas de segurança da empresa, firmwares e sistemas geridos pela nuvem. O CRA abrange tanto hardware como software, incluindo produtos distribuídos através de canais digitais.

Os quatro objetivos do CRA

O regulamento visa criar um ecossistema de segurança profundamente coordenado e transparente, cujos quatro objectivos gerais são:

1. Reduzir os riscos de cibersegurança em todo o ciclo de vida — Os fabricantes devem resolver o problema da segurança virtual a partir das decisões mais antigas do design por meio de uma implantação no mundo real e de uma manutenção a longo prazo.

2. Harmonizando os requisitos de cibersegurança em todo o mercado interno da UE – A CRA substitui iniciativas nacionais fragmentadas por um conjunto comum de requisitos de segurança.

3. Aumentando a confiança de consumidores e empresas – Um patamar mais alto e consistente de segurança permite que os usuários escolham produtos em conformidade com confiança.

4. Melhorando a transparência e responsabilidade – Fabricantes, importadores e distribuidores recebem obrigações legais claramente definidas, minimizando a ambiguidade.

O SIC não funciona isoladamente: complementa a Directiva NIS2, a Directiva EUCC (certificação de cibersegurança baseada em critérios comuns), a Directiva de Equipamento Radio (RED) e quadros sectoriais específicos como o Regulamento sobre Dispositivo Médico (MDR). Em conjunto, estas políticas constituem a espinha dorsal da abordagem integrada da cibersegurança da UE.

Elementos nucleares de conformidade: Módulo A e a presunção de conformidade

A avaliação de conformidade ao abrigo da ANC garante que os produtos cumprem os requisitos essenciais de cibersegurança listados no Anexo I. Estes incluem práticas de desenvolvimento seguras, manipulação de vulnerabilidades, configurações padrão seguras, proteção contra acesso não autorizado e robustez contra métodos de ataque conhecidos.

Módulo A – Controle de Produção Interna

O Módulo A é uma das rotas de avaliação de conformidade mais aplicáveis. Requer os fabricantes para:

• realizar validação interna de requisitos de cibersegurança,

• processos de desenvolvimento de documentos, controles de design e resultados de testes.

• manter a evidência de conformidade contínua em todo o ciclo de vida,

• demonstrar que as atividades pós-mercado (por exemplo, correção e resposta de vulnerabilidade) atendem às expectativas regulatórias.

Module A atribui total responsabilidade ao fabricante de implementar um rigoroso sistema de controle interno, suportado por documentação técnica precisa.

Presumição da Conformidade (Capa)

Um produto recebe a presunção de conformidade quando cumpre com padrões europeus harmonizados (hENs) listados no Jornal Oficial da União Europeia (OJEU). Estas normas estão actualmente a ser desenvolvidas pelo CEN, pelo CENELEC, e pelo ETSI através do mandato conjunto M/606.

Assim que esses padrões forem finalizados e adotados:

• Os fabricantes que os aplicam ganham PoC corretamente,

• As autoridades de fiscalização do mercado devem assumir que o produto satisfaz os requisitos essenciais, a menos que as provas sugiram o contrário,

• A avaliação de conformidade torna-se mais previsível e alinhada em toda a UE.

No entanto, porque os hENs ainda estão em desenvolvimento, a sua estrutura final, o nível de pormenor e a cobertura permanecem sujeitos a mudanças. Em áreas onde não cobrem totalmente os requisitos do Anexo I, os fabricantes devem realizar análises de risco adicionais, testes ou avaliação de terceiros.

Módulo A permite a validação de conformidade interna, enquanto o cumprimento dos próximos padrões harmonizados concede uma presunção de conformidade. Fonte: Freepik

Obrigações do fabricante sob o CRA

O SIR introduz algumas das obrigações de cibersegurança mais pormenorizadas e contínuas alguma vez exigidas pela legislação da UE. Os fabricantes deverão:

• Realizar avaliações de risco para cada tipo e versão de produto, incluindo modelagem de ameaças e análise de superfície de ataque.

• Implementar processos de desenvolvimento seguro, incluindo codificação segura, teste, revisão de código e endurecimento de configuração.

• Garantir gerenciamento de vulnerabilidades, incluindo processos de divulgação coordenada de vulnerabilidades (CVD), monitoramento e aplicação contínua de patches de segurança.

• Fornecer atualizações regulares de segurança e manter suporte durante todo o ciclo de vida do produto.

• Crie documentação técnica completa de acordo com o Anexo II.

• Emita uma Declaração de Conformidade da UE e aplique a marcação CE antes da colocação no mercado.

• Notificar autoridades sobre vulnerabilidades e incidentes de segurança explorados ativamente sem demora.

Os fabricantes devem também assegurar que os seus parceiros (importadores, desenvolvedores, integradores, distribuidores) cumpram as suas próprias obrigações de CR, o que cria uma cadeia de responsabilidade em todo o ecossistema.

Os laboratórios de segurança independentes e os organismos de avaliação de conformidade desempenham um papel essencial na verificação da maturidade dos processos de cibersegurança dos fabricantes, oferecendo testes estruturados e orientações especializadas.

Conclusão

A Cyber Resilience Act estabelece uma nova base de segurança virtual para todos os produtos digitais colocados no mercado da UE. Ela reformula a forma como os fabricantes desenham, desenvolvem e apoiam os seus produtos, fazendo da cibersegurança uma condição jurídica e não uma melhoria opcional.

Principais marcos futuros incluem:

• a finalização e publicação de normas harmonizadas,

• a criação de organismos notificados para as avaliações de CRA,

• alinhamento de processos do ciclo de vida e fluxos de trabalho de gestão de vulnerabilidades,

• preparação para a aplicabilidade completa a partir de 11 de dezembro de 2027.

Organizações que começam agora a adaptar-se melhorando o desenvolvimento seguro, a qualidade da documentação, e os processos de segurança do ciclo de vida não só alcançarão a conformidade, como também se posicionarão como líderes confiáveis na paisagem digital europeia em evolução.

Como QIMA CCLab suporta conformidade CRA

Como laboratório de cibersegurança creditado com uma ampla experiência na avaliação de produtos digitais e padrões de segurança, QIMA CCLab fornece suporte abrangente para os fabricantes que se preparam para a conformidade da CRA.

Nossos serviços incluem:

• Análise de Gap de CRA — avaliando o estado atual da segurança virtual dos produtos em comparação com os padrões de CRA.

• Suporte à Avaliação de Conformidade – guia os fabricantes através do Módulo A documentação, controles internos e processos de ciclo de vida.

• Teste e Consulta com base na hEN Desenvolvimento – alinhar práticas de segurança com os padrões emergentes do CEN/CENELEC/ETSI.

• Avaliação do ciclo de vida e da gestão de vulnerabilidades – avaliação de processos de correção, fluxos de trabalho de resposta a incidentes e mecanismos de atualização seguros.

• Treinamento e Construção de Capacidade - ajudando as equipes a entender os requisitos de CRA e integrá-los a fluxos de trabalho seguros em design e desenvolvimento.

O CCLab QIMA age não apenas como um laboratório de testes, mas também como um parceiro estratégico, apoiar empresas desde estágios de design inicial por meio de avaliação final, permitindo que criem produtos seguros, compatíveis e resistentes.

PERGUNTAS FREQUENTES

Quando é que o Cyber Resilience Act (CRA) se torna totalmente aplicável?

Embora o SIR tenha entrado formalmente em vigor em 10 de Dezembro de 2024, apenas entrará plenamente em vigor em 11 de Dezembro de 2027. Este período de transição de três anos permite aos fabricantes ajustarem os seus processos de desenvolvimento e de apoio. Após esta data, qualquer produto com elementos digitais que não estejam em conformidade com os requisitos da LFC não pode ser legalmente colocado no mercado da UE.

Como o Acto Delegado da Diretiva de Equipamentos de Rádio (RED-DA) e a CRA estão relacionados? 

Tanto o RED-DA como o SIR impõem requisitos de cibersegurança obrigatórios através da marcação CE. A RED-DA aplica-se aos equipamentos de rádio ligados à Internet, enquanto a CRA se aplica a todos os produtos digitais, incluindo o software. A RED-DA será revogada no dia 11 de Dezembro de 2027, no mesmo dia em que a CRA se tornar plenamente aplicável. permitir que o SIR tenha precedência e crie um quadro único de segurança virtual simplificado.

Como os padrões harmonizados (hEN) apoiam a conformidade com a CRA?

Padrões harmonizados formam a base técnica para demonstrar conformidade com a CRA. Espera-se que a série EN 18031—originalmente usada para RED-DA—forme a base para futuros padrões harmonizados da CRA. Ao seguir esses padrões, uma vez publicados no Jornal Oficial da União Europeia, os fabricantes podem ganhar uma "Presunção de Conformidade." (Nota importante: Atualmente, não existem padrões harmonizados sob a CRA, então os fabricantes precisam depender de métodos alternativos de avaliação até serem finalizados).