Lei de Resiliência Cibernética da UE (CRA)

A Lei de Resiliência Cibernética da UE (CRA) é uma legislação futura da UE que estabelece requisitos obrigatórios de cibersegurança para produtos com elementos digitais (hardware e software) colocados no mercado da UE. Com previsão de entrar em vigor completo em 2027, a CRA visa garantir que os produtos sejam seguros por design, que os fornecedores mantenham a segurança ao longo do ciclo de vida do produto e que os consumidores tenham transparência sobre a segurança dos produtos.

Quem Precisa de Conformidade com a CRA?

A CRA aplica-se a:

• Fabricantes: Entidades que projetam, desenvolvem ou fabricam produtos com elementos digitais para colocação no mercado da UE
• Importadores: Empresas que trazem produtos com elementos digitais para a UE
• Distribuidores: Entidades que disponibilizam produtos no mercado da UE
• Responsáveis por código aberto: Organizações que fornecem suporte comercial para produtos de código aberto (sob certas condições)

Produtos com elementos digitais incluem:

• Software (aplicações, sistemas operacionais, firmware)
• Hardware com software embarcado (dispositivos IoT, roteadores, eletrodomésticos inteligentes)
• Produtos conectados (wearables, sistemas de controle industrial)

Âmbito e Isenções

Dentro do âmbito: Produtos comerciais com elementos digitais colocados no mercado da UE, incluindo SaaS e serviços em nuvem se contiverem componentes de software descarregáveis.

Isentos:

• Dispositivos médicos, sistemas de aviação e componentes automotivos já abrangidos por regulamentações setoriais específicas
• Software de código aberto puramente não comercial desenvolvido ou fornecido fora de atividade comercial
• Produtos exclusivamente para segurança nacional ou defesa

Classificação de Produtos

A CRA categoriza os produtos com base no risco de cibersegurança:

• Padrão (Classe I): Requisitos de cibersegurança padrão, permitida autoavaliação
• Importante (Classe II): Produtos de maior risco (gestão de identidade, VPNs, gestão de rede) que requerem avaliação de conformidade por terceiros
• Críticos: Produtos de maior risco (elementos seguros, cartões inteligentes, sistemas PKI) que requerem certificação rigorosa por terceiros

A maioria dos produtos de software comerciais enquadra-se na categoria padrão.

Requisitos Principais

Os fabricantes devem garantir que os produtos atendam aos requisitos essenciais de cibersegurança ao longo do ciclo de vida:

Seguro por Design:

• Ausência de vulnerabilidades exploráveis conhecidas no momento da colocação no mercado
• Segurança integrada na arquitetura e no processo de desenvolvimento do produto
• Superfície de ataque minimizada e configurações padrão seguras
• Proteção de dados e encriptação, quando apropriado
• Atualizações de segurança entregues automaticamente ou com notificação ao utilizador

Gestão de Vulnerabilidades:

• Identificar, documentar e corrigir vulnerabilidades durante o período de suporte
• Reportar vulnerabilidades exploradas ativamente à ENISA no prazo de 24 horas após a tomada de conhecimento
• Fornecer atualizações de segurança durante a vida útil esperada do produto (mínimo de 5 anos para muitos produtos)
• Manter uma política pública de divulgação de vulnerabilidades

Documentação e Transparência:

• Fornecer documentação clara sobre segurança aos utilizadores
• Publicar a Declaração de Conformidade da UE
• Afixar a marcação CE em produtos conformes
• Manter documentação técnica por 10 anos

Relato de Incidentes:

• Reportar vulnerabilidades exploradas ativamente e incidentes graves à ENISA
• Notificar os utilizadores afetados sobre questões de segurança e mitigações disponíveis

Avaliação de Conformidade

Dependendo da classe do produto, os fabricantes devem demonstrar conformidade através de:

• Autoavaliação (Classe I): O fabricante realiza testes internos e documentação
• Avaliação por terceiros (Classe II/Críticos): Organismo notificado avalia a conformidade antes da colocação no mercado

Todos os fabricantes devem manter documentação técnica que comprove a conformidade, incluindo avaliações de risco, resultados de testes de segurança e registos do processo de desenvolvimento.

Obrigações de Suporte

Os fabricantes devem fornecer suporte de segurança para:

• A vida útil esperada do produto, OU
• Mínimo de 5 anos a partir da colocação no mercado (para a maioria dos produtos)

Isso inclui correção de vulnerabilidades, atualizações de segurança e resposta a incidentes. Produtos sem suporte contínuo não podem permanecer legalmente no mercado da UE.

Penalizações

A CRA estabelece penalizações financeiras significativas:

• Violações graves (produtos não conformes, falta de marcação CE): Até 15 milhões de euros ou 2,5% do volume de negócios anual global
• Outras violações (documentação incompleta, não cooperação): Até 10 milhões de euros ou 2% do volume de negócios anual global
• Informações falsas: Até 5 milhões de euros ou 1% do volume de negócios anual global

Cronograma de Implementação

Fases esperadas de aplicação (sujeitas à publicação final do regulamento):

1. 2024-2025: Regulamento publicado, período de carência inicia
2. 2026: Obrigações de relato de vulnerabilidades entram em vigor
3. 2027: Conformidade total exigida para novos produtos colocados no mercado
4. Após 2027: Produtos existentes devem manter obrigações de suporte

Como o ISMS Copilot Ajuda

O ISMS Copilot pode apoiar a preparação para a conformidade com a CRA:

• Orientações gerais de cibersegurança: Pergunte sobre práticas de desenvolvimento seguro, gestão de vulnerabilidades e segurança ao longo do ciclo de vida
• Desenvolvimento de políticas: Crie políticas de ciclo de vida de desenvolvimento seguro (SDLC) e políticas de divulgação de vulnerabilidades
• Avaliações de risco: Gere avaliações de risco de segurança do produto alinhadas com os requisitos essenciais
• Modelos de documentação: Desenvolva estruturas de documentação de segurança para avaliação de conformidade
• Análise de lacunas: Carregue políticas de desenvolvimento existentes para identificar lacunas em relação aos princípios da CRA

Embora o ISMS Copilot não tenha conhecimento dedicado sobre a CRA (o regulamento ainda está em fase de finalização), pode perguntar sobre controlos de desenvolvimento seguro da ISO 27001 e melhores práticas gerais de segurança de produtos que se alinham com os objetivos da CRA.

Começando

Para preparar-se para a conformidade com a CRA:

1. Avalie se os seus produtos estão abrangidos pela CRA e determine a sua classificação
2. Implemente práticas de ciclo de vida de desenvolvimento seguro (modelagem de ameaças, testes de segurança, revisão de código)
3. Estabeleça processos de gestão e divulgação de vulnerabilidades
4. Planeie o suporte de segurança a longo prazo (5+ anos)
5. Documente a arquitetura de segurança e as avaliações de risco
6. Acompanhe as publicações oficiais da ENISA e da UE para requisitos e orientações finais

Recursos Relacionados

• Proposta e atualizações da CRA da Comissão Europeia
• Estruturas e orientações de certificação de cibersegurança da ENISA
• Autoridades nacionais de vigilância do mercado nos estados membros da UE