Lei de Resiliência Cibernética da UE (CRA) para Fabricantes de Produtos

A Lei de Resiliência Cibernética da UE (CRA) é um regulamento que exige que os fabricantes de produtos com elementos digitais atendam a requisitos de cibersegurança ao longo do ciclo de vida do produto. Adotada em 2024, com aplicação começando no final de 2027, a CRA visa melhorar a segurança de dispositivos conectados, software e hardware vendidos na UE, exigindo design seguro, gestão de vulnerabilidades e transparência sobre as propriedades de segurança.

Quem Precisa Cumprir?

A CRA aplica-se aos fabricantes que colocam "produtos com elementos digitais" no mercado da UE:

• Fabricantes de hardware: Dispositivos IoT, roteadores, dispositivos domésticos inteligentes, sensores industriais, equipamentos de rede
• Fornecedores de software: Sistemas operacionais, navegadores, software de segurança, aplicações de produtividade, aplicativos móveis (se vendidos como produtos independentes)
• Fabricantes de sistemas embarcados: Dispositivos médicos, componentes automotivos, eletrodomésticos inteligentes com firmware
• Responsáveis por software de código aberto: Organizações que fornecem suporte comercial ou marcação CE para produtos de código aberto

Produtos isentos da CRA incluem:

• Dispositivos médicos, sistemas automotivos, sistemas de aviação já cobertos por regulamentos setoriais específicos da UE
• Serviços puros de SaaS ou nuvem (sem software descarregável)
• Software personalizado desenvolvido para um único cliente
• Software de código aberto desenvolvido ou fornecido fora de atividade comercial (sem marcação CE ou monetização)

Se você fabrica hardware ou vende software descarregável na UE, a CRA provavelmente se aplica.

Classificação de Risco da CRA

Os produtos são classificados em níveis de risco que determinam os requisitos de conformidade:

Produtos padrão (cibersegurança padrão):

• A maioria dos produtos de consumo e empresariais (dispositivos domésticos inteligentes, software de produtividade, equipamentos de rede)
• Autoavaliação de conformidade
• O fabricante declara conformidade por meio da marcação CE

Produtos importantes (Classe I):

• Sistemas de gestão de identidade, ferramentas de autenticação, VPNs, firewalls, antivírus, navegadores, gerenciadores de senhas
• Produtos integrantes de infraestrutura crítica ou ativos de alto valor
• Avaliação de conformidade por terceiros obrigatória
• Órgão Notificado revisa design e processos

Produtos críticos (Classe II):

• Sistemas operacionais, hipervisores, sistemas de controle industrial, medidores inteligentes, cartões inteligentes para pagamentos
• Maior escrutínio com avaliação abrangente por terceiros
• Órgão Notificado audita o ciclo de desenvolvimento e controles de segurança

A maioria dos fabricantes realizará autoavaliação como classe "padrão", a menos que seu produto esteja explicitamente listado nos anexos da CRA.

Requisitos Principais

Todos os produtos com elementos digitais devem atender aos requisitos essenciais de cibersegurança:

Segurança por design e por padrão:

• Minimizar a superfície de ataque (desativar recursos, serviços e portas desnecessários por padrão)
• Padrões seguros (autenticação forte, criptografia ativada por padrão)
• Princípio do menor privilégio (permissões limitadas para processos e usuários)
• Defesa em profundidade (controles de segurança em camadas)

Tratamento de vulnerabilidades:

• Publicar uma política de divulgação de vulnerabilidades (VDP) com informações de contato
• Avaliar e corrigir vulnerabilidades reportadas dentro de prazos (críticas: 24-72 horas; altas: 14 dias; médias: 90 dias)
• Notificar usuários e a ENISA (agência de cibersegurança da UE) sobre vulnerabilidades exploradas ativamente
• Fornecer atualizações de segurança durante a vida útil esperada do produto ou mínimo de 5 anos (o que for mais longo)

Atualizações seguras:

• Fornecer patches de segurança automaticamente ou com notificação ao usuário
• Garantir que as atualizações sejam autenticadas (assinadas) e não possam ser adulteradas
• Permitir reversão para versões anteriores se as atualizações falharem

Proteção de dados:

• Proteger a confidencialidade e integridade dos dados armazenados e transmitidos (criptografia em repouso e em trânsito)
• Implementar armazenamento seguro de credenciais (sem senhas codificadas)
• Processar apenas os dados necessários (minimização)

Resiliência e disponibilidade:

• Proteger contra ataques de negação de serviço
• Garantir funcionalidade em condições anormais ou sob ataques
• Fornecer capacidades de registro e monitoramento para eventos de segurança

Transparência e documentação:

• Fornecer aos usuários instruções claras de segurança (como configurar com segurança, como atualizar, como reportar vulnerabilidades)
• Publicar uma Lista de Materiais de Software (SBOM) listando componentes e dependências
• Declarar a vida útil suportada e datas de fim de suporte

Avaliação de Conformidade

Os fabricantes devem demonstrar conformidade antes de colocar produtos no mercado da UE:

Para produtos padrão:

1. Realizar avaliação de risco e testes de segurança
2. Preparar documentação técnica (especificações de design, SBOM, resultados de testes, medidas de segurança)
3. Elaborar Declaração de Conformidade da UE
4. Afixar marcação CE
5. Registrar o produto na base de dados da UE (gerenciada pela ENISA)

Para produtos Importantes/Críticos (Classe I/II):

1. Completar as etapas acima
2. Contratar um Órgão Notificado (avaliador terceirizado acreditado)
3. Submeter-se a revisão de design e/ou auditoria de processos de cibersegurança
4. Receber certificado do Órgão Notificado
5. Afixar marcação CE com ID do Órgão Notificado
6. Registrar o produto na base de dados da UE

As avaliações do Órgão Notificado podem levar de 3 a 12 meses e custar entre €20.000 e €100.000+, dependendo da complexidade do produto.

Obrigações ao Longo do Ciclo de Vida

As obrigações da CRA continuam após a entrada no mercado:

• Monitoramento contínuo: Acompanhar relatórios de vulnerabilidades, inteligência de ameaças e explorações que afetem seu produto
• Relato de incidentes: Notificar a ENISA em até 24 horas após descobrir vulnerabilidades exploradas ativamente ou incidentes graves que afetem a segurança do produto
• Fornecimento de atualizações: Fornecer atualizações de segurança oportunas durante a vida útil suportada (mínimo de 5 anos)
• Manutenção de registros: Manter documentação técnica e evidências de conformidade por 10 anos
• Cooperação com a vigilância de mercado: Responder a consultas das autoridades de vigilância de mercado da UE

O não cumprimento das obrigações após a entrada no mercado pode resultar em recalls de produtos ou proibições de comercialização.

Penalidades por Não Conformidade

A CRA inclui penalidades financeiras significativas:

• Até €15 milhões ou 2,5% do faturamento anual global (o que for maior) por não conformidade com os requisitos essenciais
• Até €10 milhões ou 2% do faturamento por não cooperação com as autoridades ou não fornecimento de documentação
• Até €5 milhões ou 1% do faturamento por fornecer informações incorretas ou incompletas

Os Estados-membros podem impor penalidades adicionais, incluindo recalls de produtos, proibições de comercialização ou responsabilidade criminal por violações graves.

Cronograma e Transição

A CRA foi adotada em 2024 com implementação faseada:

• Final de 2027: Início da aplicação plena da CRA (data exata a ser definida após publicação oficial)
• Período de transição: Produtos já no mercado antes da aplicação podem permanecer, mas as atualizações devem cumprir os requisitos de tratamento de vulnerabilidades da CRA
• Acreditação de Órgãos Notificados: Os Estados-membros estão designando Órgãos Notificados ao longo de 2025-2027

Os fabricantes devem começar o trabalho de conformidade agora, especialmente para produtos de Classe I/II que exigem avaliação por terceiros.

Documentação Chave

Os fabricantes devem criar e manter:

• Documentação técnica: Descrição do produto, especificações de design, avaliação de risco, SBOM, resultados de testes de segurança, evidências do ciclo de vida de desenvolvimento seguro
• Declaração de Conformidade da UE: Declaração formal de que o produto atende aos requisitos da CRA
• Política de divulgação de vulnerabilidades: Processo publicado para receber e tratar relatórios de vulnerabilidades
• Instruções de segurança: Orientações voltadas ao usuário sobre configuração segura, atualizações e relato de incidentes
• Certificados de conformidade: Certificados do Órgão Notificado para produtos de Classe I/II

CRA e Outros Regulamentos

A CRA se sobrepõe e interage com outros regulamentos da UE:

• GDPR: Os requisitos de proteção de dados da CRA complementam o GDPR (mas não o substituem)
• NIS2: A CRA foca em produtos; a NIS2 foca na segurança organizacional e no relato de incidentes para prestadores de serviços
• Lei de IA: Produtos habilitados para IA podem precisar cumprir tanto a CRA (cibersegurança) quanto a Lei de IA (segurança, transparência)
• Diretiva de Equipamentos de Rádio (RED): Produtos sem fio devem atender tanto à RED quanto à CRA
• Regulamento de Máquinas: Máquinas industriais com elementos digitais devem atender a ambos

Coordene a conformidade entre os regulamentos para evitar duplicação ou requisitos conflitantes.

Como o ISMS Copilot Ajuda

O ISMS Copilot pode apoiar a preparação para a conformidade com a CRA:

• Criação de políticas: Gerar políticas de divulgação de vulnerabilidades, políticas de desenvolvimento seguro, procedimentos de resposta a incidentes
• Avaliação de risco: Desenvolver modelos de avaliação de risco de segurança do produto
• Documentação de processos: Criar procedimentos de SDLC seguro (modelagem de ameaças, codificação segura, testes de segurança, gestão de patches)
• Conteúdo voltado ao usuário: Elaborar instruções de segurança para a documentação do produto
• Análise de lacunas: Carregar documentação existente de segurança do produto para identificar lacunas

Embora o ISMS Copilot ainda não tenha conhecimento dedicado à CRA, você pode fazer perguntas gerais sobre desenvolvimento seguro de produtos, gestão de vulnerabilidades e melhores práticas de SBOM.

Começando

Para se preparar para a conformidade com a CRA usando o ISMS Copilot:

1. Classifique seus produtos por nível de risco da CRA (padrão, Classe I, Classe II)
2. Crie um espaço de trabalho dedicado para o seu projeto de conformidade com a CRA
3. Realize uma avaliação de risco de segurança do produto (identifique ameaças, vulnerabilidades, impactos)
4. Use a IA para gerar uma política de divulgação de vulnerabilidades
5. Desenvolva procedimentos de ciclo de vida de desenvolvimento seguro (modelagem de ameaças, revisão de código, testes de segurança, processos de atualização)
6. Crie uma Lista de Materiais de Software (SBOM) para cada produto
7. Elabore instruções de segurança para os usuários (configuração segura, procedimentos de atualização, relato de vulnerabilidades)
8. Para produtos de Classe I/II, identifique e contrate um Órgão Notificado com antecedência

Recursos Relacionados

• Texto oficial do regulamento CRA (UE 2024/XXXX—verifique o EUR-Lex para publicação final)
• Orientações e FAQs da ENISA sobre a CRA
• Diretórios de Órgãos Notificados (listas dos Estados-membros de avaliadores acreditados)
• Padrões de SBOM (SPDX, CycloneDX)