referencial · Regulamento de Ciber-Resiliência (UE) 2024/2847
CRA: O seu produto, o seu processo, tudo num só lugar
O Regulamento de Ciber-Resiliência estabelece requisitos para produtos com elementos digitais ao longo de todo o ciclo de vida. O Complass guia-o produto a produto, da aplicabilidade à marcação CE.
Gestão da conformidade em 20 segundosProjeto, próximo passo, lista de verificação, declaração de aplicabilidade, pacote de auditoria. Beispieldaten der Demo-Firma.
O que é CRA?
O Regulamento de Ciber-Resiliência (CRA) é o Regulamento (UE) 2024/2847 relativo a requisitos horizontais de cibersegurança para produtos com elementos digitais. Exige segurança desde a conceção, tratamento de vulnerabilidades durante todo o período de apoio, notificação de vulnerabilidades ativamente exploradas e uma avaliação da conformidade com marcação CE.
Atualidade dos conteúdos:
Aplica-se ao meu caso?
O CRA aplica-se a produtos com elementos digitais disponibilizados no mercado da UE, ou seja, hardware e software com ligação de dados, como controladores, dispositivos e aplicações. As obrigações recaem sobretudo sobre os fabricantes, bem como sobre importadores e distribuidores. Aplicam-se exceções, entre outros, a produtos já abrangidos por determinadas outras normas da UE.
As obrigações de notificação previstas no art. 14.º aplicam-se desde 11 de setembro de 2026, incluindo a produtos colocados no mercado antes dessa data.
Esta panorâmica não substitui aconselhamento jurídico. O texto legal ou normativo é o que faz fé; no Complass, verifica a aplicabilidade com orientações baseadas nas referências.
Base jurídica
Art. 2 CRAArtigo 2 Regulamento de Ciber-ResiliênciaÂmbito de aplicação1. O presente regulamento é aplicável aos produtos com elementos digitais disponibilizados no mercado cuja finalidade prevista ou utilização razoavelmente previsível inclua uma conexão de dados lógica ou física, direta ou indireta, a um dispositivo ou a uma rede. 2. O presente regulamento não é aplicável aos produtos com elementos digitais aos quais sejam aplicáveis os seguintes atos jurídicos da União: - a) …Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Âmbito de aplicação
Art. 3 CRAArtigo 3 Regulamento de Ciber-ResiliênciaDefiniçõesPara efeitos do presente regulamento, entende-se por: 1) «Produto com elementos digitais», um produto de software ou hardware e as suas soluções de tratamento remoto de dados, incluindo componentes de software ou hardware que sejam colocados no mercado separadamente; 2) «Tratamento remoto de dados», tratamento de dados à distância para o qual o software tenha sido concebido e desenvolvido pelo fabricante ou sob a …Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Definições
Art. 7 CRAArtigo 7 Regulamento de Ciber-ResiliênciaProdutos importantes com elementos digitais1. Os produtos com elementos digitais cuja funcionalidade principal seja a de uma categoria de produtos constante do anexo III são considerados produtos importantes com elementos digitais e estão sujeitos aos procedimentos de avaliação da conformidade a que se refere o artigo 32.o, n.os 2 e 3. Um produto com elementos digitais cuja funcionalidade principal seja a de uma categoria de produtos constante do anexo III …Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Produtos importantes com elementos digitais
Art. 13 CRAArtigo 13 Regulamento de Ciber-ResiliênciaObrigações dos fabricantes1. Quando colocam um produto com elementos digitais no mercado, os fabricantes devem assegurar que esse produto foi concebido, desenvolvido e produzido em conformidade com os requisitos essenciais de cibersegurança constantes da parte I do anexo I. 2. Para efeitos do cumprimento do n.o 1, os fabricantes devem efetuar uma avaliação dos riscos de cibersegurança associados a um produto com elementos digitais e ter em …Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Obrigações dos fabricantes
Datas-chave
Entrada em vigor do regulamento
art. 71.º, n.º 1Artigo 71 Regulamento de Ciber-ResiliênciaEntrada em vigor e aplicação1. O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia. 2. O presente regulamento é aplicável a partir de 11 de dezembro de 2027. Todavia, o artigo 14.o é aplicável a partir de 11 de setembro de 2026 e o capítulo IV (artigos 35.o a 51.o) é aplicável a partir de 11 de junho de 2026.Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Aplica-se o capítulo IV (organismos notificados, art. 35.º a 51.º)
art. 71.º, n.º 2Artigo 71 Regulamento de Ciber-ResiliênciaEntrada em vigor e aplicação1. O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia. 2. O presente regulamento é aplicável a partir de 11 de dezembro de 2027. Todavia, o artigo 14.o é aplicável a partir de 11 de setembro de 2026 e o capítulo IV (artigos 35.o a 51.o) é aplicável a partir de 11 de junho de 2026.Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Aplicam-se as obrigações de notificação do art. 14.º – incluindo para produtos existentes
art. 71.º, n.º 2, art. 69.º, n.º 3Artigo 71 Regulamento de Ciber-ResiliênciaEntrada em vigor e aplicação1. O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia. 2. O presente regulamento é aplicável a partir de 11 de dezembro de 2027. Todavia, o artigo 14.o é aplicável a partir de 11 de setembro de 2026 e o capítulo IV (artigos 35.o a 51.o) é aplicável a partir de 11 de junho de 2026.Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Sistemas EHR: avaliação da conformidade nos termos do Regulamento EHDS (art. 32.º, n.º 5-A); alteração do art. 13.º, n.º 4, e do art. 31.º, n.º 3
Art. 104.º do Regulamento (UE) 2025/327Artigo 71 Regulamento de Ciber-ResiliênciaEntrada em vigor e aplicação1. O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia. 2. O presente regulamento é aplicável a partir de 11 de dezembro de 2027. Todavia, o artigo 14.o é aplicável a partir de 11 de setembro de 2026 e o capítulo IV (artigos 35.o a 51.o) é aplicável a partir de 11 de junho de 2026.Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Aplicação integral do regulamento
art. 71.º, n.º 2Artigo 71 Regulamento de Ciber-ResiliênciaEntrada em vigor e aplicação1. O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia. 2. O presente regulamento é aplicável a partir de 11 de dezembro de 2027. Todavia, o artigo 14.o é aplicável a partir de 11 de setembro de 2026 e o capítulo IV (artigos 35.o a 51.o) é aplicável a partir de 11 de junho de 2026.Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
24 horas / 72 horas / 14 dias
Alerta precoce, notificação e relatório final para vulnerabilidades ativamente exploradas (relatório final 14 dias após a disponibilização de uma correção)
Art. 14 CRAArtigo 14 Regulamento de Ciber-ResiliênciaObrigações dos fabricantes em matéria de comunicação de informações1. Os fabricantes devem notificar qualquer vulnerabilidade ativamente explorada existente no produto com elementos digitais de que tomem conhecimento simultaneamente à CSIRT designada como coordenadora, nos termos do n.o 7 do presente artigo, e à ENISA. Os fabricantes devem notificar essa vulnerabilidade ativamente explorada através da plataforma única de comunicação de informações criada nos termos do artigo 16.o. …Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Dez fases, da aplicabilidade e da função, passando pela classificação e avaliação de riscos, até à declaração de conformidade, às obrigações após a colocação no mercado e à responsabilidade pelos produtos.
Catálogo para o anexo I
Requisitos essenciais de cibersegurança e tratamento de vulnerabilidades com estado e evidências, interligável com a IEC 62443-3-3 e o Regulamento Máquinas.
Vulnerabilidades no seu próprio produto
Importe o SBOM, cruze continuamente os componentes com dados públicos de vulnerabilidades e crie o incidente do art. 14.º pré-preenchido em caso de exploração ativa.
Documentação técnica
Modelos para, entre outros, avaliação de riscos, conceito de SBOM, processo de tratamento de vulnerabilidades, política de divulgação, informações para o utilizador nos termos do anexo II e declaração UE de conformidade.
The CRA and the Machinery Regulation in one file per product and version: requirements, SBOM, vulnerabilities, support period. Complass drafts the technical documentation and the EU declaration of conformity.
Vulnerabilidades e técnicas de ataque (incl. SBOM, dossiê de produto CRA e MITRE ATT&CK): Tratar vulnerabilidades e, para vulnerabilidades ativamente exploradas, emitir um alerta precoce no prazo de 24 horas. (Art. 14, anexo I parte II CRA (abre num novo separador))+ 149 €
Gestão de incidentes
RGPD, Regulamento da IA e Proteção de denunciantes (HinSchG) (proteção base)
Se for apenas importador ou distribuidor (art. 19, 20 CRA), no Complass basta o referencial CRA sem o módulo de vulnerabilidades: Start, 199 € líquido/mês. Quem disponibiliza produtos sob o seu próprio nome ou os modifica substancialmente é considerado fabricante (art. 21, 22 CRA). Ver seleção: Seleção mínima Importador ou distribuidor
Recomendado
Business
739 €líquido por mês
Mais impacto com Gestão de ativos e zonas, Supplier Management e Gestão da continuidade de negócio (BCM), capacidade para 10 utilizadores e 2 referenciais.
Também pode cumprir as obrigações sem o Complass. O Complass apoia a implementação e a evidência e não substitui aconselhamento jurídico. Informações legais
Perguntas frequentes
Construímos máquinas com controlador. Aplica-se o CRA ou o Regulamento Máquinas?+
Muitas vezes ambos. O Complass mostra as sobreposições e interliga os catálogos para que apresente evidências uma só vez.
O Complass submete a notificação à ENISA?+
Não. O Complass calcula os prazos e prepara o conteúdo; a notificação é submetida através da plataforma de notificações.
