Para fabricantes – Complass

O que o espera

As obrigações aplicam-se por produto e durante todo o período de suporte. Os pontos principais e respetivos prazos:

Referenciais: CRA · Regulamento Máquinas · IEC 62443 para fabricantes · Diretiva Equipamentos de Rádio · Data Act · Regulamento da IA

Notificar vulnerabilidades ativamente exploradas e incidentes graves, com alerta precoce no prazo de 24 horas, desde 11 de setembro de 2026 Art. 14 CRA
Desenvolver produtos de acordo com os requisitos do anexo I do CRA e documentar a avaliação de riscos Art. 13 CRA
Tratar vulnerabilidades durante o período de suporte, com SBOM e atualizações de segurança gratuitas Anhang I Teil II CRA
Documentação técnica, avaliação da conformidade, declaração UE de conformidade e marcação CE, a partir de 11 de dezembro de 2027 Art. 71 CRA
Proteção contra a corrupção e segurança do sistema de controlo nos termos do Regulamento Máquinas, a partir de 20 de janeiro de 2027 Anexo III, ponto 1.1.9, Regulamento Máquinas

Não tem a certeza de que referenciais se aplicam à sua empresa? Iniciar o teste «Estou abrangido?»
Custos, esforço e prazo: consultor sem a Complass, consultor com a Complass ou implementação própria com a Complass? Abrir a calculadora de custos de conformidade

Informação geral, não constitui aconselhamento jurídico. Esta página resume a situação jurídica de forma simplificada e não substitui a análise do seu caso concreto. O que faz fé é o texto das leis e das normas.

Setores e produtos

Construção de máquinas e instalações Área prioritária

CRA e Regulamento Máquinas lado a lado, por máquina, do controlador ao acesso remoto. A área que o Complass cobre com maior profundidade.

Componentes, controladores e IoT

PLC, sensores e dispositivos conectados, com a IEC 62443-4-2 como base. Produtos de rádio, adicionalmente, segundo a Diretiva Equipamentos de Rádio, com a EN 18031.

Software

O software autónomo com elementos digitais está abrangido pelo CRA. Os serviços de nuvem puros, sem produto associado, são em regra regulados pela NIS2 e não pelo CRA.

Produtos conectados e IA

Acesso a dados para os utilizadores de produtos conectados nos termos do Regulamento dos Dados, funções de IA no produto nos termos do Regulamento da IA.

Como o Complass apoia

CRA por produto

Classificação como produto padrão, importante ou crítico, requisitos do anexo I, avaliação da conformidade e documentação até à marcação CE.

Saber mais sobre a funcionalidade

SBOM e vulnerabilidades

Manter uma SBOM por produto e exportá-la em CycloneDX ou SPDX. Identificar e avaliar as vulnerabilidades conhecidas dos componentes e declará-las em VEX.

Saber mais

Obrigações de notificação

Verificar se uma vulnerabilidade ou um incidente tem de ser notificado e acompanhar os prazos do CRA com contagem decrescente.

Saber mais sobre a funcionalidade

Desenvolvimento seguro

Desenvolvimento seguro de produtos segundo a IEC 62443-4-1 e requisitos de componentes segundo a 62443-4-2, ligados ao CRA.

O que precisa no mínimo como Fabricantes

Se é fabricante na aceção do CRA, esta seleção cobre as obrigações no Complass. A verificação de aplicabilidade gratuita mostra se é o caso.

Seleção mínima Fabricantes

Pacote Start, tamanho S, com Vulnerabilidades e técnicas de ataque

348 € líquido por mês

Cyber Resilience Act (CRA): Requisitos essenciais, avaliação da conformidade e marcação CE. (Art. 13 CRA (abre num novo separador))
Vulnerabilidades e técnicas de ataque (incl. SBOM, dossiê de produto CRA e MITRE ATT&CK): Tratar vulnerabilidades e, para vulnerabilidades ativamente exploradas, emitir um alerta precoce no prazo de 24 horas. (Art. 14, anexo I parte II CRA (abre num novo separador))+ 149 €
Gestão de incidentes
RGPD, Regulamento da IA e Proteção de denunciantes (HinSchG) (proteção base)

Teste gratuito de 14 dias Encomendar

Recomendado

Business

739 € líquido por mês

Mais impacto com Gestão de ativos e zonas, Supplier Management e Gestão da continuidade de negócio (BCM), capacidade para 10 utilizadores e 2 referenciais.

Experimentar Business

Outros pacotes adequados

Para produtos abrangidos pelo CRA existe a Branchenvorlage (modelo setorial) Fabricante. Os fabricantes de dispositivos médicos não estão abrangidos pelo CRA; para eles destina-se o modelo Tecnologia médica.

Preços para empresas, líquidos acrescidos de IVA, com pagamento anual e prazo mínimo de 12 meses. Pagamento mensal com acréscimo de 15 %. Situação em 06/11/2026. Enterprise e grupos empresariais mediante pedido. Todos os pacotes na vista geral de preços

Também pode cumprir as obrigações sem o Complass. O Complass apoia a implementação e a evidência e não substitui aconselhamento jurídico. Informações legais

Perguntas frequentes

O nosso produto está abrangido pelo CRA?

O CRA aplica-se a produtos com elementos digitais que podem ser ligados, direta ou indiretamente, a um dispositivo ou a uma rede. Isto abrange a maioria dos controladores, máquinas conectadas e software. Existem exceções, entre outras, para produtos com regras próprias, como dispositivos médicos e veículos. O teste «Estou abrangido?» e a classificação por produto no Complass mostram em que classe se enquadra o seu produto.

Como se relacionam o CRA e o Regulamento Máquinas?

Ambos exigem cibersegurança, mas sob perspetivas diferentes: o CRA para o produto com elementos digitais, o Regulamento Máquinas para o funcionamento seguro da máquina. Muitos documentos, como a apreciação de riscos e a documentação técnica, servem para ambos. O Complass mantém os dois referenciais lado a lado, por produto.

Fabricamos e temos também produção própria. Precisamos de duas soluções?

Não. No Complass gere os seus produtos segundo o CRA e o Regulamento Máquinas e a sua própria operação segundo a NIS2, a ISO 27001 ou a IEC 62443, na mesma conta.

Outras funções: Importadores e distribuidores Operadores Fornecedores e prestadores de serviços Todos os destinatários num relance

Para fabricantes: A segurança passa a fazer parte do produto