Comissão Europeia publica guia para facilitar aplicação do Cyber Resilience Act

A Comissão Europeia publicou novas orientações para apoiar fabricantes, programadores e empresas na implementação do Cyber Resilience Act (CRA), legislação que estabelece requisitos obrigatórios de cibersegurança para produtos com componentes digitais comercializados na União Europeia.

O objetivo é clarificar a aplicação prática do regulamento e facilitar a preparação das empresas antes da entrada em vigor das principais obrigações, prevista para 11 de dezembro de 2027.

Segundo a Comissão, o documento pretende responder às dúvidas mais frequentes do mercado e reduzir a complexidade da implementação, sobretudo para microempresas e pequenas e médias empresas.

As orientações abordam vários aspetos da aplicação do regulamento, incluindo a definição dos produtos abrangidos pelo CRA, nomeadamente soluções de processamento remoto de dados e software gratuito e de código aberto.

O documento explica ainda o conceito de “modificação substancial”, esclarece a forma como devem ser interpretados os períodos de suporte dos produtos e detalha os requisitos relativos à avaliação de riscos e às obrigações de notificação de incidentes.

Para facilitar a adoção das novas regras, a Comissão incluiu 67 exemplos práticos, casos de utilização, fluxogramas e gráficos destinados a apoiar as empresas na interpretação da legislação.

Foco nas PME

A Comissão sublinha que foi dada especial atenção às necessidades das PME, procurando assegurar que o processo de conformidade seja proporcional e não imponha encargos administrativos desnecessários.

As novas orientações integram a estratégia europeia de simplificação regulatória, que inclui iniciativas como o Digital Omnibus, apresentado em novembro de 2025, destinado a tornar a aplicação da legislação digital mais simples e previsível.

Empresas devem começar a preparar-se já

Embora o guia não tenha caráter vinculativo, Bruxelas considera que está a fornecer às organizações a clareza necessária para iniciarem desde já a adaptação dos seus produtos e processos.

O regulamento entrou formalmente em vigor em dezembro de 2024, mas as suas principais obrigações só passam a aplicar-se em dezembro de 2027. Já os requisitos relativos à notificação de vulnerabilidades e incidentes explorados ativamente entram em vigor a 11 de setembro de 2026.

A Comissão Europeia acrescenta que continuará a acompanhar a implementação do Cyber Resilience Act e admite publicar orientações adicionais sempre que tal se revele necessário para apoiar os diferentes intervenientes do mercado.