CRA em outubro de 2026: as notificações à ENISA são agora obrigatórias

O Regulamento (UE) 2024/2847, conhecido como CRA, deixou de ser uma norma futura para se tornar uma realidade operacional. Após a sua entrada em vigor em novembro de 2024, o calendário de aplicação atingiu o seu primeiro marco crítico: a ativação das obrigações de notificação. Para os profissionais de cibersegurança, isto marca o fim do período de preparação teórica e o início da responsabilidade legal direta na gestão de vulnerabilidades.

Ao contrário de regulamentações anteriores que se centravam em setores específicos, o CRA tem um alcance horizontal sem precedentes. Abrange desde routers domésticos a sistemas industriais críticos, exigindo que a segurança seja integrada desde a conceção. Esta abordagem visa resolver o problema dos produtos que chegam ao mercado com vulnerabilidades generalizadas e sem garantias de suporte a longo prazo.

Desde 11 de setembro de 2026, os fabricantes de produtos com elementos digitais estão obrigados a notificar simultaneamente o CSIRT nacional designado como coordenador e a ENISA. Esta obrigação é ativada por dois cenários concretos: a deteção de uma vulnerabilidade que esteja a ser explorada ativamente e a ocorrência de um incidente grave que afete a segurança do produto.

Esta notificação não é opcional nem pode ser delegada a terceiros sem supervisão. O regulamento estabelece que a receção destas notificações é uma obrigação legal inelutável para o fabricante, independentemente de o produto ser hardware, software ou uma combinação de ambos. O incumprimento pode resultar em sanções significativas, uma vez que se trata de uma das primeiras normas vinculativas do quadro europeu de cibersegurança de produtos.

Embora as notificações já sejam obrigatórias, a conformidade integral do CRA não chega até 11 de dezembro de 2027. Entre estas duas datas, os fabricantes devem preparar o resto dos seus processos de ciclo de vida. Isto inclui a geração de SBOM (Software Bill of Materials), a assinatura de atualizações e a avaliação de conformidade para produtos de alta criticidade.

Um marco intermédio relevante é 11 de junho de 2026, a data a partir da qual o regime para os organismos de avaliação da conformidade é aplicável. Isto significa que as empresas que fabricam produtos da classe de risco mais alta já devem estar a interagir com organismos notificados para obter a marcação CE de cibersegurança, um pré-requisito para a comercialização na UE.

Para as PME, o CRA representa um desafio de recursos. A orientação da Comissão Europeia, aprovada em julho de 2026, visa facilitar a conformidade para estas empresas, mas a carga administrativa continua a ser considerável. Recomenda-se às organizações pequenas que priorizem a gestão de vulnerabilidades e a documentação da sua cadeia de abastecimento de software, uma vez que são os pontos de maior risco de incumprimento imediato.

As soluções SaaS puras ficam, em geral, fora do âmbito de aplicação direta do CRA, a menos que sejam consideradas soluções de tratamento remoto de dados ligadas a um produto físico. Esta distinção é crucial para as empresas de software que devem determinar se o seu produto é considerado um 'produto com elementos digitais' ou um serviço de software padrão.

É fundamental não confundir o CRA com o RGPD ou o Regulamento de IA. O RGPD protege os dados pessoais dos utilizadores, enquanto o CRA protege a integridade e a segurança do próprio produto digital. Uma empresa pode cumprir o RGPD e ainda assim incumprir o CRA se o seu produto tiver vulnerabilidades não corrigidas ou não notificar incidentes de segurança.

A Lei de IA regula o desenvolvimento e a utilização de sistemas de inteligência artificial, enquanto o CRA se aplica a qualquer produto digital, com ou sem IA. A interseção entre ambas as normas está a crescer, especialmente na gestão de vulnerabilidades geradas por modelos de IA, mas os quadros de conformidade são distintos e exigem auditorias separadas.

A Comissão Europeia publicou a sua orientação oficial sobre a aplicação do CRA, um documento de cerca de 80 páginas que esclarece as dúvidas mais frequentes dos fabricantes. Embora não seja vinculativa, as autoridades de vigilância do mercado utilizam-na como referência para uma leitura coerente. Os fabricantes devem ler este documento juntamente com o texto vinculativo do Regulamento para garantir a sua conformidade.

A ENISA também publicou guias sobre a cibersegurança na era da IA de fronteira, que oferecem perspetivas sobre como a IA está a influenciar a definição de vulnerabilidades exploráveis. Estes recursos são essenciais para as empresas que procuram alinhar as suas estratégias de cibersegurança com as expectativas regulatórias europeias.