Membros
Miembros
O que é a CRA e a quem se aplica?
A CRA (Cyber Resilience Act) é uma diretiva legal europeia que impõe um conjunto de requisitos e obrigações que obrigam os fabricantes, desenvolvedores de software, importadores, fornecedores e outras partes envolvidas no fornecimento de produtos digitais no espaço europeu a enfrentar a segurança com seriedade e eficácia.
A aplicação da CRA ao longo do ciclo de vida desses produtos exige que as partes interessadas adotem medidas eficazes de cibersegurança ou utilizem práticas de desenvolvimento seguras que vão desde a segurança por design e por defeito até a proteção de dados pessoais (incluindo o cumprimento do RGPD), bem como a gestão de riscos e incidentes. Assim, fornece-se à cadeia de fornecimento recursos para apresentar processos de mitigação rápidos e eficientes no tratamento de vulnerabilidades e outras questões relacionadas à segurança de seus produtos.
No contexto da CRA, se um fabricante tiver conhecimento de um risco de cibersegurança, deve tomar medidas imediatas para resolvê-lo, incluindo a notificação aos usuários e aos CSIRT (Computer Security Incident Response Team) em um curto período de tempo. Nesses casos, também devem cooperar com as autoridades nacionais na investigação e resolução de incidentes de cibersegurança relacionados aos seus produtos.
Essas diretivas complementam um conjunto de outras leis e medidas que, isoladamente, abordaram ou mitigaram problemas específicos, formando uma espécie de mosaico legislativo.
Se você é um fornecedor interessado em cumprir o Cyber Resilience Act (CRA), detalhamos os requisitos para seus serviços no Selo de Confiança. Uma de suas dimensões cobre especificamente o CRA. Para mais informações, visite ciberia.usal.es
Qual é a motivação desta medida?
Hoje em dia, os principais vetores utilizados nos ciberataques baseiam-se em vulnerabilidades e falhas presentes nos produtos de hardware e software. Dada a globalidade da rede e o crescente número de entidades vinculadas a ela, um incidente de cibersegurança, com um único produto, tende a afetar toda a organização, podendo se propagar rapidamente por toda a cadeia de fornecedores e clientes, além de, sem controle, se espalhar por todo o país ou até mesmo além das fronteiras, em poucos minutos.
Portanto, é fundamental ter controle e agir rapidamente sobre todas as vulnerabilidades ou falhas que sejam identificadas ou sinalizadas pelos investigadores da área. Nesse contexto, são essenciais políticas de reação eficazes por parte dos fabricantes ou desenvolvedores de software. Ao se deparar com produtos atualizáveis capazes de receber correções para resolver as vulnerabilidades que possam surgir e com todas as informações relevantes sobre as características de cibersegurança dos produtos, os consumidores estarão mais informados para tomar decisões mais seguras.
A que tipos de produtos essas medidas se aplicam?
Nos anexos III e IV são descritos os tipos de produtos cobertos por esta diretiva, diferenciando-os em importantes e críticos, os quais podem ser resumidos em:
Equipamentos de uso comum
Computadores pessoais, portáteis, tablets, smartphones
Equipamentos de uso empresarial
Servidores, NAS, sistemas de controle industrial
Equipamentos de redes
Roteadores, switches, firewalls
Equipamentos de proteção e medição
Câmeras de vigilância, robôs de limpeza, sensores de medição
Software
Sistemas operacionais, aplicativos, jogos, firmware
É importante observar que ao nos referirmos a termos como “computador pessoal” ou “firmware”, não estamos nos referindo apenas a um laptop, mas também a qualquer dispositivo que possa incorporar esses elementos em seu interior, como uma geladeira, um interruptor Wi-Fi ou até mesmo um brinquedo.
Exceções na aplicação da CRA
O software gratuito e de código aberto (“open-source”) não está coberto pelas regras e requisitos definidos pela CRA. No entanto, todo o software open-source do qual seus desenvolvedores obtêm alguma fonte de receita (como suporte técnico pago ou uso comercial dos dados gerados pelos usuários do software) está sujeito à aplicação da CRA. Nesse sentido, e de acordo com o artigo 53 (10.a), as multas por descumprimento não se aplicam nesses casos.
As soluções de software puro distribuídas na forma de SaaS (software como serviço) também não estão cobertas pela CRA, desde que não processem dados remotamente.
Para todos os outros tipos de software, se cumprirem outras regulamentações europeias (como a diretiva NIS2 [ainda não transcrita na legislação portuguesa até o momento], a proposta de regulamento para soluções de IA [Inteligência Artificial], etc.) com um nível similar aos requisitos de resiliência cibernética, não precisam cumprir adicionalmente com a CRA para as características de resiliência cibernética já cobertas por essas outras regulamentações, desde que cumpram dessa forma.
Além disso, os produtos de IoT, que estão cobertos por outras regulamentações europeias (como o Regulamento europeu sobre o espaço de dados de saúde para sistemas de registros médicos eletrônicos) com um nível similar de requisitos de ciberresiliência, não precisam cumprir adicionalmente com a CRA, desde que todos os seus requisitos já sejam cumpridos por meio desses outros Regulamentos.
Qual é a legislação aplicável?
Como ainda não existe uma transcrição dessa diretiva na legislação portuguesa, indicamos como referência a diretiva aprovada pelo Parlamento Europeu.
Outras referências importantes
Mapeamento de requisitos da Enisa CRAQuais são as penalidades e/ou sanções?
O descumprimento desta diretiva pode resultar em multas administrativas, que, dependendo de vários fatores, podem chegar a valores de até 15M€ ou o equivalente a 2,5% da receita anual em caso de empresas.
Quando entrará em vigor a CRA?
Em 10 de outubro de 2024, foi adotada pelo Conselho da União Europeia. Após este trâmite, algumas semanas depois, o ato legislativo foi assinado pelos presidentes do Conselho e do Parlamento Europeu e publicado no Diário Oficial Europeu da UE em 21 de novembro de 2024. Em seguida, passarão outros 21 meses até que os requisitos de apresentação de relatórios sejam exigíveis e outros 15 meses depois que os requisitos técnicos também se tornem exigíveis (ou seja, 36 meses após a entrada em vigor da Lei).
Em 10 de outubro de 2024, foi adotada pelo Conselho da União Europeia. Após esse trâmite e algumas semanas depois, o ato legislativo foi assinado pelos presidentes do Conselho e do Parlamento Europeu e publicado no Diário Oficial Europeu da UE em 21 de novembro de 2024. Em seguida, passarão outros 21 meses até que os requisitos de apresentação de relatórios se tornem exigíveis e outros 15 meses depois que os requisitos técnicos também se tornem exigíveis (ou seja, 36 meses após a entrada em vigor da Lei).
A CRA é uma regulamentação da União Europeia que busca melhorar a cibersegurança dos produtos digitais e garantir que sejam seguros e resistentes a ataques e vulnerabilidades.
A CRA se aplica a fabricantes e fornecedores de produtos digitais, incluindo dispositivos de hardware, software e qualquer outro produto que contenha elementos digitais.
A CRA cobre produtos importantes e críticos, como computadores pessoais, dispositivos IoT, sistemas operacionais e outros dispositivos que integrem software ou firmware.
Os fabricantes devem garantir que seus produtos cumpram os requisitos de segurança estabelecidos, realizar avaliações de riscos e fornecer atualizações de segurança durante um período definido.
Um "produto crítico" é aquele que tem um impacto significativo na segurança, privacidade ou infraestrutura principal, cuja vulnerabilidade poderia comprometer a cibersegurança de sistemas importantes.
O cumprimento será supervisionado pelas autoridades competentes de cada estado membro, que realizarão auditorias e controles sobre os produtos no mercado.
As sanções por descumprimento podem incluir multas, proibição de venda de produtos não conformes e a obrigação de retirar produtos do mercado.
Sim, alguns produtos podem estar isentos se cumprirem com regulamentos específicos de segurança existentes ou se forem considerados de baixo risco.
A CRA busca aumentar a confiança dos consumidores ao garantir que os produtos digitais sejam mais seguros e resistentes a ataques e vulnerabilidades.