Lei de Resiliência Cibernética da UE (EU CRA). Declaração do Cliente

A Lei de Resiliência Cibernética da UE (EU CRA) foi concebida para reforçar a segurança de produtos digitais, incluindo software e dispositivos conectados. A Lei estabelece regras claras e consistentes para que as empresas sigam ao disponibilizar esses produtos. Esta regulamentação obrigatória reduz os riscos ao exigir que os fabricantes incorporem segurança em seus produtos e resolvam prontamente quaisquer vulnerabilidades de cibersegurança identificadas em campo. O objetivo é criar um ambiente digital mais seguro para todos, incentivando a disponibilidade de produtos "seguros por padrão". A EU CRA exige que os fabricantes coloquem produtos em conformidade no mercado da União Europeia a partir de 11 de dezembro de 2027. Os fabricantes também são obrigados a comunicar incidentes graves e vulnerabilidades exploradas ativamente às autoridades nacionais competentes ou às Equipes de Resposta a Incidentes de Segurança Cibernética (CSIRTs) a partir de 11 de setembro de 2026.

A EU CRA exige que os Produtos com Elementos Digitais (PDEs), que se conectam ou interagem com outros dispositivos ou redes, atendam aos requisitos essenciais de cibersegurança em seu projeto, desenvolvimento e produção. A Lei também exige a gestão de vulnerabilidades ao longo de todo o ciclo de vida do produto. A descrição abaixo fornece uma visão geral das principais obrigações sob a EU CR.

O CRA da UE categoriza os PDEs em quatro grupos com diferentes níveis de avaliação da conformidade: "Common", "Important Class I", "Important Class II" e "Critical". Os PDEs "Important" e "Critical" estão listados nos Anexos III e IV. Os PDEs "Important" (por exemplo, firewalls) e "Critical" (por exemplo, módulo de segurança de hardware, smartcards) fornecem funções essenciais de cibersegurança ou são essenciais para entidades-chave ou cadeias de fornecimento na UE. Eles exigem conformidade com normas harmonizadas e certificação por terceiros.

Os produtos são listados nos Anexos III ou IV somente se suas funções centrais corresponderem aos tipos especificados; produtos combinados, como máquinas, não herdam a classificação de criticidade. Apesar das diferenças nas avaliações da conformidade, os requisitos fundamentais de cibersegurança para as características do produto permanecem consistentes em todas as categorias.