Uma aplicação, um dispositivo inteligente ou um plugin podem passar a ter de cumprir regras de cibersegurança muito mais exigentes na União Europeia. O seu negócio está preparado?
A Comissão Europeia publicou, em 27 de julho de 2026, novas orientações para ajudar fabricantes, programadores e empresas a aplicar o Cyber Resilience Act, ou CRA. O regulamento já está em vigor, mas várias obrigações ainda estão a aproximar-se.
A novidade interessa não só às grandes empresas de tecnologia. Também pode afetar pequenas empresas portuguesas que desenvolvem software, vendem produtos conectados ou colocam ferramentas digitais no mercado europeu.
O que é o Cyber Resilience Act?
O CRA é uma legislação europeia que estabelece requisitos obrigatórios de cibersegurança para produtos com elementos digitais.
Pense num produto como uma casa. Até agora, muitas empresas preocupavam-se sobretudo com a fachada: o design, as funcionalidades e a experiência do utilizador. O CRA obriga também a pensar nas fechaduras, nas janelas e no que acontece quando alguém encontra uma falha.
Podem estar abrangidos, por exemplo:
- Aplicações móveis e programas para computador;
- Dispositivos inteligentes ligados à internet;
- Routers, câmaras, impressoras e equipamentos de rede;
- Sistemas de gestão, plataformas e ferramentas empresariais;
- Produtos com software incorporado;
- Bibliotecas ou componentes utilizados noutros produtos digitais.
A aplicação concreta depende das características do produto e do papel da empresa. Um negócio pode ser fabricante, importador, distribuidor ou fornecedor de software.
O que mudou agora?
A Comissão não criou uma nova lei em 27 de julho. Publicou orientações para esclarecer como a lei existente deve ser aplicada.
Esta distinção é importante. Uma orientação não substitui o regulamento, mas pode reduzir dúvidas sobre situações que, até agora, deixavam espaço para interpretações diferentes.
O documento procura esclarecer quatro questões práticas.
1. Que produtos estão abrangidos?
Nem tudo o que usa tecnologia entra automaticamente no CRA. O ponto essencial é perceber se o produto tem elementos digitais e se é colocado no mercado europeu.
Uma loja online que apenas utiliza um serviço externo de email não é necessariamente fabricante desse serviço. Já uma empresa que desenvolve e comercializa uma plataforma própria pode ter responsabilidades diretas.
O mesmo acontece com uma agência ou empresa de software que cria uma solução personalizada e depois a disponibiliza a vários clientes. O contrato, a forma de distribuição e o controlo sobre o produto podem alterar a análise.
2. O que conta como uma alteração substancial?
Atualizar um texto ou corrigir um pequeno erro não é o mesmo que transformar profundamente o produto.
Uma alteração pode ser considerada substancial quando muda a finalidade, o funcionamento ou o perfil de risco do produto. Por exemplo, acrescentar pagamentos, acesso remoto ou tratamento de dados sensíveis pode exigir uma nova avaliação.
Esta é uma das áreas que merece mais atenção. Muitas empresas tratam grandes alterações como simples atualizações de software, sem rever os riscos de segurança associados.
3. Durante quanto tempo deve existir suporte?
O fabricante deve considerar a segurança durante todo o ciclo de vida do produto. Isso inclui corrigir vulnerabilidades, distribuir atualizações e informar os utilizadores quando existe um problema relevante.
O período de suporte deve ser adequado à utilização esperada do produto. Um relógio inteligente, uma ferramenta empresarial e um sistema integrado num equipamento industrial não terão necessariamente o mesmo ciclo de vida.
Para o cliente, isto pode significar uma mudança importante: comprar uma solução digital deixará de ser apenas uma decisão sobre funcionalidades e preço. Será também necessário perceber durante quanto tempo receberá correções de segurança.
4. Como devem ser comunicadas as vulnerabilidades?
A partir de 11 de setembro de 2026, começam a aplicar-se obrigações de comunicação relacionadas com vulnerabilidades exploradas ativamente e incidentes graves de segurança.
Na prática, as empresas abrangidas terão de criar processos para identificar problemas, avaliar a sua gravidade e comunicar determinados casos através dos canais definidos para esse efeito.
Não basta descobrir uma falha. É preciso saber quem decide, quem regista a informação, quem corrige o problema e quem comunica às entidades competentes.
Quem é afetado em Portugal?
O CRA aplica-se aos produtos colocados no mercado europeu, incluindo Portugal. Não depende de a empresa ter sede num país específico da União Europeia.
Uma empresa portuguesa que venda uma aplicação a clientes em França ou na Alemanha pode estar abrangida. Do mesmo modo, uma empresa de fora da UE que venda diretamente um produto digital a consumidores portugueses pode ter obrigações como fabricante ou fornecedor.
O impacto será especialmente relevante para:
- Empresas que desenvolvem software próprio;
- Fabricantes de equipamentos ligados à internet;
- Startups que vendem produtos digitais na União Europeia;
- Lojas que importam dispositivos conectados;
- Empresas que integram componentes de terceiros nas suas soluções;
- Negócios que prestam suporte técnico a produtos digitais.
As microempresas e pequenas e médias empresas não ficam automaticamente excluídas. A Comissão diz que as orientações incluem exemplos específicos para reduzir encargos desnecessários, mas isso não elimina as responsabilidades quando o produto está dentro do âmbito da lei.
O prazo mais importante ainda não chegou
A Comissão indica que o prazo geral de conformidade está previsto para dezembro de 2027. No entanto, as obrigações de comunicação de vulnerabilidades começam antes, em setembro de 2026.
Isto significa que uma empresa não deve esperar pelo prazo final para começar. Ter documentação, processos e responsáveis definidos pode levar meses, sobretudo quando o produto depende de vários fornecedores ou componentes externos.
O que deve fazer agora?
Faça um inventário dos produtos digitais
Liste as aplicações, plataformas, dispositivos e componentes que a sua empresa desenvolve, vende ou distribui.
Para cada produto, registe:
- Quem o desenvolveu;
- Onde é vendido;
- Que dados trata;
- Que ligações externas utiliza;
- Durante quanto tempo é suportado;
- Quem recebe e resolve pedidos de segurança.
Separe correções simples de alterações relevantes
Crie um processo para avaliar atualizações importantes antes de as lançar. Uma nova funcionalidade pode alterar o risco do produto, mesmo que tecnicamente seja apenas mais uma versão.
Reveja os contratos com fornecedores
Se utiliza bibliotecas, serviços cloud, APIs ou componentes de terceiros, confirme quem comunica vulnerabilidades e quem fornece correções. Uma falha num componente externo continua a poder afetar o seu produto.
Prepare um procedimento de resposta
Defina uma equipa, um canal de contacto e um prazo interno para analisar vulnerabilidades. Não espere pelo primeiro incidente para descobrir quem tem autoridade para agir.
O que ainda precisa de confirmação?
As orientações ajudam, mas não substituem uma análise jurídica e técnica do produto. Também será necessário acompanhar a publicação de normas harmonizadas, procedimentos de avaliação e instruções das autoridades competentes.
A melhor leitura desta novidade é simples: a cibersegurança deixou de ser apenas uma preocupação do departamento técnico. Passa a fazer parte do desenvolvimento, dos contratos, do apoio ao cliente e da gestão do produto.
Se a sua empresa vende software ou dispositivos conectados, comece pelo inventário e pelo processo de resposta a vulnerabilidades. Em Portugal, esperar pelo final de 2027 pode significar descobrir demasiado tarde que o seu produto já tinha responsabilidades desde setembro de 2026.