---
title: "Toda a gente anda de olho na NIS2. O Cyber Resilience Act é o que pode tirar o teu produto do mercado. | Guardian360"
description: "Toda a gente na cibersegurança anda de olho na NIS2. O Cyber Resilience Act está a chegar à sua sombra, e é o que te pode impedir por completo de vender o teu produto. Porque é que a data discreta de 11 de setembro de 2026 significa que o relógio da preparação já começou a contar."
url: https://guardian360.net/pt/blog/the-cyber-resilience-act-can-pull-your-product-off-the-market/
locale: en
source: guardian360.net
---
[← Todos os artigos](https://guardian360.net/pt/blog/)

Opinião

# Toda a gente anda de olho na NIS2. O Cyber Resilience Act é o que pode tirar o teu produto do mercado.

Por Jan Martijn Broekhof · 13 de julho de 2026

No dia 9 de julho estive no CRA Connect, um evento sobre o Cyber Resilience Act organizado pela CyberVeilig Nederland, pela FME e pelo Ministério dos Assuntos Económicos, acolhido pela Tesorion em Nieuwegein. Fui a pensar que já sabia o essencial. A Guardian360 constrói software, por isso é claro que o CRA se aplica a nós; essa parte nunca esteve em dúvida. O que me apanhou desprevenido foi a rapidez. Não a data que faz manchete, dezembro de 2027, que a maioria das pessoas na sala conseguia recitar, mas aquela que está discretamente à sua frente: 11 de setembro de 2026. Isso não é uma obrigação distante. É tempo de preparação que já começou a contar.

Suspeito que não sou o único que tinha a cronologia ligeiramente errada na cabeça. E a razão por que isso importa é simples: neste momento, quase toda a gente na cibersegurança está a olhar para a NIS2. O CRA está a chegar à sua sombra, e dos dois, o CRA é o que te pode eventualmente impedir por completo de vender o teu produto.

## O que é exatamente o Cyber Resilience Act?

O Cyber Resilience Act é um regulamento europeu orientado para a segurança de produtos com elementos digitais. Entrou em vigor a 10 de dezembro de 2024 e, por ser um regulamento e não uma diretiva, aplica-se diretamente em toda a UE sem ser transposto para lei nacional.

O seu âmbito é amplo. Cobre não só dispositivos físicos ligados, como hardware de IoT, firewalls e equipamento de rede, mas também software: sistemas operativos, aplicações móveis, firmware e componentes de software comercializados em separado. Se um produto com elementos digitais é colocado no mercado da UE no âmbito de uma atividade comercial, é muito provável que esteja abrangido. Esse alcance vai também para além da Europa; um fabricante sediado fora da UE fica vinculado ao CRA no momento em que os seus produtos são disponibilizados no mercado da UE.

Há uma exceção que vale a pena mencionar, porque é amplamente mal compreendida. O software open-source não comercial fica fora do CRA. Mas no momento em que integras componentes open-source num produto comercial, esses componentes passam a fazer parte do teu produto, e as obrigações do CRA aplicam-se ao todo. Não podes subcontratar a responsabilidade a um projeto upstream que nunca pagaste.

## Quando é que tens efetivamente de cumprir?

É aqui que mora a surpresa. Há duas datas, e a segunda recebe toda a atenção enquanto a primeira é a que causa o dano.

A 11 de setembro de 2026 começa o dever de reporte. A partir dessa data, os fabricantes que tomem conhecimento de uma vulnerabilidade ativamente explorada ou de um incidente grave no seu produto têm de o reportar, com uma primeira notificação no prazo de 24 horas, através do canal nacional em mijn.NCSC.nl. A 11 de dezembro de 2027 aplica-se na íntegra o resto do regulamento: os requisitos essenciais de cibersegurança, a avaliação de conformidade, a marcação CE, a documentação técnica. A partir dessa data, só produtos conformes com o CRA podem ser colocados no mercado da UE.

Agora inverte essas datas. Olha para elas não como prazos, mas como o momento em que a tua preparação tem de estar terminada. Um processo funcional de reporte de incidentes e vulnerabilidades, testado e com pessoas afetas, tem de existir antes de setembro de 2026. Uma avaliação de conformidade completa, com toda a documentação por trás, tem de estar feita antes de dezembro de 2027. Subtrai o tempo que cada uma dessas coisas realmente leva, e ambas as datas apontam de volta para o mesmo lugar incómodo: agora.

## Toda a gente está a olhar para a NIS2. Essa é a parte perigosa.

O setor da cibersegurança passou os últimos dois anos absorvido pela NIS2 e pela sua implementação neerlandesa. Essa atenção não está errada, mas criou um ponto cego, e o ponto cego é perigoso precisamente porque as duas leis não competem pela tua atenção. Encaixam uma na outra.

O CRA é, na prática, o instrumento da cadeia de fornecimento por baixo da NIS2. Uma organização abrangida pela NIS2 só pode ser segura se os produtos que compra forem eles próprios seguros. Um hospital, uma empresa de serviços públicos, um operador logístico; cada um é apenas tão resiliente quanto os produtos ligados e o software que adquire. É exatamente isso que o CRA regula ao nível do produto. Olha só para a NIS2 e estás a gerir metade do problema, assumindo que a outra metade se resolve sozinha.

Os riscos também diferem, e esta é a parte que devia fazer as pessoas endireitar-se na cadeira. O incumprimento da NIS2 traz supervisão e coimas. São coisas sérias. Mas o CRA funciona como a marcação CE funciona para a segurança física: a partir de dezembro de 2027, um produto sem uma avaliação de conformidade válida simplesmente não pode ser colocado no mercado da UE. O pior cenário ao abrigo da NIS2 é uma sanção. O pior cenário ao abrigo do CRA é que o teu produto não pode ser vendido. Para um fornecedor de software, isso não é um custo de conformidade. É um custo existencial.

## Testámos isto em nós próprios

Quero ser honesto sobre onde é que a Guardian360 se situa nisto, porque é a forma mais clara de mostrar porque é que “logo tratamos disso” é o reflexo errado.

Somos certificados ISO 27001. Já mantemos um Software Bill of Materials para os nossos produtos. No papel, estávamos mais bem preparados do que a maioria. E a conclusão a que chegámos ainda assim foi preocupante: essa preparação dá-nos um avanço, não uma isenção. A ISO 27001 governa o nosso sistema de gestão de segurança da informação, a nossa organização e os seus processos. O CRA governa a segurança do próprio produto. Os dois são complementares, mas não são intermutáveis, e um certificado ISO 27001 na parede não torna um produto conforme com o CRA.

Depois começámos a mapear os nossos próprios produtos face às categorias do CRA, e a coisa ficou ainda mais interessante. O regulamento classifica os produtos com elementos digitais em produtos normais, produtos importantes de classe I e classe II, e produtos críticos, com a avaliação a ficar mais pesada à medida que o risco sobe. A classe II, que inclui sistemas de deteção e prevenção de intrusões, exige avaliação por um organismo notificado externo; a autoavaliação não chega. Parte do que fazemos situa-se exatamente nesse espaço da deteção de intrusões. Por outras palavras, alguns dos nossos produtos apontam para o regime mais pesado, e não para o mais leve. Perceber exatamente qual o produto que cai em cada categoria, e documentar o raciocínio, é precisamente o tipo de tarefa que leva meses. Não é algo que se faça à pressa no final do verão de 2026.

## Porque é que não podes esperar, mesmo que seja “só” o dever de reporte

Aqui está a objeção justa, e merece uma resposta direta. Alguém vai dizer: setembro de 2026 é apenas a obrigação de reporte, não a conformidade total do produto. A conformidade plena é em 2027. Então não estaremos a exagerar a urgência?

Não, e eis porquê. O dever de reporte não é um interruptor que se liga. Não podes reportar o que não monitorizas, o que significa que o processo de deteção e reporte tem de estar operacional, e ensaiado, antes de a data chegar. Não podes reportar com rigor sobre um produto cujas dependências de terceiros nunca mapeaste, e é aí que entra o Software Bill of Materials; montar um ao longo de um portefólio de produtos real são meses de trabalho, não uma tarde. E, para quem constrói produtos físicos, a cronologia é ainda menos indulgente. No evento, Ferry Mulders, da VDL Agrobotics, falou sobre o ciclo de vida de uma máquina, sobre provar que uma máquina não pode ser pirateada ao longo dos anos em que se mantém em serviço. Um construtor de máquinas com um ciclo de desenvolvimento de vários anos está a projetar hoje os produtos que vão chegar ao mercado depois de 2027. Para eles, 2027 não é o futuro. É o caderno de encargos atual.

Erik de Jong, da Tesorion, cuja empresa acolheu o evento, colocou a versão honesta disto de forma clara: ajudam outros a tornarem-se conformes e estão eles próprios com um trabalho substancial de CRA em mãos. Essa é a realidade em todo o nosso setor. As pessoas que aconselham sobre isto também estão sujeitas a isto.

## O que é que isto significa para os parceiros

Se és um parceiro, um MSP, um integrador, um revendedor ou um especialista em cibersegurança, isto cai-te na secretária duas vezes.

Primeiro, para ti próprio. Se desenvolves, importas ou distribuis qualquer produto com elementos digitais, vai verificar se o CRA se te aplica, e a que categoria pertence cada produto. Não assumas que um negócio de serviços está fora do âmbito; muitos prestadores de serviços também comercializam software, appliances ou produtos integrados sem pensarem neles dessa forma.

Segundo, para os teus clientes. Eles vão perguntar o que é que o CRA significa para eles, e os parceiros que souberem responder bem, com calma, com especificidade, com a cronologia e as categorias bem claras, são os que vão ganhar a confiança que daí decorre. A conversa vai acontecer de qualquer forma. A única questão é se fizeste o trabalho antes de o teu cliente perguntar, ou depois.

Por isso, aqui fica a pergunta com que te deixo. Já colocaste os teus próprios produtos lado a lado com os anexos do CRA, ou estás discretamente a assumir que 2027 ainda está confortavelmente longe? Porque, quando invertes as datas, não está.

## Fontes

- Rijksinspectie Digitale Infrastructuur (RDI), Cyber Resilience Act, cronologia, dever de reporte e categorias de produtos: [https://www.rdi.nl/onderwerpen/draadloze-apparatuur/handel-en-apparatuur/cra](https://www.rdi.nl/onderwerpen/draadloze-apparatuur/handel-en-apparatuur/cra)
- RDI / Ministério dos Assuntos Económicos, Gids Cyber Resilience Act v2.0 (setembro de 2025): [https://www.rdi.nl/binaries/rdi/documenten/brochures/2025/09/19/gids-cyber-resilience-act/Gids+Cyber+Resilience+Act.pdf](https://www.rdi.nl/binaries/rdi/documenten/brochures/2025/09/19/gids-cyber-resilience-act/Gids+Cyber+Resilience+Act.pdf)
- Nationaal Cyber Security Centrum (NCSC), Cyber Resilience Act, categorias de produtos e canal de reporte: [https://www.ncsc.nl/wet-en-regelgeving/cyber-resilience-act-cra](https://www.ncsc.nl/wet-en-regelgeving/cyber-resilience-act-cra)
- FME, Cyber Resilience Act, cronologia de preparação para a indústria transformadora: [https://www.fme.nl/kennis-en-advies/digitalisering/cybersecurity/cyber-resilience-act](https://www.fme.nl/kennis-en-advies/digitalisering/cybersecurity/cyber-resilience-act)
- CyberVeilig Nederland, De Cyber Resilience Act (CRA) officieel in werking getreden: [https://cyberveilignederland.nl/actueel/de-cyber-resilience-act-cra-officieel-in-werking-getreden](https://cyberveilignederland.nl/actueel/de-cyber-resilience-act-cra-officieel-in-werking-getreden)