Complass – Navigate compliance Complass – Navigate compliance

referencial

Regulamento de Ciber-Resiliência (UE) 2024/2847

O Regulamento de Ciber-Resiliência estabelece requisitos para produtos com elementos digitais ao longo de todo o ciclo de vida. O Complass guia-o produto a produto, da aplicabilidade à marcação CE.

Imagem fixa do vídeo curto «Gestão da conformidade em 20 segundos»
Gestão da conformidade em 20 segundos Projeto, próximo passo, lista de verificação, declaração de aplicabilidade, pacote de auditoria. Beispieldaten der Demo-Firma.

O que é CRA?

O Regulamento de Ciber-Resiliência (CRA) é o Regulamento (UE) 2024/2847 relativo a requisitos horizontais de cibersegurança para produtos com elementos digitais. Exige segurança desde a conceção, tratamento de vulnerabilidades durante todo o período de apoio, notificação de vulnerabilidades ativamente exploradas e uma avaliação da conformidade com marcação CE.

Atualidade dos conteúdos:

Aplica-se ao meu caso?

O CRA aplica-se a produtos com elementos digitais disponibilizados no mercado da UE, ou seja, hardware e software com ligação de dados, como controladores, dispositivos e aplicações. As obrigações recaem sobretudo sobre os fabricantes, bem como sobre importadores e distribuidores. Aplicam-se exceções, entre outros, a produtos já abrangidos por determinadas outras normas da UE.

As obrigações de notificação previstas no art. 14.º aplicam-se desde 11 de setembro de 2026, incluindo a produtos colocados no mercado antes dessa data.

Esta panorâmica não substitui aconselhamento jurídico. O texto legal ou normativo é o que faz fé; no Complass, verifica a aplicabilidade com orientações baseadas nas referências.

Base jurídica

  • Art. 2 CRAArtigo 2 Regulamento de Ciber-Resiliência Âmbito de aplicação1. O presente regulamento é aplicável aos produtos com elementos digitais disponibilizados no mercado cuja finalidade prevista ou utilização razoavelmente previsível inclua uma conexão de dados lógica ou física, direta ou indireta, a um dispositivo ou a uma rede. 2. O presente regulamento não é aplicável aos produtos com elementos digitais aos quais sejam aplicáveis os seguintes atos jurídicos da União: - a) …Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Âmbito de aplicação
  • Art. 3 CRAArtigo 3 Regulamento de Ciber-Resiliência DefiniçõesPara efeitos do presente regulamento, entende-se por: 1) «Produto com elementos digitais», um produto de software ou hardware e as suas soluções de tratamento remoto de dados, incluindo componentes de software ou hardware que sejam colocados no mercado separadamente; 2) «Tratamento remoto de dados», tratamento de dados à distância para o qual o software tenha sido concebido e desenvolvido pelo fabricante ou sob a …Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Definições
  • Art. 7 CRAArtigo 7 Regulamento de Ciber-Resiliência Produtos importantes com elementos digitais1. Os produtos com elementos digitais cuja funcionalidade principal seja a de uma categoria de produtos constante do anexo III são considerados produtos importantes com elementos digitais e estão sujeitos aos procedimentos de avaliação da conformidade a que se refere o artigo 32.o, n.os 2 e 3. Um produto com elementos digitais cuja funcionalidade principal seja a de uma categoria de produtos constante do anexo III …Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Produtos importantes com elementos digitais
  • Art. 13 CRAArtigo 13 Regulamento de Ciber-Resiliência Obrigações dos fabricantes1. Quando colocam um produto com elementos digitais no mercado, os fabricantes devem assegurar que esse produto foi concebido, desenvolvido e produzido em conformidade com os requisitos essenciais de cibersegurança constantes da parte I do anexo I. 2. Para efeitos do cumprimento do n.o 1, os fabricantes devem efetuar uma avaliação dos riscos de cibersegurança associados a um produto com elementos digitais e ter em …Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Obrigações dos fabricantes

Datas-chave

  1. Entrada em vigor do regulamento · art. 71.º, n.º 1Artigo 71 Regulamento de Ciber-Resiliência Entrada em vigor e aplicação1. O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia. 2. O presente regulamento é aplicável a partir de 11 de dezembro de 2027. Todavia, o artigo 14.o é aplicável a partir de 11 de setembro de 2026 e o capítulo IV (artigos 35.o a 51.o) é aplicável a partir de 11 de junho de 2026.Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
  2. Aplica-se o capítulo IV (organismos notificados, art. 35.º a 51.º) · art. 71.º, n.º 2Artigo 71 Regulamento de Ciber-Resiliência Entrada em vigor e aplicação1. O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia. 2. O presente regulamento é aplicável a partir de 11 de dezembro de 2027. Todavia, o artigo 14.o é aplicável a partir de 11 de setembro de 2026 e o capítulo IV (artigos 35.o a 51.o) é aplicável a partir de 11 de junho de 2026.Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
  3. Aplicam-se as obrigações de notificação do art. 14.º – incluindo para produtos existentes · art. 71.º, n.º 2, art. 69.º, n.º 3Artigo 71 Regulamento de Ciber-Resiliência Entrada em vigor e aplicação1. O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia. 2. O presente regulamento é aplicável a partir de 11 de dezembro de 2027. Todavia, o artigo 14.o é aplicável a partir de 11 de setembro de 2026 e o capítulo IV (artigos 35.o a 51.o) é aplicável a partir de 11 de junho de 2026.Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
  4. Sistemas EHR: avaliação da conformidade nos termos do Regulamento EHDS (art. 32.º, n.º 5-A); alteração do art. 13.º, n.º 4, e do art. 31.º, n.º 3 · Art. 104.º do Regulamento (UE) 2025/327Artigo 71 Regulamento de Ciber-Resiliência Entrada em vigor e aplicação1. O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia. 2. O presente regulamento é aplicável a partir de 11 de dezembro de 2027. Todavia, o artigo 14.o é aplicável a partir de 11 de setembro de 2026 e o capítulo IV (artigos 35.o a 51.o) é aplicável a partir de 11 de junho de 2026.Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
  5. Aplicação integral do regulamento · art. 71.º, n.º 2Artigo 71 Regulamento de Ciber-Resiliência Entrada em vigor e aplicação1. O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia. 2. O presente regulamento é aplicável a partir de 11 de dezembro de 2027. Todavia, o artigo 14.o é aplicável a partir de 11 de setembro de 2026 e o capítulo IV (artigos 35.o a 51.o) é aplicável a partir de 11 de junho de 2026.Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
  6. 24 horas / 72 horas / 14 dias Alerta precoce, notificação e relatório final para vulnerabilidades ativamente exploradas (relatório final 14 dias após a disponibilização de uma correção) · Art. 14 CRAArtigo 14 Regulamento de Ciber-Resiliência Obrigações dos fabricantes em matéria de comunicação de informações1. Os fabricantes devem notificar qualquer vulnerabilidade ativamente explorada existente no produto com elementos digitais de que tomem conhecimento simultaneamente à CSIRT designada como coordenadora, nos termos do n.o 7 do presente artigo, e à ENISA. Os fabricantes devem notificar essa vulnerabilidade ativamente explorada através da plataforma única de comunicação de informações criada nos termos do artigo 16.o. …Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗

Calcule gratuitamente os prazos de notificação para o seu caso

Como o Complass ajuda

  • 10fases
  • 33passos guiados
  • 17modelos de documento
  • 32requisitos no catálogo
  • Um projeto por produto

    Dez fases, da aplicabilidade e da função, passando pela classificação e avaliação de riscos, até à declaração de conformidade, às obrigações após a colocação no mercado e à responsabilidade pelos produtos.

  • Catálogo para o anexo I

    Requisitos essenciais de cibersegurança e tratamento de vulnerabilidades com estado e evidências, interligável com a IEC 62443-3-3 e o Regulamento Máquinas.

  • Vulnerabilidades no seu próprio produto

    Importe o SBOM, cruze continuamente os componentes com dados públicos de vulnerabilidades e crie o incidente do art. 14.º pré-preenchido em caso de exploração ativa.

  • Documentação técnica

    Modelos para, entre outros, avaliação de riscos, conceito de SBOM, processo de tratamento de vulnerabilidades, política de divulgação, informações para o utilizador nos termos do anexo II e declaração UE de conformidade.

As fases no módulo

  1. Aplicabilidade, função e calendário
  2. Descrição do produto, classificação e procedimento de avaliação da conformidade
  3. Avaliação de riscos de cibersegurança
  4. Requisitos essenciais de cibersegurança para o produto (anexo I, parte I)
  5. Tratamento de vulnerabilidades, SBOM e período de apoio (anexo I, parte II)
  6. Obrigações de notificação nos termos do art. 14.º (aplicáveis desde 11 de setembro de 2026)
  7. Informação ao utilizador e documentação técnica
  8. Avaliação da conformidade, declaração UE de conformidade e marcação CE
  9. Obrigações pós-comercialização
  10. Product liability under Directive (EU) 2024/2853

Catálogo: Anexo I – Requisitos essenciais de cibersegurança

Módulos adequados

Dossiê cibernético CE por produto

CRA e Regulamento Máquinas num único dossiê por produto e versão: requisitos, SBOM, vulnerabilidades, período de suporte. A documentação técnica e a declaração UE de conformidade são elaboradas pelo Complass como rascunho.

O que precisa no mínimo como Fabricantes

A primeira seleção cobre as obrigações no Complass, se se aplicarem a si. Se assim for, é o que mostra a verificação gratuita de aplicabilidade. Para a verificação de aplicabilidade

O que precisa no mínimo

Se é fabricante na aceção do CRA: esta seleção cobre as obrigações daí decorrentes no Complass. Está pré-selecionada ao testar ou encomendar.

Dimensão do portal Start

  • Cyber Resilience Act (CRA): Requisitos essenciais, avaliação da conformidade e marcação CE. (Art. 13 CRA (abre num novo separador))
  • Vulnerabilidades e técnicas de ataque (incl. SBOM, dossiê de produto CRA e MITRE ATT&CK): Tratar vulnerabilidades e, para vulnerabilidades ativamente exploradas, emitir um alerta precoce no prazo de 24 horas. (Art. 14, anexo I parte II CRA (abre num novo separador))
  • Gestão de incidentes: incluído
  • RGPD, Regulamento da IA e Proteção de denunciantes (HinSchG) (proteção base): incluído
Preço da seleção mínima
ItemPreço líquido por mês
Start S179 €
Cyber Resilience Act (CRA)incluído
Vulnerabilidades e técnicas de ataque (incl. SBOM, dossiê de produto CRA e MITRE ATT&CK)149 €
RGPD, Regulamento da IA e Proteção de denunciantes (HinSchG) (proteção base)incluído
Total328 € líquido/mês

Com pagamento anual, duração mínima de 12 meses. Pagamento mensal com um acréscimo de 15 %. Todos os preços sem IVA, atualizados a 16/10/2026.

Ajustar a seleção na visão geral de preços: Seleção mínima Fabricantes

Se for apenas importador ou distribuidor (art. 19, 20 CRA), no Complass basta o referencial CRA sem o módulo de vulnerabilidades: Start, 179 € líquido/mês. Quem disponibiliza produtos sob o seu próprio nome ou os modifica substancialmente é considerado fabricante (art. 21, 22 CRA). Ver seleção: Seleção mínima Importador ou distribuidor

Recomendado para maior impacto Oferta, não uma obrigação

Business

Mais impacto com Gestão de riscos e Gestão da continuidade de negócio (BCM), capacidade para 10 utilizadores e 2 referenciais.

598 € líquidos/mês, mais 270 € do que a seleção mínima.

Com pagamento anual, duração mínima de 12 meses. Pagamento mensal com um acréscimo de 15 %. Todos os preços sem IVA, atualizados a 16/10/2026.

Ver na vista geral de preços: Seleção mínima Fabricantes

Perguntas frequentes

Construímos máquinas com controlador. Aplica-se o CRA ou o Regulamento Máquinas?

Muitas vezes ambos. O Complass mostra as sobreposições e interliga os catálogos para que apresente evidências uma só vez.

O Complass submete a notificação à ENISA?

Não. O Complass calcula os prazos e prepara o conteúdo; a notificação é submetida através da plataforma de notificações.

Teste o Complass com os seus próprios dados

Crie o seu próprio acesso de teste, se quiser com um projeto de exemplo por referencial. Se preferir ver primeiro o Complass, peça uma demonstração.