A quem se destina
Desenvolve software, firmware, aplicações ou dispositivos em rede e vende-os na UE. Desde 11 de setembro de 2026, tem de notificar vulnerabilidades ativamente exploradas e incidentes graves nos termos do Cyber Resilience Act; a partir de 11 de dezembro de 2027, aplicam-se todos os requisitos aos seus produtos. O Complass conduz-o, por produto, da classificação à marcação CE e durante todo o período de suporte.
No caso de uma vulnerabilidade ativamente explorada, dispõe de 24 horas até ao alerta precoce, mesmo para produtos que já estão há muito tempo no mercado. Isso só é possível com um procedimento treinado.
Bibliotecas, open source e componentes de fornecedores: sem uma lista de materiais de software atualizada, não é possível dizer que produto é afetado por uma nova vulnerabilidade.
A Diretiva Equipamentos de Rádio, o CRA, o Data Act e, se aplicável, o Regulamento IA articulam-se entre si, com prazos e períodos transitórios próprios.
O Cyber Resilience Act aplica-se a produtos com elementos digitais que se podem ligar a um dispositivo ou a uma rede, ou seja, à maior parte do software e a quase todos os dispositivos em rede. Estão excluídos, entre outros, os dispositivos médicos e os veículos com homologação de tipo própria.
Referenciais: CRA · Diretiva Equipamentos de Rádio · IEC 62443 para fabricantes · Data Act · Regulamento da IA
Não tem a certeza de que referenciais se aplicam à sua empresa? Iniciar o teste «Estou abrangido?»
Custos, esforço e prazo: só consultor, consultor com a Complass ou implementação própria com a Complass? Abrir a calculadora de custos de conformidade
IA no produto. Se o seu produto contiver um sistema de IA, verifique a classificação nos termos do Regulamento IA. Se a IA for um componente de segurança de um produto que, nos termos do direito da UE, requer uma avaliação da conformidade por terceiros, pode ser de risco elevado. As obrigações de transparência, por exemplo no caso de chatbots, aplicam-se desde 2 de agosto de 2026. Art. 6 Regulamento IAArticle 6 AI Act Classification rules for high-risk AI systems1. Irrespective of whether an AI system is placed on the market or put into service independently of the products referred to in points (a) and (b), that AI system shall be considered to be high-risk where both of the following conditions are fulfilled: - (a) the AI system is intended to be used as a safety component of a product, or the AI system is itself a product, covered by the Union harmonisation legislation …Abrir o original (EUR-Lex – consolidated version of 27.07.2026) ↗ Art. 50 Regulamento IAArticle 50 AI Act Transparency obligations for providers and deployers of certain AI systems1. Providers shall ensure that AI systems intended to interact directly with natural persons are designed and developed in such a way that the natural persons concerned are informed that they are interacting with an AI system, unless this is obvious from the point of view of a natural person who is reasonably well-informed, observant and circumspect, taking into account the circumstances and the context of use. This …Abrir o original (EUR-Lex – consolidated version of 27.07.2026) ↗
Informação geral, não constitui aconselhamento jurídico. Esta página resume a situação jurídica de forma simplificada e não substitui a análise do seu caso concreto. O que faz fé é o texto das leis e das normas.
Software standard, aplicações e firmware: lista de materiais de software, updates e notificações durante todo o período de suporte.
Dispositivos de casa inteligente, IoT e industriais com rádio: hoje a Diretiva Equipamentos de Rádio, a partir de dezembro de 2027 o CRA.
Controladores, gateways e componentes de rede; os routers e outros componentes de rede são em parte considerados produto importante, com um procedimento de conformidade mais exigente. A IEC 62443-4-1 e 4-2 são um quadro de referência corrente.
Produtos com IA incorporada: classificação nos termos do Regulamento IA, além do CRA.
Classificação, avaliação de riscos, requisitos nos termos do anexo I, documentação técnica e declaração de conformidade, conduzidas por fases.
Saber mais sobre a funcionalidadeImportar listas de materiais de software (CycloneDX, SPDX), associar vulnerabilidades e avisos de fabricantes (CSAF) e exportar SBOM e VEX para clientes e autoridades.
Saber mais sobre a funcionalidadeVulnerabilidade ativamente explorada ou incidente grave: o Complass mostra as três fases de notificação com prazo e as informações exigidas.
Saber mais sobre a funcionalidadeUm referencial próprio para fabricantes com modelos para o processo de desenvolvimento, o modelo de ameaças e o processo PSIRT, associado ao CRA.
O modelo setorial «Fabricantes» pré-seleciona o CRA, a Diretiva Equipamentos de Rádio e a gestão de vulnerabilidades com SBOM. O Regulamento da IA acrescenta-o se precisar.
disponível
a partir de 427 € por mês mais IVA no pacote Start, tamanho S, pagamento anual
disponível
a partir de 79 € por mês mais IVA no pacote Consultório, tamanho S, pagamento anual
Todos os preços destinam-se a empresas, não a consumidores. Entendem-se líquidos mais IVA com pagamento anual; com pagamento mensal aplica-se um acréscimo de 15 %. Atualizado em 16/10/2026. Enterprise e grupos empresariais sob consulta.
Sim. Também o software vendido de forma autónoma é um produto com elementos digitais. Os serviços cloud puros sem ligação a um produto, em regra, não estão abrangidos pelo CRA, mas pela NIS2. Já o tratamento remoto de dados sem o qual um produto não pode cumprir a sua função faz parte do produto.
Tem de notificar vulnerabilidades ativamente exploradas e incidentes de segurança graves através da plataforma única de notificação, com alerta precoce em 24 horas. Isto aplica-se também a produtos que colocou no mercado antes dessa data.
A série de normas não é obrigatória, mas é frequentemente exigida para componentes industriais. A IEC 62443-4-1 descreve os requisitos para um processo de desenvolvimento seguro, a IEC 62443-4-2 os requisitos técnicos de segurança para componentes. O Complass associa ambas aos requisitos do CRA.
Crie o seu próprio acesso de teste, se quiser com um projeto de exemplo por referencial. Se preferir ver primeiro o Complass, peça uma demonstração.
