Desenvolve máquinas, controladores, componentes ou software e coloca-os no mercado da UE. Com o Cyber Resilience Act e o Regulamento Máquinas, a cibersegurança passa a fazer parte da marcação CE. O Complass acompanha-o, produto a produto, até à declaração de conformidade.
Notificar vulnerabilidades ativamente exploradas e incidentes graves, com alerta precoce no prazo de 24 horas, desde 11 de setembro de 2026 Art. 14 CRAArtigo 14 Regulamento de Ciber-ResiliênciaObrigações dos fabricantes em matéria de comunicação de informações1. Os fabricantes devem notificar qualquer vulnerabilidade ativamente explorada existente no produto com elementos digitais de que tomem conhecimento simultaneamente à CSIRT designada como coordenadora, nos termos do n.o 7 do presente artigo, e à ENISA. Os fabricantes devem notificar essa vulnerabilidade ativamente explorada através da plataforma única de comunicação de informações criada nos termos do artigo 16.o. …Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Desenvolver produtos de acordo com os requisitos do anexo I do CRA e documentar a avaliação de riscos Art. 13 CRAArtigo 13 Regulamento de Ciber-ResiliênciaObrigações dos fabricantes1. Quando colocam um produto com elementos digitais no mercado, os fabricantes devem assegurar que esse produto foi concebido, desenvolvido e produzido em conformidade com os requisitos essenciais de cibersegurança constantes da parte I do anexo I. 2. Para efeitos do cumprimento do n.o 1, os fabricantes devem efetuar uma avaliação dos riscos de cibersegurança associados a um produto com elementos digitais e ter em …Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Tratar vulnerabilidades durante o período de suporte, com SBOM e atualizações de segurança gratuitas Anhang I Teil II CRAAnexo I Parte II Regulamento de Ciber-ResiliênciaRequisitos de tratamento de vulnerabilidadesOs fabricantes de produtos com elementos digitais devem: 1) Identificar e documentar vulnerabilidades e componentes existentes nos produtos com elementos digitais, nomeadamente elaborando uma lista de materiais do software num formato de uso corrente e legível por máquina que abranja, pelo menos, as dependências de nível superior dos produtos; 2) Em relação aos riscos que os produtos com elementos digitais …Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Documentação técnica, avaliação da conformidade, declaração UE de conformidade e marcação CE, a partir de 11 de dezembro de 2027 Art. 71 CRAArtigo 71 Regulamento de Ciber-ResiliênciaEntrada em vigor e aplicação1. O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia. 2. O presente regulamento é aplicável a partir de 11 de dezembro de 2027. Todavia, o artigo 14.o é aplicável a partir de 11 de setembro de 2026 e o capítulo IV (artigos 35.o a 51.o) é aplicável a partir de 11 de junho de 2026.Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Proteção contra a corrupção e segurança do sistema de controlo nos termos do Regulamento Máquinas, a partir de 20 de janeiro de 2027 Anexo III, ponto 1.1.9, Regulamento MáquinasAnexo III Secção 1.1.9 Regulamento MáquinasProteção contra a corrupçãoA máquina ou o produto conexo devem ser concebidos e fabricados de modo a que a ligação de outro dispositivo a essa máquina, seja por meio de uma funcionalidade do próprio dispositivo ligado seja por meio de um dispositivo remoto que comunique com a máquina ou o produto conexo, não dê origem a uma situação perigosa. Os componentes de hardware para transmitir sinal ou dados, pertinentes para a ligação ou o acesso a …Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 165, 29.6.2023; Art. 3, 8, 20, 25a–25e and 47 as consolidated on 27.07.2026Abrir o original (EUR-Lex – OJ L 165, 29.6.2023; Art. 3, 8, 20, 25a–25e and 47 as consolidated on 27.07.2026) ↗
Informação geral, não constitui aconselhamento jurídico. Esta página resume a situação jurídica de forma simplificada e não substitui a análise do seu caso concreto. O que faz fé é o texto das leis e das normas.
Setores e produtos
Construção de máquinas e instalações Área prioritária
CRA e Regulamento Máquinas lado a lado, por máquina, do controlador ao acesso remoto. A área que o Complass cobre com maior profundidade.
Componentes, controladores e IoT
PLC, sensores e dispositivos conectados, com a IEC 62443-4-2 como base. Produtos de rádio, adicionalmente, segundo a Diretiva Equipamentos de Rádio, com a EN 18031.
Software
O software autónomo com elementos digitais está abrangido pelo CRA. Os serviços de nuvem puros, sem produto associado, são em regra regulados pela NIS2 e não pelo CRA.
Produtos conectados e IA
Acesso a dados para os utilizadores de produtos conectados nos termos do Regulamento dos Dados, funções de IA no produto nos termos do Regulamento da IA.
Como o Complass apoia
CRA por produto
Classificação como produto padrão, importante ou crítico, requisitos do anexo I, avaliação da conformidade e documentação até à marcação CE.
Manter uma SBOM por produto e exportá-la em CycloneDX ou SPDX. Identificar e avaliar as vulnerabilidades conhecidas dos componentes e declará-las em VEX.
Desenvolvimento seguro de produtos segundo a IEC 62443-4-1 e requisitos de componentes segundo a 62443-4-2, ligados ao CRA.
Pacote adequado
O que precisa no mínimo como Fabricantes
A primeira seleção cobre as obrigações no Complass, se se aplicarem a si. Se assim for, é o que mostra a verificação gratuita de aplicabilidade. Para a verificação de aplicabilidade
O que precisa no mínimo
Se é fabricante na aceção do CRA: esta seleção cobre as obrigações daí decorrentes no Complass. Está pré-selecionada ao testar ou encomendar.
Vulnerabilidades e técnicas de ataque (incl. SBOM, dossiê de produto CRA e MITRE ATT&CK): Tratar vulnerabilidades e, para vulnerabilidades ativamente exploradas, emitir um alerta precoce no prazo de 24 horas. (Art. 14, anexo I parte II CRA (abre num novo separador))
Gestão de incidentes: incluído
RGPD, Regulamento da IA e Proteção de denunciantes (HinSchG) (proteção base): incluído
Preço da seleção mínima
Item
Preço líquido por mês
Start S
179 €
Cyber Resilience Act (CRA)
incluído
Vulnerabilidades e técnicas de ataque (incl. SBOM, dossiê de produto CRA e MITRE ATT&CK)
149 €
RGPD, Regulamento da IA e Proteção de denunciantes (HinSchG) (proteção base)
incluído
Total
328 € líquido/mês
Com pagamento anual, duração mínima de 12 meses. Pagamento mensal com um acréscimo de 15 %. Todos os preços sem IVA, atualizados a 16/10/2026.
Bom saber: Pode cumprir as obrigações também sem o Complass. O Complass apoia-o na implementação e na evidência, mas não substitui aconselhamento jurídico. Informações legais
Outros pacotes
Para produtos abrangidos pelo CRA existe a Branchenvorlage (modelo setorial) Fabricante. Os fabricantes de dispositivos médicos não estão abrangidos pelo CRA; para eles destina-se o modelo Tecnologia médica.
disponível
Modelo setorial: Fabricantes
Cyber Resilience Act por produto até à marcação CE
Diretiva Equipamentos de Rádio com a EN 18031
Gestão de vulnerabilidades com SBOM
a partir de 427 € por mês mais IVA no pacote Start, tamanho S, pagamento anual
Todos os preços destinam-se a empresas, não a consumidores. Entendem-se líquidos mais IVA com pagamento anual; com pagamento mensal aplica-se um acréscimo de 15 %. Atualizado em 16/10/2026. Enterprise e grupos empresariais sob consulta.
Perguntas frequentes
O nosso produto está abrangido pelo CRA?+
O CRA aplica-se a produtos com elementos digitais que podem ser ligados, direta ou indiretamente, a um dispositivo ou a uma rede. Isto abrange a maioria dos controladores, máquinas conectadas e software. Existem exceções, entre outras, para produtos com regras próprias, como dispositivos médicos e veículos. O teste «Estou abrangido?» e a classificação por produto no Complass mostram em que classe se enquadra o seu produto.
Como se relacionam o CRA e o Regulamento Máquinas?+
Ambos exigem cibersegurança, mas sob perspetivas diferentes: o CRA para o produto com elementos digitais, o Regulamento Máquinas para o funcionamento seguro da máquina. Muitos documentos, como a apreciação de riscos e a documentação técnica, servem para ambos. O Complass mantém os dois referenciais lado a lado, por produto.
Fabricamos e temos também produção própria. Precisamos de duas soluções?+
Não. No Complass gere os seus produtos segundo o CRA e o Regulamento Máquinas e a sua própria operação segundo a NIS2, a ISO 27001 ou a IEC 62443, na mesma conta.
