Cyber Resilience Act: Novas linhas guia da UE são o mapa que faltava para conformidade
Índice de Conteúdos
O que mudou com as novas linhas guia do Cyber Resilience Act?
As linhas guia da UE esclarecem o âmbito de aplicação, software open source, alterações substanciais e obrigações de notificação. A conformidade agora tem um roteiro prático.
Âmbito de aplicação: quem está dentro?
Se você desenvolve hardware ou software com conectividade digital, preste atenção. As linhas guia explicam o que é um 'produto com elementos digitais' (PED) e quais as exceções. Por exemplo, componentes puramente mecânicos ou softwares de desenvolvimento não cobertos. Ainda tem dúvidas? O documento traz 50 exemplos práticos, como um termostato inteligente (incluso) vs. um aspirador não conectado (excluído).
Ler as linhas guia é menos divertido do que limpar rejuntas de azulejos com uma escova de dentes, mas é necessário. Pelo menos agora temos exemplos reais, e não aquelas metáforas vagas de 'cenário digital em evolução'.
Software open source: finalmente um norte
Uma das maiores dúvidas era sobre o tratamento do open source. As linhas guia confirmam que apenas o software distribuído comercialmente ou integrado em produtos pagos está sujeito ao CRA. Projetos de desenvolvedores individuais ou comunidades não comerciais estão fora, a menos que haja 'monetização indireta' (como suporte pago).
Se você contribui para um projeto open source, pode respirar aliviado (por enquanto). Mas se sua startup vende uma versão premium com funcionalidades adicionais, prepare-se para os requisitos de cibersegurança.
Alterações substanciais: quando atualizar um produto exige nova conformidade?
Atualizar o firmware para corrigir bugs não é considerado alteração substancial. Mas adicionar uma nova função de conexão ou mudar a finalidade original do produto (ex: de uso doméstico para industrial) exige reavaliação. As linhas guia dão exemplos úteis, como a diferença entre um patch de segurança e uma nova funcionalidade de IA.
Obrigações de notificação: reporte vulnerabilidades ativamente
Fabricantes devem notificar a ENISA dentro de 24 horas após tomar conhecimento de uma vulnerabilidade explorada ativamente. E os usuários finais? As linhas guia recomendam canais claros de reporte. Se você achava que só precisava de uma página de contato, pense de novo.
Em suma: as linhas guia são um respiro. A conformidade não é mais um labirinto; é um mapa com algumas rotas ainda a desbravar. Use-as para começar seu inventário de produtos e avaliar riscos.
FAQ
O CRA se aplica a softwares puramente digitais, como aplicativos?
Sim, desde que sejam disponibilizados no mercado da UE e tenham elementos digitais (ex: conectividade, processamento de dados). Aplicativos offline simples podem estar isentos.
As linhas guia são vinculativas?
Não, mas representam a interpretação oficial da Comissão Europeia. Segui-las reduz o risco de não conformidade e pode ser usado como defesa em eventuais fiscalizações.
Qual o prazo mais crítico?
Setembro de 2026 para a maioria dos produtos; dezembro de 2027 para alguns prazos de reporte. Comece a adequação agora, especialmente a documentação técnica.
Comitê Editorial NakedPact
Artigo criado pela redação da NakedPact. Nossa missão é analisar, simplificar e expor cláusulas abusivas e riscos ocultos em contratos cotidianos para proteger cidadãos e consumidores.
Fontes e Referências Jurídicas
Você é proprietário de um site?
Quer comunicar aos seus utilizadores a sua transparência no tratamento de dados? Utilize dinamicamente o nosso selo e mostre a conformidade da sua plataforma.
Leituras Recomendadas
🛡️ Proteja seus direitos com um clique
Não corra o risco de assinar cláusulas abusivas. Instale a extensão gratuita do NakedPact para Chrome ou Firefox e analise instantaneamente qualquer contrato na web.
Não confie, verifique.
Agora que conhece os riscos, não assine às cegas. Carregue o seu contrato no NakedPact e deixe a IA encontrar as cláusulas ocultas. É 100% gratuito.
Analise o seu Contrato Agora