O Cyber Resilience Act torna-se um desafio para as PME
O Cyber Resilience Act (CRA) está em vigor desde dezembro de 2024 e coloca as pequenas e médias empresas perante novos desafios. A partir de setembro de 2026 aplicam-se os primeiros deveres de comunicação, mas o apoio estatal às PME continua limitado. Associações como a TeleTrusT criticam já que o auxílio previsto fica muito aquém das necessidades reais.
Ao contrário de outras regulamentações, como a NIS-2, no CRA não existem excepções em função da dimensão. Todos os fabricantes, importadores e distribuidores de produtos com elementos digitais – de software a hardware e dispositivos IoT – têm de aplicar medidas abrangentes de cibersegurança. A direcção assume responsabilidade pessoal em caso de incidente.
O apoio estatal continua insuficiente
O actual anteprojecto da lei de execução do CRA revela a dimensão do problema: o Estado prevê apenas 1,28 milhões de euros por ano para apoio. Para comparação: só para formação na administração federal, a lei NIS2 previa o quádruplo. Esta lacuna de apoio deixa claro que as PME terão de conduzir por si a implementação.
A janela regulamentar está a fechar-se: as empresas têm apenas mais alguns meses até que se apliquem as primeiras obrigações duras. Quem não estiver preparado até setembro de 2026 arrisca consequências consideráveis.
Cinco passos para a preparação face ao CRA
Passo 1: esclarecer a abrangência
Qualquer produto que possa ligar-se directa ou indirectamente a um equipamento ou a uma rede está abrangido pelo CRA. Isto vale tanto para dispositivos IoT como para produtos puramente de software, independentemente de a ligação ser efectivamente estabelecida. Não estão abrangidas as soluções SaaS e os componentes de código aberto. As empresas têm primeiro de fazer um levantamento completo dos seus produtos.
Passo 2: criar processos de comunicação
A partir de 11 de setembro de 2026 têm de ser comunicadas as vulnerabilidades activamente exploradas e os incidentes de segurança graves. O calendário é apertado:
- Primeira comunicação no prazo de 24 horas
- Comunicação de seguimento no prazo de 72 horas
- Relatório final o mais tardar 14 dias após a disponibilização de uma medida correctiva
As empresas que ainda não têm processos internos de gestão de vulnerabilidades e de resposta a incidentes têm de os estabelecer agora – não como projecto de TI, mas como tema operacional.
Passo 3: consolidar o security by design
O CRA exige que a segurança faça parte do desenvolvimento do produto desde o início. As maiores lacunas surgem onde as decisões de arquitectura sobre autenticação, controlo do fluxo de dados e multi-inquilino são tomadas sem uma perspectiva explícita de segurança. As PME não têm de procurar um processo perfeito, mas desenvolver uma abordagem demonstrável e documentada.
Passo 4: inventariar a cadeia de fornecimento e as dependências de código aberto
Muitos produtos são hoje uma combinação de desenvolvimento próprio, bibliotecas de código aberto, serviços de cloud e componentes de terceiros. O CRA aborda precisamente estes riscos: os fabricantes são responsáveis também pelos componentes de terceiros incorporados. Uma Software Bill of Materials (SBOM) – uma visão estruturada de todos os componentes de software usados – é a ferramenta central para criar transparência e manter a capacidade de agir em caso de incidente.
Passo 5: aproveitar as possibilidades de financiamento
Com o programa SECURE, a UE disponibiliza um total de 16,5 milhões de euros de apoio financeiro directo a PME que fabricam, desenvolvem ou distribuem produtos com elementos digitais. São elegíveis, entre outros, análises de risco, testes de intrusão e avaliações de segurança. Podem candidatar-se empresas com menos de 250 colaboradores e até 50 milhões de euros de volume de negócios anual.
Entender a regulamentação como vantagem competitiva
As exigências do CRA abrem também oportunidades estratégicas. Quem estiver em conformidade com o CRA torna-se parceiro preferencial em cadeias de fornecimento nas quais os clientes terão futuramente de insistir em padrões de segurança demonstráveis. Inversamente, quem não conseguir cumprir arrisca perder encomendas.
Ari Albertini, CEO da FTAPI, sublinha: "As novas regras obrigam as empresas a pensar a cibersegurança de forma estratégica. Este é o momento em que se decide quem será, nos próximos anos, ainda visto como um parceiro tecnológico fiável. As PME que agirem agora compram um avanço que as outras já não conseguirão recuperar."
Perspectivas: o fim de uma era de cibersegurança voluntária
O CRA marca o fim de uma era em que a cibersegurança era um tema exclusivo de especialistas. O BSI já assumiu a liderança da supervisão europeia de mercado AdCo CRA, cabendo a Anna Schwendicke essa responsabilidade. As empresas que entenderem a segurança como uma evidência operacional e estratégica não protegem apenas os seus produtos, garantindo também a sua capacidade de mercado a longo prazo numa Europa regulamentada.
O tempo das medidas voluntárias está a esgotar-se. As PME têm de agir agora, para construir até setembro de 2026 a necessária preparação face ao CRA. Quem esperar arrisca não só problemas de conformidade, mas também a perda de importantes oportunidades de mercado numa economia digital cada vez mais consciente da segurança.
