Maturidade Cyber Resilience Act · Regulamento (UE) 2024/2847 sobre a ciber-resiliência de produtos digitais
Suas exigências CRA traduzidas em níveis de maturidade, lacunas documentadas e plano de ação detalhado.
10 temas, undefined perguntas, uma escala de 5 níveis. E a ação que faz cada nível avançar para o seguinte.
Os 10 temas do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 ao mesmo tempo.
Maturidade Cyber Resilience Act · Regulamento (UE) 2024/2847 sobre a ciber-resiliência de produtos digitais
10 temas, undefined perguntas, escala de 5 níveis.
Nordhavn Industries
53 / 100
Eles medem sua maturidade com a Datamensio
Um exemplo
Essa situação poderia ser a sua.
Vamos pegar o exemplo de uma empresa: três unidades, três planilhas, nenhuma resposta em comum.
Ninguém sabe consolidar.
A Nordhavn Industries, 2.400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta como está o grupo. Cada unidade responde na sua própria planilha, com suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico Regulamento (UE) 2024/2847 (Cyber Resilience Act) iniciado nas três unidades ao mesmo tempo, a partir das anotações de entrevista dos responsáveis. O referencial já estava escrito, os 10 temas e os níveis N1 a N5 também.
Dois gastos evitados antes de serem assumidos.
Um score de 53 em 100, um desvio concentrado em três temas. O assistente de IA identificou que duas ações do plano se repetiam com as de outra auditoria. A apresentação dos resultados ao comitê foi solicitada em uma frase.
O que isso evitou para eles
- 3unidades medidas na mesma base, em vez de três questionários para retrabalhar
- 2ações duplicadas detectadas antes do gasto
- 1apresentação dos resultados ao comitê, sem retrabalho manual
Esses números são de um exemplo. Eles poderiam ser os seus.
A norma impõe processos. A Datamensio mostra onde você está.
01
O referencial já está escrito
Temas, perguntas e níveis N1 a N5 redigidos. Você não começa de uma planilha vazia.
02
O score sai no mesmo dia
On-line, por link de autoavaliação ou em entrevista. Tema por tema, comparável ao longo do tempo.
03
O desvio vira um plano com custos definidos
Cada passagem de nível traz sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A evolução se comprova
Campanha após campanha, contra sua meta e contra seu histórico. É o que sua diretoria pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É esse mecanismo (um nível, um nível superior e a ação que liga os dois) que transforma um diagnóstico em trajetória.
Você dispõe de uma lista de componentes de software (SBOM) atualizada para os produtos que comercializa?
- N1
Não existe nenhuma lista de componentes de software. Os componentes de terceiros de um produto só são conhecidos pelos desenvolvedores que os integraram.
- N2
Listas de componentes existem para alguns produtos, montadas manualmente, sem formato comum nem atualização a cada entrega.
- N3
Um SBOM é gerado em formato padrão para os produtos do escopo, atualizado a cada versão publicada e mantido junto à documentação técnica.
- N4
O SBOM é produzido automaticamente pela cadeia de build, cruzado com os boletins de vulnerabilidades e aciona uma revisão quando um componente é afetado.
- N5
O SBOM cobre as dependências transitivas e os componentes dos fornecedores, com acompanhamento documentado das lacunas e revisão periódica das regras de aceitação de componentes.
Ação para passar de N2 para N3
Definir um formato de SBOM padrão, integrá-lo à definição de entregável de cada versão publicada e verificar sua presença na revisão de release, vinculando-o ao dossiê técnico do produto.
« Graças à Datamensio, cumprimos nossas metas com muito mais eficiência. Os serviços de inspeção do FEDER e do nosso ministério supervisor apreciaram especialmente essa abordagem, que lhes traz dados confiáveis. »
Diretora da CCI 94CCI Île-de-France
« Acreditamos que essa é a solução mais adequada para levar nosso projeto de transformação em escala e medir o impacto de acordo com nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial se combina. Associe vários para cobrir sua atividade, ou peça para a IA escrever o seu.
Faça sua primeira mediçãoem null.
Do que trata esse referencial
O Cyber Resilience Act, Regulamento (UE) 2024/2847, aplica-se a produtos com elementos digitais, de hardware ou software, disponibilizados no mercado da União Europeia. Para empresas brasileiras exportadoras, ele estabelece as exigências essenciais de cibersegurança que precisam ser comprovadas para acessar esse mercado, cobrindo concepção, desenvolvimento e produção, além de obrigações de tratamento de vulnerabilidades durante todo o período de suporte. Exige uma avaliação de conformidade, documentação técnica, declaração UE de conformidade e marcação CE. Também cria obrigações de notificação à ENISA para vulnerabilidades ativamente exploradas e incidentes graves.
A dificuldade não está em ler o texto, está em saber quem faz o quê. O CRA envolve P&D, segurança de produto, qualidade, jurídico e suporte, muitas vezes em organizações onde a cibersegurança foi pensada para o sistema de informação e não para o produto vendido. Você conhece o escopo exato dos seus produtos abrangidos e sua classificação? Consegue produzir uma lista de componentes de software atualizada para cada um deles? Quem assume hoje o compromisso sobre o período de suporte e a distribuição de correções de segurança?
Uma confusão recorrente: o CRA não é um desdobramento da NIS 2. A NIS 2 trata da segurança das entidades e de seus sistemas, o CRA trata dos produtos que uma empresa coloca no mercado. Um mesmo grupo pode ser abrangido por ambos, com responsáveis e evidências diferentes. Outro ponto de atenção: o regulamento se aplica segundo um cronograma escalonado, com as obrigações de notificação entrando em vigor antes das obrigações gerais. Tratar o assunto como um simples processo de marcação CE leva a descobrir tardiamente as frentes de fundo, em especial a gestão coordenada de vulnerabilidades.
Uma auditoria de conformidade conclui com uma lacuna ou uma conformidade, produto por produto. O diagnóstico de maturidade responde a outra pergunta: em que nível de domínio estão suas práticas de segurança de produto, e qual ação específica leva ao próximo nível. É isso que permite conduzir um programa de transformação em várias linhas de produtos e várias equipes de desenvolvimento, com uma trajetória clara para a diretoria, em vez de uma lista de exigências a marcar.
No Datamensio, o referencial está pronto para uso e você pode adaptá-lo. A IA ajusta os temas, as perguntas e os níveis ao seu portfólio de produtos, ou constrói uma versão própria a partir dos seus procedimentos de desenvolvimento e dossiês técnicos existentes. Em seguida, ela revisa as respostas, sinaliza as lacunas que se repetem entre linhas de produtos e redige a apresentação dos resultados, enquanto a decisão continua sendo sua: cada ação proposta pode ser mantida, descartada ou reescrita antes de entrar no roteiro.
Norma de referência: Regulamento (UE) 2024/2847 (Cyber Resilience Act)
Os temas avaliados
Escopo e classificação dos produtos
Inventário dos produtos com elementos digitais, papel assumido (fabricante, importador, distribuidor), classificação de acordo com as categorias do regulamento, identificação dos produtos críticos.
Exigências essenciais de segurança by design
Segurança considerada desde a concepção, configuração segura por padrão, redução da superfície de ataque, proteção de dados e comunicações, controle de acesso, registro de logs.
Análise de risco de produto
Avaliação dos riscos de cibersegurança por produto, documentação da análise, atualização conforme evoluções funcionais, consideração dos usos previstos e dos usos indevidos previsíveis.
Lista de componentes de software e cadeia de suprimentos
Produção e atualização do SBOM, identificação de componentes de terceiros e open source, avaliação de fornecedores, rastreabilidade de dependências e versões entregues.
Gestão de vulnerabilidades e divulgação coordenada
Ponto de contato para reporte, política de divulgação coordenada, prazos de tratamento, testes e revisões de segurança, acompanhamento de vulnerabilidades não corrigidas.
Atualizações de segurança e período de suporte
Definição e publicação do período de suporte, distribuição de correções, separação entre correções de segurança e evoluções funcionais, gestão do fim de suporte.
Notificação de vulnerabilidades exploradas e incidentes
Detecção e qualificação, procedimentos de alerta à ENISA e às autoridades nacionais, cumprimento de prazos, informação aos usuários, rastreabilidade das notificações.
Avaliação de conformidade e documentação técnica
Escolha do procedimento de avaliação, dossiê técnico, declaração UE de conformidade, marcação CE, recurso a um organismo notificado quando aplicável, conservação de evidências.
Informação aos usuários
Aviso de segurança, instruções de instalação e configuração, comunicação do período de suporte, alertas e informações de fim de vida.
Governança e fiscalização de mercado
Divisão de responsabilidades entre P&D, segurança, qualidade e jurídico, competências em segurança de produto, indicadores de acompanhamento, preparação para solicitações das autoridades de fiscalização de mercado.
Uma versão curta do referencial, com undefined perguntas, está disponível para autoavaliação on-line. A versão completa tem 10 temas e undefined perguntas.
Perguntas frequentes
O Cyber Resilience Act é certificável?
Não no sentido de uma certificação voluntária tipo ISO. O regulamento exige uma avaliação de conformidade, uma declaração UE de conformidade e a marcação CE, com intervenção de um organismo notificado para certas categorias de produtos. O diagnóstico Datamensio mede a maturidade das suas práticas e prepara esse dossiê, mas não emite nenhum atestado.
Qual a diferença entre este diagnóstico e uma auditoria de conformidade CRA?
A auditoria examina um produto e conclui com uma lacuna ou uma conformidade. O diagnóstico posiciona suas práticas em uma escala de maturidade, tema por tema, e indica a ação que leva ao próximo nível. Ele serve para estruturar o programa antes da auditoria e para acompanhar seu avanço.
Quanto tempo leva a avaliação?
A versão curta é preenchida em 20 a 30 minutos por um responsável de segurança de produto. A versão completa, em modo colaborativo, geralmente se estende por uma a duas semanas, sendo a maior parte do tempo dedicada a coletar informações junto a P&D, qualidade e suporte.
É possível adaptar o referencial ao nosso portfólio de produtos?
Sim. As perguntas, os níveis e os temas são modificáveis, e você pode acrescentar suas próprias exigências internas. A IA produz uma versão por família de produtos ou por unidade de negócio a partir dos seus procedimentos de desenvolvimento.
Como esse diagnóstico se articula com a NIS 2 ou a ISO 27001?
A NIS 2 e a ISO 27001 tratam da organização e de seus sistemas, o CRA trata dos produtos comercializados. As práticas de gestão de vulnerabilidades e análise de risco se sobrepõem parcialmente. Um roteiro transversal permite consolidar vários diagnósticos sem duplicar ações.
É necessária expertise técnica para responder?
As perguntas tratam de práticas de concepção, gestão de vulnerabilidades e documentação, não de configurações precisas. Um responsável de segurança de produto ou de qualidade pode respondê-las, atribuindo ao modo colaborativo as perguntas que dependem de engenharia.
É possível comparar várias linhas de produtos entre si?
Sim. O mesmo referencial pode ser aplicado em várias unidades de negócio ou linhas de produtos, com benchmark entre unidades e em relação a avaliações anteriores. As lacunas alimentam um roteiro consolidado em nível de grupo.
Onde os dados são armazenados?
Na França, na OVH, com backup na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, inclusive entre soluções europeias.