Maturidade Cyber Resilience Act · Regulamento (UE) 2024/2847 relativo à ciber-resiliência dos produtos digitais

O Cyber Resilience Act, regulamento (UE) 2024/2847, aplica-se aos produtos com elementos digitais, físicos ou de software, disponibilizados no mercado da União. Fixa exigências essenciais de cibersegurança para a conceção, o desenvolvimento e a produção, e obrigações de tratamento das vulnerabilidades durante todo o período de suporte. Impõe uma avaliação de conformidade, uma documentação técnica, uma declaração UE de conformidade e a marcação CE. Cria ainda obrigações de notificação à ENISA para as vulnerabilidades ativamente exploradas e os incidentes graves.

A dificuldade não está em ler o texto, está em saber quem faz o quê. O CRA envolve a I&D, a segurança do produto, a qualidade, o jurídico e o suporte, muitas vezes em organizações onde a cibersegurança foi pensada para o sistema de informação e não para o produto vendido. Conhece o perímetro exato dos seus produtos abrangidos e a respetiva classificação? Sabe produzir uma nomenclatura de software atualizada para cada um deles? Quem se compromete hoje com o período de suporte e com a distribuição das correções de segurança?

Uma confusão surge com frequência: o CRA não é uma vertente da NIS 2. A NIS 2 incide sobre a segurança das entidades e dos seus sistemas, o CRA sobre os produtos que uma empresa coloca no mercado. Um mesmo grupo pode ser abrangido por ambos, com responsáveis e provas diferentes. Outro ponto de atenção: o regulamento aplica-se segundo um calendário escalonado, com as obrigações de notificação a entrar em vigor antes das obrigações gerais. Tratar o assunto como um simples processo de marcação CE leva a descobrir tardiamente os trabalhos de fundo, em particular a gestão coordenada das vulnerabilidades.

Uma auditoria de conformidade conclui com uma lacuna ou uma conformidade, produto a produto. O diagnóstico de maturidade responde a outra pergunta: em que nível de domínio se situam as suas práticas de segurança do produto, e que ação precisa faz passar para o nível seguinte. É isto que permite pilotar um programa de transformação em várias gamas e várias equipas de desenvolvimento, com uma trajetória clara em comité de direção em vez de uma lista de exigências a verificar.

No Datamensio, o referencial está pronto a usar e pode ser adaptado. A IA ajusta os domínios, as perguntas e os níveis ao seu portefólio de produtos, ou constrói uma vertente a partir dos seus procedimentos de desenvolvimento e dos seus processos técnicos existentes. De seguida, revê as respostas, assinala as lacunas que se repetem de uma gama para outra e redige o relatório de resultados, enquanto a decisão continua a ser sua: cada ação proposta mantém-se, é afastada ou reescrita antes de entrar no roteiro.