De que documentos precisa o fabricante segundo o Regulamento de Ciber-Resiliência e que prazos se aplicam?

Três prazos

As datas são fixadas pelo artigo 71.º, n.º 2.

• 11 de junho de 2026: capítulo IV sobre autoridades notificadoras e organismos notificados (artigos 35.º a 51.º)
• 11 de setembro de 2026: obrigações de comunicação dos fabricantes (artigo 14.º), para todos os produtos abrangidos pelo regulamento
• 11 de dezembro de 2027: todas as restantes obrigações, incluindo a lista de materiais do software

A quem se aplica

O regulamento aplica-se aos produtos com elementos digitais disponibilizados no mercado cuja finalidade prevista ou utilização razoavelmente previsível inclua uma ligação de dados lógica ou física, direta ou indireta, a um dispositivo ou a uma rede (artigo 2.º, n.º 1). Pode ser software, um aparelho ligado ou uma máquina com comando e interface de dados. Alguns produtos com regras próprias, como os dispositivos médicos, ficam excluídos (artigo 2.º, n.º 2).

Os produtos colocados no mercado antes de 11 de dezembro de 2027 só ficam sujeitos aos restantes requisitos após uma modificação substancial (artigo 69.º, n.º 2). As obrigações de comunicação aplicam-se-lhes em qualquer caso (artigo 69.º, n.º 3).

Que documentos têm de estar prontos a partir de 11 de dezembro de 2027

• Documentação técnica antes da colocação no mercado, com pelo menos os elementos do anexo VII (artigo 13.º, n.º 12, e artigo 31.º)
• Nela: descrição geral, conceção e tratamento de vulnerabilidades, avaliação dos riscos, base para fixar o período de apoio, normas aplicadas, relatórios de ensaio e cópia da declaração
• Declaração UE de conformidade segundo o anexo V (artigo 28.º), junta ao produto ou como declaração de conformidade UE simplificada segundo o anexo VI, com o endereço Internet exato (artigo 13.º, n.º 20)
• Informações e instruções para os utilizadores segundo o anexo II, em papel ou em formato eletrónico (artigo 13.º, n.º 18)
• Data de fim do período de apoio, pelo menos mês e ano, claramente visível no momento da compra (artigo 13.º, n.º 19)
• Lista de materiais do software num formato de uso corrente e legível por máquina, que abranja pelo menos as dependências de nível superior (anexo I, parte II, ponto 1)

A partir de quando se aplica a LMS

As fontes dão datas diferentes. O texto é claro: o artigo 71.º, n.º 2, antecipa apenas o artigo 14.º e o capítulo IV. A LMS está na parte II do anexo I e aplica-se portanto a partir de 11 de dezembro de 2027. O regulamento não exige a sua publicação: se o fabricante a disponibilizar aos utilizadores, indica onde (anexo II, ponto 9). À autoridade de fiscalização do mercado é fornecida mediante pedido fundamentado (anexo VII, ponto 8). Formato e elementos podem ser fixados pela Comissão através de um ato de execução (artigo 13.º, n.º 24).

O que convém documentar a partir de 11 de setembro de 2026

As vulnerabilidades ativamente exploradas e os incidentes graves são comunicados através da plataforma única de comunicação de informações: alerta precoce em 24 horas, notificação em 72 horas e relatório final, nas vulnerabilidades o mais tardar 14 dias depois de estar disponível uma medida corretiva e nos incidentes no prazo de um mês (artigo 14.º, n.os 2 e 4). Segundo a Comissão, a plataforma funciona desde 11 de setembro de 2026.

Convém registar quem comunica, quando o fabricante teve conhecimento do facto e o que comunicou. Segundo as orientações da Comissão, não é preciso comunicar retroativamente as vulnerabilidades cuja exploração ativa o fabricante já conhecia antes de 11 de setembro de 2026. O tratamento técnico de vulnerabilidades não é abordado nesta página.

Durante quanto tempo conservar

A documentação técnica e a declaração, pelo menos dez anos após a colocação do produto no mercado ou durante o período de apoio, se este for mais longo (artigo 13.º, n.º 13). O mesmo vale para as informações dos utilizadores (artigo 13.º, n.º 18). O período de apoio é de pelo menos cinco anos, salvo se o produto se destinar a ser utilizado durante menos tempo (artigo 13.º, n.º 8). Os importadores conservam uma cópia da declaração durante o mesmo tempo (artigo 19.º, n.º 6).

Em que ponto estão as empresas

A ENISA fez em 2026 um inquérito junto de PME (194 respostas de 31 países e regiões, não representativo segundo a ENISA): 66 % conheciam o regulamento antes do inquérito. 42 % disseram compreender os documentos exigidos apenas de forma limitada ou nada. Mais de 70 % esperavam modelos de documentação técnica.

O que fazer agora

• Verificar para cada produto se tem ligação de dados e se está abrangido pelo regulamento.
• Designar quem comunica na plataforma e registar as datas.
• Fixar o período de apoio de cada produto e fundamentá-lo.
• Estruturar a documentação técnica segundo o anexo VII.
• Planear que a declaração e as informações para os utilizadores fiquem num endereço fixo.

Perguntas frequentes