CRA setorial • máquinas e equipamentos
Cyber Resilience Act para máquinas e equipamentos industriais: guia para fabricantes brasileiros
Guia em português para delimitar produto, software, serviços remotos, segurança funcional, evidências e responsabilidades no CRA e no Regulamento de Máquinas da União Europeia.
Compartilhe este guia com a equipe.
Os links preservam a fonte e identificam o canal de origem. Para Instagram e TikTok, use o compartilhamento do celular.
Máquinas conectadas exigem duas perguntas antes de qualquer checklist
A primeira é comercial: qual produto, versão e entidade serão colocados no mercado da União Europeia? A segunda é técnica: quais elementos digitais, conexões, serviços remotos e atualizações fazem parte da operação esperada desse produto?
O CRA cobre produtos com elementos digitais disponibilizados no mercado da União Europeia, inclusive produtos finais e componentes vendidos separadamente quando os critérios forem atendidos. A presença de firmware, HMI, gateway, aplicativo ou acesso remoto é um sinal para investigar — não um veredito automático.
Não comece pelo “sim ou não”. Comece por uma fronteira de produto versionada, um papel econômico confirmado e uma lista de decisões que ainda dependem de especialista.
Desenhe a fronteira do produto antes de avaliar prontidão
Família, modelo, configuração, uso, ambiente, operador, vida esperada e funções relacionadas à segurança.
Firmware, sistema operacional, bibliotecas, versões, origem, atualização e componentes de terceiros.
Ethernet, Wi-Fi, celular, USB, protocolos industriais, acesso local, nuvem e manutenção remota.
Painel web, aplicativo móvel, API, licença, telemetria, autenticação e dependências necessárias ao funcionamento.
Fabricante, integrador, distribuidor, importador, marca própria e responsável por alterações.
Período declarado, monitoramento, correção, comunicação, atualização e fim de suporte.
CRA e Regulamento de Máquinas conversam, mas não viram uma única obrigação
O próprio texto do CRA reconhece que determinados produtos também podem estar no alcance do Regulamento (UE) 2023/1230 relativo às máquinas. Ele admite que requisitos essenciais podem tratar riscos de cibersegurança semelhantes, especialmente proteção contra corrupção e segurança e confiabilidade dos sistemas de comando.
Essa proximidade pode reduzir retrabalho, desde que a empresa demonstre a cobertura com avaliação de risco, evidências, normas ou especificações pertinentes e preserve os procedimentos de avaliação aplicáveis a cada regulamento. Uma evidência reutilizada precisa apontar claramente qual produto, versão, requisito e decisão sustenta.
Organize o trabalho no ciclo real do produto
- 01Antes de colocar no mercado
Delimite produto e uso, avalie riscos, selecione requisitos, planeje controles, organize documentação e confirme a rota de avaliação.
- 02No lançamento e na entrega
Controle versão, declaração, marcação, instruções, período de suporte, canal de vulnerabilidades e informação necessária ao usuário.
- 03Durante o suporte
Monitore sinais, confirme alcance, corrija, atualize, comunique e preserve a trilha de decisão por produto e versão.
- 04Em alteração ou retrofit
Registre mudança, responsável, impacto em risco, conectividade, função, documentação e necessidade de reavaliação.
A Comissão Europeia resume a jornada do fabricante nesses três momentos — antes, na colocação e depois — e a orientação de julho de 2026 detalha temas como escopo, modificação substancial, período de suporte, reporte e avaliação de risco.
Use uma matriz única para impedir decisões desconectadas
O modelo abaixo não calcula conformidade. Ele cria uma fila controlável de fatos, fontes, responsáveis e lacunas para que engenharia, produto, qualidade, cibersegurança, exportação e especialistas trabalhem sobre o mesmo produto.
- Uma linha por decisãoNão misture diferentes versões ou responsáveis na mesma resposta.
- Fonte identificávelRegistre onde a evidência existe sem copiar segredo para o arquivo.
- Lacuna explícita“Não confirmado” é melhor do que uma certeza sem fonte.
- Encaminhamento competenteMarque o que exige jurídico, laboratório, segurança funcional ou organismo de avaliação.
Perguntas frequentes
Não. Uma máquina que também seja um produto com elementos digitais pode exigir análise nos dois regulamentos. Requisitos que tratam riscos semelhantes podem gerar sinergias, mas o fabricante precisa demonstrá-las e seguir as rotas de avaliação aplicáveis.
Não é seguro concluir apenas pelo nome do componente. É preciso confirmar como ele é disponibilizado no mercado, sua função, conexão, integração, marca, versão e papel econômico de cada empresa.
Pode. Alterações de software, função, conectividade, risco ou uso pretendido devem ser registradas e avaliadas. A qualificação de uma modificação substancial depende dos fatos e da orientação aplicável.
Comece por uma família exportada ou planejada para a União Europeia e descreva produto, versões, interfaces, serviços remotos, software, responsáveis, suporte e evidências antes de tentar pontuar maturidade.
Fontes oficiais e critérios de revisão
Conteúdo educacional e operacional. Aplicabilidade, classificação, normas, segurança funcional e procedimentos de avaliação devem ser confirmados para o produto e a operação concretos.