As pequenas e médias empresas europeias têm menos de ano e meio para se prepararem para a aplicação plena do Cyber Resilience Act, mas muitas continuam longe de cumprir, na prática, as exigências do novo regulamento europeu. Um inquérito da ENISA, a agência da União Europeia para a cibersegurança, mostra que a maioria das PME já ouviu falar do regulamento, mas ainda revelam fragilidades relevantes em documentação técnica, avaliação de conformidade, gestão de vulnerabilidades e práticas de segurança ao longo do ciclo de vida dos produtos.
O Cyber Resilience Act introduz requisitos horizontais de cibersegurança para produtos com elementos digitais colocados no mercado europeu. Abrange fabricantes, programadores e fornecedores de hardware e software, incluindo PME. Pretende garantir que os produtos são concebidos de forma segura, recebem atualizações de segurança e integram processos adequados de gestão de vulnerabilidades.
O regulamento entrou em vigor em dezembro de 2024, mas a aplicação será faseada. As obrigações de reporte de vulnerabilidades exploradas ativamente e incidentes graves entram em vigor a 11 de setembro de 2026. Já as principais obrigações do regulamento aplicam-se a partir de 11 de dezembro de 2027, data em que os produtos abrangidos terão de demonstrar conformidade com os requisitos europeus.
A ENISA publicou em junho o relatório SME CRA Survey Report, baseado num inquérito realizado em fevereiro e março de 2026 a 194 organizações de 31 países, incluindo 25 estados-membros da União Europeia. O objetivo foi avaliar o grau de conhecimento das PME sobre o CRA, a compreensão dos seus requisitos práticos, as práticas atuais de cibersegurança e os desafios esperados no caminho para a conformidade.
A principal conclusão é clara: há consciência, mas ainda pouca prontidão operacional. Segundo a ENISA, 66% dos inquiridos já tinham ouvido falar do Cyber Resilience Act antes do inquérito. No entanto, quando a análise passa para exigências concretas, como documentação técnica, avaliação de conformidade, gestão de vulnerabilidades, resposta a incidentes ou segurança ao longo do ciclo de vida do produto, surgem lacunas significativas.
A dimensão da empresa é um dos fatores mais determinantes. A ENISA conclui que as empresas médias apresentam níveis de maturidade superiores aos das microempresas em todos os domínios analisados. Em média, as empresas médias pontuam cerca de um ponto acima das microempresas nos cinco domínios avaliados, o que confirma que recursos, capacidade técnica e estrutura organizacional pesam fortemente na preparação para o regulamento.
As áreas mais frágeis são a resposta a incidentes e a gestão do ciclo de vida dos produtos, em particular entre microempresas. Isto é particularmente relevante porque o CRA não exige apenas uma avaliação inicial de conformidade. Obriga também as empresas a manter práticas continuadas de segurança, gerir vulnerabilidades, emitir correções e assegurar documentação atualizada durante o ciclo de vida dos produtos digitais.
A ENISA identifica ainda uma forte procura por apoio prático. Modelos de documentação técnica e templates de desenvolvimento seguro foram pedidos por mais de 70% dos inquiridos. Além disso, 142 organizações destacaram a necessidade de apoio financeiro, refletindo o peso dos custos, da falta de tempo e da escassez de competências técnicas no cumprimento das novas exigências.
Para responder a estas dificuldades, a ENISA publicou também o SME Cyber Resilience Maturity Assessment Model, uma ferramenta de autoavaliação dirigida a micro, pequenas e médias empresas. O modelo permite avaliar a maturidade de uma organização em cinco domínios: governação e documentação, gestão de risco e segurança by design e by default, gestão de vulnerabilidades e patches, gestão do ciclo de vida do produto, e sensibilização, competências e capacidades.
O modelo propõe três níveis de maturidade - básico, intermédio e avançado - e inclui uma ferramenta em Excel para apoiar a autoavaliação e acompanhar progressos. A ENISA sublinha, contudo, que atingir um nível avançado de maturidade não substitui obrigações legais nem deve ser entendido como prova de conformidade formal.
A mensagem da ENISA é direta: a preparação para o Cyber Resilience Act não pode ficar para o fim do prazo. As PME precisam de começar agora por mapear os produtos abrangidos, avaliar lacunas, criar processos mínimos de governação, documentar práticas de desenvolvimento seguro e preparar mecanismos de gestão de vulnerabilidades. O regulamento vai transformar a cibersegurança de produto numa condição de acesso ao mercado europeu.
Fabricante do iPhone supera Nvidia numa corrida marcada por estratégias opostas na IA
Aumentando a sua ambição inicial para a futura infraestrutura europeia
