Base de Conhecimento de Conformidade de Hardware

Uma referência aberta e verificada sobre as leis da UE que regem a cibersegurança de hardware e IoT — CRA, RED, NIS2 e o Cybersecurity Act/EUCC, num só lugar em vez de quatro.

Preparado pela Platanor Technologies (platanor.com) — uma empresa de segurança embarcada para fabricantes de dispositivos IoT.

Conteúdo: Início rápido · O que é isto · Estrutura do repositório · Metodologia · Utilizar com um LLM · Claude Skill · Feedback · Licença · Discussões

Início rápido

Só quer uma resposta? Abra cra/faq.md, red/faq.md, nis2/faq.md ou csa/faq.md — cada um é um guia prático de perguntas e respostas para fabricantes de hardware/IoT, sem necessidade de conhecimentos jurídicos.
Trabalha com um LLM? Introduza um guia processado no seu prompt e pergunte, por exemplo: "Usando cra/product-risk-classes.md e red/essential-requirements.md, um baby monitor ligado por Wi-Fi precisa de um organismo notificado, ou podemos fazer autoavaliação?"
Precisa do texto legal exato? Cada guia processado remete para a sua fonte em primary-sources/ — texto oficial completo, dividido por artigo.
Quer que isto seja carregado automaticamente no Claude? Consulte Instalar isto como um Claude Skill.

⚠️ Aviso legal — leia antes de utilizar

Isto NÃO constitui aconselhamento jurídico. Os materiais deste repositório são uma base de conhecimento de referência sobre as principais peças da legislação da UE que afetam a cibersegurança de hardware e IoT — o Cyber Resilience Act (Regulamento (UE) 2024/2847), a Diretiva Equipamentos de Rádio (Diretiva 2014/53/UE e o seu ato delegado em matéria de cibersegurança), a Diretiva NIS2 (Diretiva (UE) 2022/2555) e o Cybersecurity Act (Regulamento (UE) 2019/881, incluindo o quadro de certificação EUCC) — preparados para o ajudar a orientar-se no tema, e não para fundamentar decisões jurídicas ou de conformidade.

Esforçamo-nos por manter os factos precisos e verificados face ao texto principal de cada regulamento (EUR-Lex), mas não damos qualquer garantia de completude ou atualidade — esta legislação e as normas que a sustentam (M/606, normas harmonizadas, atos delegados/de execução) ainda estão em desenvolvimento e podem mudar.
Antes de tomar qualquer decisão sobre a conformidade do seu produto ou organização — consulte um advogado ou consultor regulatório qualificado que possa avaliar o seu caso específico.
Esta é uma base de conhecimento viva e em crescimento: os materiais são regularmente ampliados, corrigidos e reverificados. O que é exato hoje pode ter mudado num prazo ou numa interpretação — verifique sempre a data da última verificação de um ficheiro face ao estado atual do regulamento.
Encontrou um erro ou imprecisão? Agradecemos o feedback (ver "Feedback" abaixo).

O que é isto

Fabricantes de hardware e IoT que vendem para a UE estão cada vez mais sujeitos a mais de um regulamento ao mesmo tempo — o CRA rege o produto, a RED rege especificamente os equipamentos de rádio (com os seus próprios requisitos de cibersegurança sobrepostos), a NIS2 rege determinadas organizações em setores críticos (incluindo alguns fabricantes e os seus clientes), e o Cybersecurity Act fornece o quadro de certificação voluntária (EUCC) que coexiste com todos eles. Este repositório existe porque tratar qualquer um destes isoladamente dá uma visão incompleta — um fabricante pode estar em plena conformidade com o CRA e ainda assim falhar um requisito específico da RED, ou avaliar mal se a NIS2 o abrange indiretamente através das obrigações de cadeia de abastecimento de um cliente.

O repositório tem duas camadas:

Guias processados (cra/, red/, nis2/, csa/) — documentos de referência mais curtos e estruturados por regulamento: visão geral, definições/âmbito, requisitos essenciais ou obrigações, prazos, sanções e um FAQ prático. Fáceis de usar para uma compreensão rápida de um tema, e cada um está escrito para assinalar como se relaciona com os outros três regulamentos, e não apenas para existir isoladamente.
Fontes primárias (primary-sources/) — o texto oficial completo de cada regulamento e ato relacionado, sem modificações. A fonte de verdade para citações exatas, tanto para humanos como para LLMs.

Os guias processados foram verificados quanto à exatidão face ao texto primário de cada regulamento e fontes relacionadas (M/606, atos delegados/de execução) — metodologia descrita abaixo.

Estrutura do repositório

CRA — Cyber Resilience Act (Regulamento (UE) 2024/2847)

Ficheiro	O que abrange
`cra/overview.md`	Contexto de adoção, âmbito, estrutura do regulamento (capítulos e anexos)
`cra/definitions.md`	Definições e terminologia oficiais (produto com elementos digitais, RDPS, produto crítico/importante, etc.)
`cra/essential-requirements.md`	Requisitos essenciais de cibersegurança do Anexo I + estado do desenvolvimento de normas harmonizadas (mandato M/606); referenciados cruzadamente com o Secure by Design and Default Playbook da ENISA
`cra/product-risk-classes.md`	Classificação de risco do produto: Predefinido, Importante Classe I/II, Crítico
`cra/obligations-by-role.md`	Obrigações do fabricante, importador e distribuidor (Capítulo II)
`cra/timeline-deadlines.md`	Prazos-chave e disposições transitórias
`cra/vulnerability-reporting.md`	Notificação de vulnerabilidades e incidentes graves (Artigo 14)
`cra/penalties-enforcement.md`	Sanções e vigilância do mercado
`cra/self-assessment-maturity-model.md`	Modelo de Avaliação de Maturidade de Ciber-Resiliência para PME da ENISA
`cra/faq.md`	FAQ prático para fabricantes de hardware/IoT

hardware-compliance-handbook

Mais Populares