Saltar para o conteúdo principal
Regulação4 min de leitura

Edição de 13/09: usar software não é, por si só, fabricar um produto

Que produto fornecemos ao mercado e sob que nome? O enquadramento CRA começa com esta pergunta, não com a contagem de aplicações instaladas.

Atualizado
Dia recuperado
2026-09-13
Publicação real
2026-10-05
Autoria
Redação Velqory
Verificação
05/10/2026 · Europe/Lisbon
Natureza
Análise retrospetiva publicada a 5 de outubro; não representa publicação original nessa data.
Propostas operacionais
Recomendações originais Velqory, não testadas; cenários hipotéticos, sem experiência interna ou resultados alegados.
Condição de revisão
Rever mudanças de marca, contrato, distribuição ou utilização; revisão jurídica para exclusões e casos fronteira.
Técnico observa um equipamento de rede com uma lupa, junto de outro equipamento numa caixa aberta.
Técnico observa um equipamento de rede com uma lupa, junto de outro equipamento numa caixa aberta. Cena conceptual gerada; não documenta um evento, produto ou ensaio real.Imagem gerada por IA sob direção editorial da Velqory.

Em resumo

Uma ficha por produto distingue utilização, desenvolvimento e comercialização antes de atribuir deveres de fabricante.

  • Delimite o produto e a ligação a dispositivos ou redes.
  • Guarde contratos e termos que identifiquem quem comercializa sob nome próprio.
  • Mantenha casos fronteira abertos até existir análise fundamentada.

Começar pelo objeto, não pela empresa

Uma PME compra uma aplicação para faturar; outra encomenda uma aplicação que vende sob a sua marca. Tratar ambas como fabricantes apenas porque utilizam software elimina a distinção mais importante. Esta edição dirige-se à direção, compras e responsáveis de produto: a decisão a apoiar é saber que atividade precisa de uma análise de enquadramento, antes de distribuir tarefas regulatórias pela organização.

O artigo 2.º do Regulamento (UE) 2024/2847 delimita produtos com elementos digitais disponibilizados no mercado cuja utilização prevista ou razoavelmente previsível inclui ligação lógica ou física, direta ou indireta, a dispositivo ou rede. Também prevê exclusões. Não é uma regra que transforme qualquer utilizador de software em fabricante.

A marca revela uma relação a investigar

No artigo 3.º, a definição de fabricante inclui quem desenvolve ou fabrica, ou manda desenvolver ou fabricar, um produto e o comercializa sob nome ou marca próprios. Contratar a escrita do código fora da empresa não resolve, por si, essa qualificação. A pergunta é sobre a relação com o produto e com o mercado.

Proposta Velqory: juntar contrato de desenvolvimento, termos recebidos pelo cliente e identificação comercial. Registar separadamente quem escreve código, quem decide a versão fornecida e quem apresenta o produto. Não preencher uma resposta desconhecida com o nome do prestador mais visível; essa lacuna deve ter responsável e destino de revisão.

Desenhar a fronteira da ficha

A ficha proposta descreve componentes incluídos, processamento remoto necessário, utilização esperada, cliente e canal de distribuição. Expressões como «interno», «cloud» ou «feito à medida» são descrições a esclarecer, não exclusões automáticas. Se duas equipas estiverem a falar de objetos diferentes, abrir duas fichas evita uma conclusão sobre um produto que nenhuma reconhece.

A Comissão publicou em julho de 2026 orientação expressamente não vinculativa; a página identifica âmbito e modificações substanciais entre os temas tratados. Use-a para preparar perguntas. Não a apresente como alteração da lei nem como parecer sobre um contrato que não foi examinado.

A responsabilidade por trazer documentos

A matriz seguinte é uma proposta editorial original. O responsável de produto reúne a ficha e as pendências; a classificação jurídica de situações ambíguas deve ser revista por pessoa competente. A aceitação exige documentos coerentes, não uma reunião em que ninguém tenha levantado objeções.

Ficha de enquadramento: aceitação proposta

Não é um formulário oficial nem uma certificação.

QuestãoResponsávelProvaPassa / falha
Objeto fornecidoProdutoDescrição e componentesDelimitado / apenas nome de projeto.
Nome no mercadoComercialTermos e apresentaçãoEntidade identificada / marca sem entidade.
Desenvolvimento contratadoComprasContrato e entregáveisRelação documentada / resposta oral.
Caso fronteiraJurídicoFactos e fundamentoConclusão fundamentada / exclusão presumida.

O código veio de um prestador

Cenário hipotético: a PME vende um programa com nome próprio, mas compras classifica-a como simples utilizadora porque um prestador escreveu o código. O exercício deve parar na contradição. A autoria técnica isolada não responde à definição de fabricante. Peça às duas equipas que reconstruam uma venda, desde a encomenda até aos termos entregues ao cliente.

Se não conseguirem identificar a entidade que apresenta o produto, o resultado é «insuficiente para classificar». Isso não prova incumprimento; impede uma certeza artificial. Registe o documento em falta e quem o obtém, sem converter a dúvida numa declaração de que o CRA não se aplica.

Ligar a conclusão ao responsável do produto

A ENISA descreve a plataforma única de reporte como destinada a fabricantes e, quando aplicável, stewards open source. A distinção mostra por que convém ligar a ficha a um contacto de produto. A página não classifica a sua empresa nem demonstra qualquer notificação feita por ela.

Preserve conclusão, documentos e condição de reabertura. A Velqory propõe rever a ficha quando mudam marca, fornecimento ou função. Ser apenas utilizador nesta análise não é uma dispensa geral de deveres legais, contratuais ou de segurança. A ficha serve para atribuir corretamente uma questão, não para produzir um selo de tranquilidade.

Consultadas na data de atualização indicada.

  1. 01Regulamento (UE) 2024/2847 — Cyber Resilience ActUnião Europeia — EUR-Lex · EU-EURLEX
  2. 02Commission publishes new guidance to support timely Cyber Resilience Act implementationComissão Europeia — DG CONNECT · EU-DIGITAL
  3. 03Single Reporting Platform (SRP)ENISA · EU-ENISA