CRA: o período de suporte é uma promessa verificável, não uma nota de rodapé
O fabricante terá de declarar até quando trata vulnerabilidades, justificar esse horizonte na documentação técnica e alinhar produto, componentes, atualizações e atendimento com a promessa feita antes da compra.
- Natureza
- Guia de preparação para fabricantes de produtos com elementos digitais
- Base
- CRA, artigo 13.º, e orientação da Comissão de 27 de julho de 2026
- Publicado e verificado
- 5 de agosto de 2026
- Limite
- A orientação da Comissão é não vinculativa; âmbito, exceções e horizonte exigem análise do produto concreto
Em resumo
O artigo 13.º, n.º 8, do Cyber Resilience Act liga o período de suporte ao tempo esperado de utilização, às expectativas razoáveis dos utilizadores, à natureza e finalidade do produto e a outras regras aplicáveis. A regra de base é pelo menos cinco anos, salvo quando se espere que o produto seja utilizado por menos tempo; se o uso esperado for superior, o suporte deve acompanhá-lo. O mês e o ano de fim devem estar claros e compreensíveis no momento da compra. A Comissão publicou orientação não vinculativa em 27 de julho de 2026, mas a decisão continua a pertencer ao fabricante e deve ser sustentada. A matriz Velqory transforma essa decisão num gate de produto, compras e operação antes das obrigações principais de 11 de dezembro de 2027.
- Cinco anos é um mínimo de base, não um teto automático; o uso esperado pode justificar mais e, em casos mais curtos, menos.
- A determinação do período de suporte e a respetiva base devem constar da documentação técnica.
- O fim, em mês e ano, deve ser comunicado de forma clara no momento da compra.
- A promessa só é defensável se dependências, atualizações, canais de vulnerabilidade e atendimento conseguirem cumpri-la.
A decisão começa no uso esperado e termina numa capacidade financiada
Não escolha o período por conveniência comercial. Reúna vida física, vida económica, contratos, garantia, frequência de substituição, utilização crítica, dependências de software, disponibilidade de peças e expectativas criadas por marketing ou canal. Documente fontes, pressupostos e quem aprovou.
O fabricante deve tratar vulnerabilidades de forma eficaz durante o período de suporte. Logo, o horizonte aprovado precisa de orçamento, equipas, canal de reporte, inventário de componentes, capacidade de produzir e distribuir atualizações e método para avisar utilizadores. Uma data sem esse modelo operacional é apenas uma promessa sem prova.
Do desenho à saída de suporte
- DESENHOEstimar uso esperado
Produto, finalidade, ambiente, criticidade, contratos, expectativas e legislação relacionada.
- DECISÃOAprovar e fundamentar
Fixar mês e ano, exceções, pressupostos, evidência, responsável e revisão.
- COMPRAComunicar com clareza
Mostrar o fim do suporte antes da compra e alinhar embalagem, loja, contrato e portal.
- SUPORTETratar vulnerabilidades
Receber, triar, corrigir, testar, distribuir e manter atualizações durante o período.
- FIMEncerrar com controlo
Avisar quando tecnicamente possível, preservar atualizações e cumprir retenções aplicáveis.
O dossiê deve ligar a data pública às dependências que a podem quebrar
Faça o caminho inverso: para conseguir corrigir o produto no último mês, que componentes, fornecedores, ferramentas de build, chaves, ambientes de teste, canais de distribuição e competências precisam ainda de existir? A resposta converte uma data abstrata numa capacidade controlável.
Dossiê mínimo do período de suporte
| Elemento | Evidência | Pergunta de aceitação | Dono |
|---|---|---|---|
| Uso esperado | Dados de campo, contrato, garantia e finalidade | O horizonte reflete a utilização plausível? | Produto + jurídico |
| Componentes | SBOM, versões e fim de vida dos fornecedores | Conseguimos corrigir ou substituir até ao fim? | Engenharia |
| Vulnerabilidades | Canal, SLA interno, triagem e disclosure | Um reporte externo chega a quem decide? | Segurança |
| Atualizações | Build reproduzível, assinatura, teste e distribuição | O último produto instalado recebe a correção? | Release + operações |
| Comunicação | Loja, embalagem, contrato, portal e aviso final | O comprador vê o mesmo mês e ano em todos os canais? | Comercial + suporte |
| Financiamento | Capacidade, custo, fornecedores e reserva | A obrigação continua financiada após parar vendas? | Direção |
A preparação útil testa hoje a promessa que só será exigida plenamente depois
As principais obrigações do CRA aplicam-se a partir de 11 de dezembro de 2027. Isso não torna a preparação prematura: um produto vendido nessa fase pode depender agora de componentes cujo suporte termina antes da promessa ao cliente. Compras e arquitetura devem bloquear dependências incompatíveis ou aprovar uma alternativa financiada.
Não confunda o período de suporte com a disponibilidade pública das atualizações. O artigo 13.º contém também uma regra própria para manter atualizações de segurança disponíveis por pelo menos dez anos ou pelo remanescente do período de suporte, consoante o que for mais longo, salvo aplicação de regras específicas. Registe as duas decisões separadamente.
- Recalcular quando muda a finalidade, a garantia, a dependência crítica ou o canal de venda.
- Testar o anúncio da data em todos os pontos de compra e idiomas.
- Simular uma vulnerabilidade no último trimestre do suporte.
- Guardar a versão da orientação usada sem a tratar como lei vinculativa.
Fontes consultadas
Consultadas na data de atualização indicada.
Abre numa nova janela.- 01Regulation (EU) 2024/2847 — Cyber Resilience ActEUR-Lex · EU-EURLEX
- 02Commission guidance supporting timely CRA implementationEuropean Commission · EU-DIGITAL
- 03Cyber Resilience Act — ManufacturersEuropean Commission · EU-DIGITAL
- 04Cyber Resilience Act implementation FAQEuropean Commission · EU-DIGITAL
- 05Cyber Resilience Act — SummaryEuropean Commission · EU-DIGITAL
- 06Cyber Resilience Act implementation timelineEuropean Commission · EU-DIGITAL
Participar
Partilhe a análise. Acrescente contexto.
Divulgue a matéria no seu canal ou deixe uma observação ligada ao tema.
Comentários
A carregar a conversa.