Regulamento de Ciberresiliência

Regulamento (UE) 2024/2847 e as bibliotecas de componentes eSeGeCe. Última atualização: agosto de 2026

Em que ponto está o CRA hoje

O Regulamento (UE) 2024/2847 entrou em vigor em 10 de dezembro de 2024, mas suas obrigações chegam em etapas:

11 de junho de 2026. Entram em vigor as regras sobre a notificação dos organismos de avaliação da conformidade, de modo que a infraestrutura de avaliação passa a existir.

11 de setembro de 2026. Os fabricantes devem notificar a ENISA e o CSIRT competente sobre vulnerabilidades ativamente exploradas e incidentes graves, com alerta inicial em 24 horas, notificação mais completa em 72 horas e relatório final quando houver uma medida corretiva disponível.

11 de dezembro de 2027. Aplicam-se integralmente os requisitos essenciais de cibersegurança, os requisitos de tratamento de vulnerabilidades, a documentação técnica, a declaração UE de conformidade e a marcação CE.

Até dezembro de 2027 nenhum produto no mercado traz uma declaração de conformidade do CRA, porque o arcabouço que a emite ainda está sendo montado. Qualquer fornecedor que hoje alegue ter uma avaliação de conformidade do CRA concluída está descrevendo algo que ainda não existe. O que podemos fazer agora, e é para isso que esta página serve, é dar a você as evidências de que sua própria avaliação precisa.

Classificação do produto

As bibliotecas de componentes eSeGeCe não constam do anexo III nem do anexo IV do Regulamento. Não são sistemas operacionais, hipervisores, ambientes de execução de contêineres, firewalls, sistemas de detecção de intrusão, VPNs, sistemas de gestão de identidades, gerenciadores de senhas, gerenciadores de inicialização, infraestruturas de chave pública, sistemas de gestão de redes nem qualquer outra classe importante ou crítica.

Enquadram-se, portanto, na categoria padrão, na qual a conformidade é estabelecida pelo fabricante por meio do procedimento de controle interno do módulo A, e não por um organismo notificado. Para o seu dossiê, isso significa que integrar nossos componentes não leva, por si só, o seu produto a uma classe superior de avaliação da conformidade. A classificação do seu produto depende do que ele faz.

Quem responde pelo quê

Você é o fabricante do produto que coloca no mercado da UE, e a marcação CE e a declaração de conformidade desse produto são suas. Dois artigos regem a relação entre nós:

Artigo 13(5). Você deve exercer a devida diligência ao integrar componentes de terceiros, de modo que não comprometam a cibersegurança do seu produto. O material a seguir é o que fornecemos para essa finalidade.

Artigo 13(6). Se encontrar uma vulnerabilidade em um componente que integrou, você deve relatá-la a quem o mantém. Para o nosso código, esse canal está descrito em nossa política de divulgação de vulnerabilidades.

O que fornecemos para sua due diligence

Código-fonte completo. Toda licença inclui o código-fonte completo em Delphi e C++ Builder dos componentes que você usa. Não pedimos que você confie em um binário, você pode revisar, auditar, instrumentar e recompilar tudo o que distribui. Para uma avaliação nos termos do anexo I, essa é a evidência mais sólida que um fornecedor de componentes pode oferecer, e a maioria dos fornecedores comerciais de componentes não a oferece.

Um SBOM mediante solicitação. O anexo I, parte II, ponto 1 exige que elaboremos uma lista de materiais cobrindo ao menos as dependências de primeiro nível e a mantenhamos em nossa documentação técnica, não exige que a publiquemos. Mantemos a nossa no formato CycloneDX a cada versão e a fornecemos mediante solicitação, de modo que pode entrar direto no seu inventário. Solicite-a por meio da nossa página de segurança.

Uma política de divulgação coordenada de vulnerabilidades. Publicada, com ponto de contato único, prazos-alvo de confirmação e avaliação e uma janela de divulgação, conforme exige o anexo I, parte II, ponto 5.

Um histórico de alterações documentado. Cada versão traz um arquivo de histórico registrando o que mudou, incluindo alterações relevantes para a segurança, de modo que você tenha um registro escrito do que foi corrigido e quando.

Um período de suporte. As correções de segurança de uma versão principal permanecem disponíveis por pelo menos cinco anos a partir do seu lançamento, o que atende ao mínimo do artigo 13(8).

Seguro por padrão

O anexo I, parte I, exige que o produto seja entregue com uma configuração segura por padrão, que se proteja contra negação de serviço e que sua superfície de ataque seja minimizada. Esse trabalho já é visível no produto. Versões recentes fizeram com que o servidor WebSocket limite a taxa de quadros de controle recebidos, que limite o número de conexões simultâneas em vez de aceitar um número ilimitado, que o servidor HTTP/2 ganhasse um tamanho máximo de corpo de requisição e que fossem restringidas as origens de navegador autorizadas a chamar um servidor MCP. A segurança de transporte está disponível via OpenSSL ou, no Windows, via SChannel, sem nenhuma biblioteca externa a distribuir. Esses padrões foram endurecidos porque são os padrões corretos, não porque um prazo exigiu.

O que estamos preparando

Diante dos prazos acima, estamos trabalhando na documentação técnica descrita no anexo VII, na declaração UE de conformidade do anexo V, na marcação CE onde nos couber, nas informações e instruções ao usuário do anexo II e no processo interno para as obrigações de notificação do artigo 14, que começam em setembro de 2026. Publicaremos os resultados aqui à medida que forem concluídos. As normas harmonizadas do Regulamento ainda estão sendo elaboradas e nos alinharemos a elas assim que estiverem disponíveis.

Questionários de fornecedores

Se sua equipe de conformidade tiver um formulário de avaliação de fornecedores, um questionário de componentes ou um pedido de SBOM, envie pelo nosso formulário de contato, informando o produto, a edição e a versão que você usa, e o preencheremos com as respostas específicas da sua compilação.