Cyber Resilience Act: novas orientações da ENISA sobre SBOM e atualizações seguras
A ENISA publicou pareceres técnicos sobre listas de materiais de software (22 de outubro) e mecanismos de atualização seguros (4 de novembro) para o CRA.
A Agência da União Europeia para a Cibersegurança (ENISA) publicou a 22 de outubro de 2026 um Technical Advisory for Software Bill of Materials e a 4 de novembro de 2026 um Technical Advisory on Secure Update Mechanisms. Ambos se destinam aos fabricantes abrangidos pelo Cyber Resilience Act (CRA), sobretudo às PME. São orientações, não lei, e não conferem presunção de conformidade.
O que muda
O CRA exige uma SBOM num formato comum e legível por máquina, que cubra pelo menos as dependências de primeiro nível, e uma autoridade de fiscalização do mercado pode pedi-la (anexo I, parte II, e anexo VII). As atualizações de segurança devem ser distribuídas de forma segura, sem demora e gratuitamente, sempre que possível separadas das funcionais. A ENISA mostra agora como fazê-lo na prática:
- SBOM: usar CycloneDX ou SPDX, gerar uma SBOM em cada compilação e validá-la, assiná-la, guardá-la e mantê-la. Guardar provas para auditorias e pedidos das autoridades e registar as lacunas de cobertura.
- Atualizações: assinar os metadados e proteger as chaves, aceitar apenas fontes de confiança por ligações cifradas e rejeitar metadados desatualizados ou repetidos. Instalar as atualizações de segurança automaticamente por predefinição, quando possível, e publicar um aviso claro com cada correção.
Datas principais
- 11 de setembro de 2026: a notificação de vulnerabilidades ativamente exploradas e de incidentes graves através da plataforma única de notificação da ENISA já se aplica. Declarações conjuntas da UE sobre vulnerabilidades críticas no PHP (21 de outubro) e sobre incidentes em sistemas de refrigeração (4 de novembro) lembraram-no aos fabricantes.
- 11 de dezembro de 2027: o CRA aplica-se na íntegra, incluindo SBOM, atualizações seguras e um período de suporte de pelo menos cinco anos, salvo se o produto se destinar a ser usado durante menos tempo (artigo 13.º, n.º 8).
Saiba mais: Cyber Resilience Act: a notificação já está em vigor.
O que fazer agora
Faça o inventário dos produtos abrangidos, produza uma SBOM para cada versão e verifique quem pode assinar uma atualização e como os dispositivos a verificam. O Dazr Compliance reúne isto num módulo CRA: classificação de produtos, carregamento de SBOM em CycloneDX ou SPDX JSON com verificação de vulnerabilidades conhecidas, prazos de notificação do artigo 14.º e documentação técnica do anexo VII.
Fontes
- ENISA: Technical Advisory for Software Bill of Materials (22 October 2026)
- ENISA: Technical Advisory on Secure Update Mechanisms (4 November 2026)
- Regulation (EU) 2024/2847 (Cyber Resilience Act), Articles 13 and 71, Annexes I and VII
- European Commission: Joint statement on critical PHP vulnerabilities (21 October 2026)
- European Commission: Joint statement on cyber incidents in refrigeration systems across the EU (4 November 2026)
Apenas para informação, não constitui aconselhamento jurídico. Última atualização: 7 de novembro de 2026.
Também disponível em: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål