Cyber Resilience Act: o período de suporte nas compras de TI

Estratégia de TI · 4 min

O Cyber Resilience Act introduz regras para o suporte de segurança de produtos digitais. Saiba como avaliar prazos, atualizações e riscos de fim de suporte antes de comprar.

Cyber Resilience Act: o período de suporte nas compras de TI

TL;DR

O Cyber Resilience Act exige que os fabricantes definam e comuniquem um período de suporte de segurança para os produtos abrangidos.
A regra geral prevê um mínimo de cinco anos, salvo quando a utilização esperada do produto seja inferior; produtos de vida útil mais longa podem exigir suporte superior.
O período de suporte deve ser considerado nas compras, juntamente com o preço, a segurança, a compatibilidade e a vida útil prevista.
Registar datas de fim de suporte no inventário permite antecipar renovações, identificar riscos e preparar orçamentos.
As novas obrigações não se aplicam automaticamente a todos os equipamentos existentes; os produtos antigos exigem uma avaliação específica.

Uma informação nova chega ao processo de compra

O Regulamento (UE) 2024/2847, conhecido como Cyber Resilience Act (CRA), estabelece requisitos de cibersegurança para produtos com elementos digitais comercializados na União Europeia, incluindo equipamentos de rede, dispositivos conectados e software abrangido pelo seu âmbito. A aplicação geral está prevista para 11 de dezembro de 2027, embora as obrigações de comunicação de vulnerabilidades ativamente exploradas e de determinados incidentes graves já se apliquem desde 11 de setembro de 2026. Uma das mudanças mais relevantes para quem compra tecnologia é a obrigação de os fabricantes definirem e comunicarem o período durante o qual asseguram o tratamento de vulnerabilidades. Para um responsável de TI, esta informação permite avaliar não apenas o preço e as funcionalidades, mas também durante quanto tempo o produto poderá continuar a ser utilizado com suporte de segurança adequado. O período de suporte passa, assim, a ser um elemento importante na decisão de compra e no planeamento do ciclo de vida tecnológico.

O período de suporte tem regras mínimas

O artigo 13.º, n.º 8, do CRA estabelece que o fabricante deve determinar um período de suporte que reflita o tempo durante o qual se espera que o produto seja utilizado. Em regra, esse período não pode ser inferior a cinco anos. Quando a utilização esperada for inferior, o suporte deve corresponder a essa duração; quando for superior, o fabricante deve considerar um período mais longo. Esta distinção é especialmente relevante para equipamentos de rede, sistemas industriais e outros produtos que permanecem em funcionamento durante muitos anos. Durante o período declarado, o fabricante deve cumprir as obrigações aplicáveis de tratamento de vulnerabilidades, incluindo a disponibilização de atualizações de segurança. Importa, contudo, distinguir suporte de segurança de garantia comercial ou manutenção funcional: o CRA não assegura que todas as falhas sejam corrigidas nem que o produto receba indefinidamente novas funcionalidades.

O desfasamento entre suporte e utilização real cria risco

Muitas organizações mantêm comutadores, controladores Wi-Fi, sistemas de videovigilância e equipamentos industriais em produção durante períodos superiores aos inicialmente previstos. Quando o suporte de segurança termina antes da substituição, a organização pode deixar de receber correções para novas vulnerabilidades, aumentando a exposição ao risco. Nesses casos, a gestão de patches por risco deixa de ser suficiente, porque já não existem necessariamente atualizações disponibilizadas pelo fabricante. Podem ser necessárias medidas temporárias, como isolamento de rede, restrições de acesso, monitorização reforçada ou substituição antecipada. Por isso, antes de adquirir um produto, importa comparar o período de suporte anunciado com a vida útil esperada, sobretudo quando a instalação exige investimento significativo, integração com outros sistemas ou interrupções planeadas para substituição.

Critérios a incluir nos cadernos de encargos

O período de suporte deve ser considerado logo na definição dos requisitos de aquisição. Nos cadernos de encargos, a equipa de compras pode solicitar a data de fim de suporte de segurança, a política de atualizações, os canais de comunicação de vulnerabilidades e as condições de disponibilização de correções. Quando relevante, pode também pedir informação sobre componentes de software, incluindo uma lista de materiais de software (SBOM), e sobre a dependência de serviços externos. Estes elementos devem ser avaliados em conjunto com o custo total de propriedade, a criticidade do equipamento e a duração prevista da sua utilização. Um produto com preço inicial inferior pode exigir substituição antecipada se o suporte terminar demasiado cedo. Por outro lado, os requisitos devem ser proporcionais: um dispositivo periférico de baixo impacto não exige necessariamente o mesmo nível de avaliação que um firewall ou um equipamento central de rede. O objetivo é comprar tecnologia com uma perspetiva realista do seu ciclo de vida.

Do inventário ao orçamento plurianual

A informação sobre o fim do suporte só produz valor quando é integrada na gestão dos ativos. Registar na CMDB o fabricante, o modelo, a versão, a data de fim de suporte e os serviços dependentes permite identificar equipamentos que exigem atenção antes de se tornarem um problema. Esta informação pode alimentar alertas, planos de renovação e orçamentos plurianuais, articulando-se com a gestão de infraestrutura de TI. Para os equipamentos já instalados, importa distinguir a data de fim de suporte contratual das obrigações introduzidas pelo CRA. Os produtos colocados no mercado antes de 11 de dezembro de 2027 não ficam automaticamente sujeitos a todos os novos requisitos, existindo regras transitórias e exceções específicas. Nesses casos, pode ser necessário solicitar esclarecimentos ao fabricante, consultar as políticas de ciclo de vida publicadas e avaliar medidas de mitigação ou substituição.

Um critério de decisão que exige método

O Cyber Resilience Act dirige as suas principais obrigações aos fabricantes e a outros operadores económicos envolvidos na disponibilização de produtos com elementos digitais no mercado europeu. Para as organizações que compram tecnologia para utilização própria, o regulamento cria uma oportunidade de melhorar os critérios de aquisição, a gestão de ativos e o planeamento de renovações. O período de suporte não deve ser analisado isoladamente: importa relacioná-lo com a criticidade do equipamento, a exposição a ameaças, as dependências tecnológicas e o custo de substituição. As entidades abrangidas pela NIS2 ou por regulamentação setorial devem ainda avaliar como estes critérios se articulam com as respetivas obrigações de gestão de risco e segurança da cadeia de fornecimento. Comprar tecnologia com suporte adequado à utilização prevista é uma decisão de segurança, mas também de continuidade operacional e sustentabilidade do investimento.