CRA: produtos com elementos digitais, não serviços

O Regulamento Ciber-Resiliência (CRA) centra-se em produtos de hardware e software que possuem componentes digitais, como dispositivos inteligentes, sistemas operativos ou aparelhos de IoT. Não regula serviços como a computação em nuvem ou as plataformas em linha. O principal contraste é com a NIS2, que visa a cibersegurança das organizações e dos respetivos serviços, e não dos produtos propriamente ditos. Se uma pergunta mencionar um termóstato inteligente ou um brinquedo conectado, pense no CRA; se mencionar um hospital ou um banco, pense na NIS2.

Para evitar confundi-los, lembre-se de que o CRA abrange coisas que se podem comprar e instalar, enquanto a NIS2 abrange entidades que prestam serviços críticos. Outro truque: o CRA aplica-se aos produtos colocados no mercado da UE, independentemente do local onde o fabricante esteja estabelecido. Se um cenário descrever um requisito de atualização de software para um encaminhador, trata-se do âmbito do CRA. Para uma eliminação rápida, pergunte a si próprio: trata-se de um produto tangível ou das operações de uma organização? A resposta indicará a regulamentação correta.

Uma forma concisa de se testar: se uma pergunta enumerar uma coluna inteligente, um automóvel conectado e um serviço de computação em nuvem, qual deles está abrangido pelo CRA? Os dois primeiros, porque são produtos com elementos digitais; o serviço de computação em nuvem é um serviço, pelo que está abrangido pela NIS2. Tenha presente esta distinção entre produto e serviço e não confundirá os dois.