Daniel Garcia
A tua torradeira também vai precisar de cibersegurança?
English version →Uma torradeira com Internet continua a fazer torradas. Mas passa a trazer uma pergunta extra para a cozinha: quem cuida do software depois de a levarmos para casa?
Neste artigo
São sete e meia da manhã. O café está a sair e o pão já está na torradeira. Até aqui, um início de dia perfeitamente normal.
Agora imaginemos que a torradeira também tem Wi-Fi, uma aplicação e a simpática capacidade de nos avisar, pelo telemóvel, de que as torradas estão prontas. Uma informação preciosa, sobretudo quando estamos a cinquenta centímetros delas.
Durante décadas, a nossa principal preocupação era escolher entre pão pouco torrado e carvão com manteiga. Mas acrescentámos software e uma ligação à rede. E, com eles, chegaram outras perguntas: quem corrige uma falha de segurança? Como se instala uma atualização? Durante quanto tempo é que o fabricante trata disso?
A torradeira é uma brincadeira. As perguntas já fazem parte das compras que fazemos todos os dias.
Quando os eletrodomésticos ganharam uma segunda vida
Uma câmara para vigiar a entrada, um televisor, uma fechadura inteligente ou o router lá de casa têm uma função que conseguimos explicar facilmente. Por baixo dessa função, porém, há software, comunicações e configurações.
É a chamada Internet das Coisas, ou IoT: objetos que trocam dados através de uma rede. Parte do software que os faz funcionar chama-se firmware. Não o vemos no balcão da loja, mas também o levamos para casa.
Uma vulnerabilidade nesse software pode permitir, por exemplo, o acesso indevido a uma câmara ou a utilização de um equipamento em ataques contra terceiros. As consequências dependem da falha, das ligações e das proteções existentes. Não significa que qualquer lâmpada inteligente dê automaticamente acesso a tudo o que temos na rede.
O problema é mais simples: compramos um objeto com a expectativa de o usar durante anos, mas a sua segurança também depende de trabalho que alguém tem de continuar a fazer depois da venda.
Se a resistência da torradeira durar dez anos e o cuidado com o software terminar ao fim de dois, comprámos duas coisas com prazos bastante diferentes. A caixa provavelmente só chamou a atenção para uma delas.
Quem vende a ligação também tem responsabilidades
É aqui que entra o Cyber Resilience Act, ou CRA, o regulamento europeu que estabelece requisitos de cibersegurança para produtos com elementos digitais abrangidos pelo seu âmbito.
A mudança de fundo é tornar a segurança uma responsabilidade do fabricante ao longo do desenvolvimento e do período de suporte. A Comissão Europeia apresenta o CRA como uma resposta à segurança insuficiente de produtos e à dificuldade de os compradores avaliarem essa segurança.
Vale a pena acertar o alcance da nossa torradeira: ter componentes eletrónicos não chega, por si só, para ficar abrangida. O âmbito considera produtos de hardware e software disponibilizados no mercado numa atividade comercial, com uma ligação de dados direta ou indireta a um dispositivo ou rede. Essa ligação nem sequer tem de ser à Internet.
Uma torradeira convencional com um temporizador eletrónico não entra automaticamente nesta história. A nossa torradeira imaginária, com Wi-Fi e aplicação, serve para ilustrar a questão; o enquadramento de um produto concreto depende das suas características e das exclusões aplicáveis.
Também não devemos colocar qualquer programador voluntário no mesmo saco de um fabricante comercial. O software livre e de código aberto disponibilizado fora de uma atividade comercial está excluído; noutros contextos pode estar abrangido, e existem regras próprias para certas entidades que sustentam projetos open source. A explicação da Comissão sobre open source esclarece estas diferenças. Código aberto e atividade comercial não são opostos automáticos.
A segurança deve vir na caixa
Na prática, os requisitos para fabricantes abrangem a avaliação dos riscos, as configurações seguras de origem, o tratamento de vulnerabilidades e a informação necessária para utilizar o produto em segurança.
É o princípio da segurança desde a conceção: pensar nestes problemas quando se desenha o produto. Se um equipamento chega a casa com uma palavra-passe previsível e universal, não faz sentido entregar ao comprador todo o trabalho de compensar essa escolha.
Depois da venda, é preciso conseguir receber relatos de falhas, avaliar o que foi encontrado e disponibilizar correções durante o período de suporte. Para os produtos de consumo abrangidos, as atualizações de segurança devem ser disponibilizadas gratuitamente. Corrigir uma vulnerabilidade não deve exigir a compra de um pacote premium de tranquilidade.
O suporte merece atenção especial. Deve refletir o tempo durante o qual é razoável esperar que o produto seja usado, com um mínimo de cinco anos, salvo se a utilização esperada for inferior. Se for razoável esperar uma utilização mais longa, como pode acontecer com um router, o suporte deve acompanhar essa duração. Cinco anos não são uma licença para abandonar qualquer produto nessa altura.
E há um detalhe útil para quem compra: o fim do suporte deve ser indicado de forma clara, com mês e ano, no momento da compra. Não devemos presumir que começa um novo período de cinco anos quando passamos na caixa. Convém procurar a data concreta.
Um router pode continuar a fornecer acesso à Internet durante anos depois de deixar de receber correções. As páginas abrem, o Wi-Fi funciona, mas uma falha entretanto descoberta pode ficar por corrigir. Funcionar e continuar a ter suporte de segurança são coisas diferentes.
Já está tudo em aplicação? Ainda não
Para quem compra e utiliza estes produtos, estas são três datas essenciais para perceber a situação em novembro de 2026. O calendário do regulamento inclui outras etapas, mas são estas que importa destacar aqui:
| Data | O que significa |
|---|---|
| 10 de dezembro de 2024 | Entrada em vigor do CRA. |
| 11 de setembro de 2026 | Início das obrigações dos fabricantes de comunicar vulnerabilidades ativamente exploradas e incidentes graves abrangidos pelo artigo 14.º. |
| 11 de dezembro de 2027 | Aplicação das principais obrigações de cibersegurança dos produtos. |
A comunicação de determinadas falhas e incidentes já é, portanto, uma obrigação atual. A ENISA anunciou o lançamento da plataforma europeia de comunicação em setembro de 2026. Não estamos a falar de o utilizador ter de preencher um formulário europeu sempre que a aplicação da televisão bloqueia.
Mas também não podemos olhar para um equipamento à venda hoje e concluir que já cumpre todos os requisitos que se aplicarão em dezembro de 2027. Entrada em vigor e aplicação das diferentes obrigações não são a mesma coisa.
E aquilo que já temos em casa?
O regulamento não instala uma atualização milagrosa no router antigo nem transforma todos os produtos anteriores em produtos sujeitos às novas exigências.
Pelas disposições transitórias, os produtos colocados no mercado antes de 11 de dezembro de 2027 só ficam sujeitos aos requisitos do CRA se sofrerem, a partir dessa data, uma modificação substancial. Existe uma exceção importante: as obrigações de comunicação do artigo 14.º também abrangem produtos anteriores dentro do âmbito do regulamento. Estes pormenores constam do texto do CRA, nomeadamente do artigo 69.º.
Para o equipamento que já temos, continuam a fazer sentido as perguntas práticas: ainda recebe atualizações? Estamos a instalá-las? Precisamos realmente de manter ativas todas as ligações e funções remotas?
O CRA também não promete manter qualquer serviço cloud a funcionar para sempre. Uma função que depende dos servidores do fabricante merece uma pergunta própria: o que continua a funcionar se esse serviço terminar?
Antes de comprar, espreita para lá do Wi-Fi
Costumamos comparar o preço, a potência, o tamanho e as funcionalidades. Nos equipamentos ligados, eu acrescentaria quatro perguntas:
- Até quando recebe correções de segurança? Procurar uma data concreta é mais útil do que uma promessa vaga de «atualizações regulares».
- Como são instaladas? Convém perceber se há atualizações automáticas e como somos informados quando precisamos de intervir.
- Quem responde por uma falha? Um fabricante identificável, com documentação e um contacto de segurança, dá-nos informação que um anúncio cheio de adjetivos não dá.
- O que acontece sem Internet ou sem o serviço do fabricante? A resposta ajuda a avaliar a dependência que estamos a comprar.
A marcação CE, no contexto dos requisitos aplicáveis do CRA, indica conformidade. Não significa que o produto seja impossível de atacar, nem que cada equipamento tenha sido testado individualmente por uma autoridade europeia. Os procedimentos de avaliação variam conforme o produto.
Continuaremos a precisar de instalar atualizações, proteger as contas e usar os equipamentos com cuidado. Mas isso não apaga a responsabilidade de quem os concebe e coloca no mercado.
É esta mudança que me parece mais importante: podermos exigir respostas sobre a segurança com a mesma naturalidade com que perguntamos pelo consumo ou pela garantia.
Não quero transformar o pequeno-almoço numa reunião do departamento de informática. Quero poder comprar um equipamento ligado e saber que alguém pensou no que acontece depois de o tirar da caixa.
O pão queimado resolve-se com outra fatia. Já um equipamento abandonado pelo fabricante pode continuar na nossa rede durante anos, com falhas por corrigir. Cuidar da segurança de um produto ligado não devia ser uma responsabilidade entregue apenas a quem o comprou.
Pequeno glossário
- IoT — Internet das Coisas: objetos físicos que comunicam através de uma rede.
- Firmware: software integrado num equipamento que controla o seu funcionamento.
- Vulnerabilidade: fraqueza que pode ser explorada para comprometer a segurança.
- Atualização de segurança: alteração de software destinada a corrigir ou mitigar falhas de segurança.
- Segurança desde a conceção: consideração da segurança desde o desenho e desenvolvimento do produto.
- Período de suporte: intervalo durante o qual o fabricante assegura o tratamento de vulnerabilidades segundo as obrigações aplicáveis.
