O dever de notificação do CRA está em vigor desde 11 de setembro de 2026. O Regulamento de Máquinas só começa em 20 de janeiro de 2027, e a marcação CE completa do CRA em 11 de dezembro de 2027. Veja o que uma ponte controlada por PLC precisa documentar, quais radiocontroles perdem a presunção de conformidade e quanto custa todo o exercício por máquina.
Desde 11 de setembro de 2026, quem fabrica uma ponte rolante com controlador em rede para o mercado da UE tem o dever legal de notificar vulnerabilidades ativamente exploradas nessa ponte dentro de 24 horas após tomar conhecimento delas. Esse relógio começou há seis semanas. As regras de segurança de máquinas para as quais a maioria das fábricas ainda se prepara só começam em 20 de janeiro de 2027. As regras horizontais de cibersegurança que transformam tudo isso em um processo de marcação CE só se aplicam plenamente em 11 de dezembro de 2027. Três datas, dois regulamentos, uma máquina.
A maioria dos compradores para quem cotamos na Europa ouviu falar de exatamente um desses. Normalmente do Regulamento de Máquinas, porque é o que o seu organismo notificado pergunta. Quase ninguém nos perguntou ainda sobre o dever de notificação do CRA, e é justamente o que já está em vigor.
O Regulamento (UE) 2023/1230, o Regulamento de Máquinas, substitui a antiga Diretiva de Máquinas 2006/42/CE e se aplica a máquinas colocadas no mercado a partir de 20 de janeiro de 2027. É uma lei de segurança que agora contém um requisito de cibersegurança. A seção 1.1.9 do Anexo III tem como título "Proteção contra corrupção": as conexões com outros dispositivos não devem criar situações perigosas, hardware, software e dados críticos para a segurança devem ser protegidos contra corrupção acidental ou intencional e devem ser identificados, e intervenções legítimas ou ilegítimas devem ser registradas. A seção 1.2.1 trata da segurança e confiabilidade dos sistemas de controle.
O Regulamento (UE) 2024/2847, o Cyber Resilience Act, é uma lei de cibersegurança de produtos. Entrou em vigor em 10 de dezembro de 2024. O Capítulo IV, sobre organismos notificados, aplica-se desde 11 de junho de 2026. As obrigações de notificação começaram em 11 de setembro de 2026. As obrigações principais aplicam-se a partir de 11 de dezembro de 2027.
Uma ponte rolante aérea controlada por PLC é uma máquina segundo o primeiro e um produto com elementos digitais segundo o segundo. O próprio FAQ do CRA da Comissão é direto sobre o que isso significa. A pergunta 2.4.1 diz que os fabricantes de produtos abrangidos por ambos "devem cumprir tanto os requisitos essenciais de cibersegurança estabelecidos neste Regulamento quanto os requisitos essenciais de saúde e segurança estabelecidos no Regulamento (UE) 2023/1230", e que qualquer sinergia "tem de ser demonstrada pelo fabricante". A pergunta 2.4.3 vai além: a avaliação de conformidade sob um instrumento "não pode ser automaticamente considerada suficiente para também satisfazer o procedimento que deve ser seguido segundo o outro instrumento".
Dois processos, duas declarações, uma ponte. Essa é a forma do problema.
| Item | Regulamento de Máquinas 2023/1230 | Cyber Resilience Act 2024/2847 |
|---|---|---|
| Do que trata | Segurança física da máquina, mais proteção contra corrupção das funções de segurança | Cibersegurança do produto digital ao longo de toda a sua vida, incluindo atualizações |
| Aplica-se a uma ponte a partir de | 20 de janeiro de 2027 | 11 de dezembro de 2027 para as obrigações principais, 11 de setembro de 2026 para a notificação de incidentes |
| Quem avalia | Autoavaliação para a maioria das pontes, organismo notificado para máquinas listadas no Anexo I | Autoavaliação por padrão, terceira parte para "produtos importantes" do Anexo III |
| Entregável | Processo técnico, declaração UE de conformidade, marca CE, instruções com riscos residuais | Documentação técnica, declaração UE de conformidade, marca CE, SBOM, período de suporte, processo de vulnerabilidades |
| Dever contínuo | Guardar o processo por 10 anos, agir sobre incidentes que revelem não conformidade | Tratar vulnerabilidades durante todo o período de suporte, notificar as exploradas em 24 horas |
Esta é a parte que se perde nos resumos. O CRA não é um prazo único. É uma escada, e a seção que mais machuca uma fábrica é a que já está em vigor.
| Data | O que se aplica | O que significa para um fabricante de pontes |
|---|---|---|
| 10 de dezembro de 2024 | CRA entra em vigor | Nada operacional, mas o relógio de projeto começa a contar |
| 1º de agosto de 2025 | Requisitos cibernéticos da Diretiva de Equipamentos de Rádio (Regulamento Delegado 2022/30) | Já atinge todo radiocontrole embarcado para a UE |
| 11 de junho de 2026 | Capítulo IV do CRA, organismos notificados | A avaliação por terceiros torna-se agendável |
| 11 de setembro de 2026 | Obrigações de notificação do CRA e a Plataforma Única de Notificação da ENISA | Já em vigor. Aplica-se a produtos já no mercado da UE, não apenas aos novos |
| 20 de janeiro de 2027 | Regulamento de Máquinas 2023/1230 | Anexo III 1.1.9 e 1.2.1 passam a fazer parte do processo CE |
| 11 de dezembro de 2027 | Obrigações principais do CRA | Marcação CE completa sob o CRA, SBOM, período de suporte declarado nas instruções |
| 11 de dezembro de 2027 | Notificação para administradores de software de código aberto | Relevante apenas se você mantém um projeto que também vende comercialmente |
O próprio anúncio da Comissão em 11 de setembro de 2026 detalhou o ponto que pega as pessoas: as obrigações de notificação se aplicam a todos os produtos com elementos digitais disponibilizados na UE, "incluindo os que já estão no mercado". Uma ponte de 2019 com gateway de diagnóstico 4G que está há sete anos em uma planta holandesa está dentro dessa frase. A obrigação recai sobre o fabricante, não sobre o ano da venda.
Duas categorias, quatro relógios. Uma vulnerabilidade ativamente explorada no seu produto e um incidente grave que afete a sua segurança são gatilhos diferentes, e terminam em prazos diferentes.
| Etapa | Prazo | O que entra nela |
|---|---|---|
| Alerta precoce | 24 horas a partir do conhecimento | Que existe uma suspeita de vulnerabilidade explorável ou incidente grave, mais fatos básicos |
| Notificação completa | 72 horas | Informações gerais sobre o produto, a natureza do exploit ou incidente e a mitigação inicial |
| Relatório final, vulnerabilidade explorada | 14 dias após a disponibilização de uma medida corretiva | Causa raiz, correção aplicada, versões afetadas, ações do usuário |
| Relatório final, incidente grave | 1 mês a partir da notificação de 72 horas | Mesma forma, mais o que foi feito para impedir recorrência |
A via de envio é um único portal. A ENISA construiu e opera a Plataforma Única de Notificação do CRA, operacional desde 11 de setembro de 2026. O fabricante notifica uma vez. A plataforma encaminha a notificação ao CSIRT do Estado-Membro onde o fabricante tem o seu estabelecimento principal e, salvo circunstâncias excepcionais, disponibiliza a informação à ENISA ao mesmo tempo. O CSIRT receptor então a compartilha com os demais CSIRTs nacionais onde o produto é vendido.
Existe uma porta estreita para atraso. Em 11 de dezembro de 2025, a Comissão adotou um ato delegado que estabelece as condições sob as quais um CSIRT pode reter a disseminação a outros CSIRTs por motivos justificados de cibersegurança. Presuma que você não se qualifica. Planeje como se a autoridade nacional do seu cliente soubesse no mesmo dia em que você envia.
Para uma fábrica em Zhejiang sem estabelecimento na UE, a questão prática é quem notifica. O regulamento atribui o dever ao fabricante, e um distribuidor ou importador não pode absorvê-lo. Este é o ponto único em que um parceiro comercial europeu precisa ser trazido para a conversa cedo, porque a plataforma exige uma organização nomeada com um processo de incidentes que funcione por trás dela, não um escritório de vendas.
Mais do que a lista de materiais da maioria dos orçamentos admite. O teste não é "tem um chip", é se o item é um produto de software ou hardware que se conecta, direta ou indiretamente, a outro dispositivo ou rede.
| Componente em uma ponte rolante padrão | É produto com elementos digitais? | Por que entra no processo |
|---|---|---|
| PLC / controlador da ponte com Ethernet ou fieldbus | Sim | Executa a lógica de segurança, conecta-se à rede da planta |
| Inversor de frequência com software de configuração | Sim | Firmware, parâmetros que alteram frenagem e limites de velocidade |
| Painel HMI ou tela sensível ao toque | Sim | Roda um sistema operacional, muitas vezes com servidor web |
| Gateway de diagnóstico remoto, roteador 4G, caixa VPN | Sim, e normalmente um "produto importante" | Gateways VPN e roteadores são nomeados na Classe I do Anexo III |
| Transmissor e receptor de radiocontrole | Sim, e também equipamento de rádio | Dois regimes ao mesmo tempo: requisitos cibernéticos da RED mais CRA |
| Controlador anti-oscilação ou de posicionamento | Sim | Firmware que comanda diretamente o movimento |
| Célula de carga, display do limitador de carga, proteção de sobrecarga | Sim, quando processa e transmite dados | Um sinal de carga falsificado anula a própria proteção da máquina |
| Viga principal, carro de translação, tambor, moitão, cabo de aço | Não | Sem software, sem conexão. Aço continua aço. |
A lista importa porque o CRA não pede que você certifique cada parafuso. Pede que você saiba quais itens são digitais, quem os fabricou, em que versão estão e como uma vulnerabilidade em qualquer um deles é corrigida durante o período de suporte. Isso é um problema de inventário antes de ser um problema de engenharia.
Uma ponte rolante monoviga padrão com talha de corrente e controle por botoeira pendente normalmente carrega três ou quatro desses itens. Acrescente um gateway de diagnóstico remoto e a contagem dobra. Um pacote de talhas e acessórios vendido separadamente traz a sua própria declaração, porque a talha é um produto próprio com elementos digitais quando sai com inversor e placa de controle.
Não. A Comissão estabeleceu as descrições técnicas dos produtos importantes com elementos digitais no Regulamento de Execução (UE) 2025/2392, e pontes rolantes não estão nele. Isso é boa notícia, porque produtos de Classe I e Classe II carregam vias de avaliação de conformidade mais pesadas.
Mas os componentes são outra história. A lista da Classe I inclui coisas que aparecem em listas de materiais de pontes toda semana:
| Categoria da Classe I no Anexo III | Onde aparece em uma ponte rolante |
|---|---|
| Produtos com a função de uma rede privada virtual | O túnel de serviço remoto que você instala para o seu engenheiro acessar de Zhejiang |
| Roteadores, modems destinados à conexão com a internet e switches | O roteador 4G no painel que dá à ponte o seu cartão SIM |
| Interfaces de rede físicas e virtuais | Placas e adaptadores de interface Ethernet, Wi-Fi e fieldbus |
| Sistemas operacionais | O sistema operacional de tempo real ou a versão do Windows dentro do painel HMI |
| Gestão de identidade e gestão de acesso privilegiado | O sistema de contas de acesso remoto usado pela sua equipe de serviço |
| Sistemas de gestão de informações e eventos de segurança | Apenas se você revende monitoramento de nível de planta junto com a ponte |
O Artigo 7(1) do CRA protege você de um efeito cascata: integrar um produto que tem a funcionalidade central de uma categoria de Classe I ou Classe II não arrasta, por si só, o produto hospedeiro para esses procedimentos. Mas você ainda precisa garantir que o fornecedor fez o seu trabalho, e se não há declaração de conformidade nem marca CE para esse componente, a responsabilidade é sua. Coloque isso no pedido de compra, não em uma ligação telefônica.
Cinco anos é o piso, e para equipamentos industriais o considerando manda você ir além. O Considerando 60 do CRA diz que o período de suporte não deve ser inferior a cinco anos, a menos que a vida útil do produto seja menor, e acrescenta que produtos "destinados ao uso em ambientes industriais, como sistemas de controle industrial, muitas vezes ficam em uso por períodos significativamente mais longos".
Leia isso ao lado da vida útil real de uma ponte, de 20 a 30 anos, e a lacuna é óbvia. Ninguém espera que um PLC de 2027 receba patches em 2052. O que o regulamento espera é que você diga, por escrito, quando os patches param.
O Anexo II exige que a data final do período de suporte seja fornecida ao usuário junto com o produto. Essa única linha no manual de instruções é o que um gerente de manutenção usará para planejar a modernização, e é o que um fiscal de vigilância de mercado lerá primeiro.
| Classe e regime de trabalho da ponte | Vida útil típica | Período de suporte declarado defensável |
|---|---|---|
| Ponte leve de oficina, A3-A4, 1-10 t | 15-20 anos | 5 anos para os componentes digitais, declarado como tal |
| Ponte de produção, A5-A6, 10-50 t | 20-25 anos | 8-10 anos, com um caminho documentado de atualização do controlador |
| Ponte pesada ou de processo, A7-A8, 50-100 t | 25-30 anos | 10 anos, mais uma janela contratual de migração |
| Ponte apenas com radiocontrole, sem rede | 15-20 anos | Período de suporte definido pelo equipamento de rádio, muitas vezes 5-7 anos |
Essas faixas de período são premissas de planejamento nossas, baseadas em registros de serviço chineses e europeus, não uma estatística publicada. O piso de cinco anos é lei; tudo acima disso é uma decisão comercial que deve ser tomada com o comprador antes do pedido, porque é muito mais barato prometer dez anos com um roteiro de controlador do que discutir isso no sexto ano.
O requisito de documentação técnica é a parte que transforma o processo CE existente de uma fábrica em um documento de trabalho. Um processo de ponte escrito para a antiga Diretiva de Máquinas normalmente contém desenhos, cálculos, avaliação de riscos, relatórios de ensaio e uma declaração. Quase nunca contém um inventário de componentes com versões.
| Item | Como aparece em uma ponte rolante | Lacuna comum hoje |
|---|---|---|
| Descrição geral e uso pretendido | Capacidade, vão, classe de trabalho, ambiente, interfaces | Normalmente presente, raramente menciona a interface de rede |
| Avaliação de riscos incluindo risco cibernético | O que acontece ao movimento se um sinal for falsificado ou reenviado | Ausente. A avaliação de risco de segurança para em perigos mecânicos |
| Lista de materiais de software | Cada biblioteca de terceiros e versão de firmware no controlador, HMI e gateway | Não existe. O Considerando 77 espera uma, e não exige que seja pública |
| Processo de tratamento de vulnerabilidades | Quem recebe um relato, quem faz a triagem, como a correção chega a uma ponte na Espanha | Ausente, e esta é a cláusula que o departamento de TI do comprador vai testar |
| Mecanismo de atualização seguro | Firmware assinado, rollback e um caminho que funcione sem conexão com a internet | Normalmente um pendrive e um e-mail, sem documentação |
| Política de divulgação coordenada e contato | Um contato público de segurança, não uma caixa de entrada de vendas | Ausente, e é o item mais barato da lista de corrigir |
Duas coisas merecem ser ditas claramente sobre a SBOM. Primeiro, o regulamento não obriga você a publicá-la. O Considerando 77 diz que os fabricantes "não devem ser obrigados a tornar a SBOM pública". Segundo, ela é inútil se for compilada uma única vez. O valor está em conseguir responder, dentro de um dia, se uma biblioteca divulgada na semana passada está dentro do firmware do seu controlador. Isso é um banco de dados, não um PDF.
Os três, de formas diferentes, e o importador carrega mais do que a maioria dos fornecedores chineses presume. Sob o CRA, o importador é a entidade da UE que coloca no mercado um produto com o nome de um fabricante não europeu. Ele precisa verificar que o fabricante cumpriu os requisitos essenciais de cibersegurança e tem processos de tratamento de vulnerabilidades em vigor, que a avaliação de conformidade foi realizada, que a documentação técnica existe e que a marca CE está aposta. Um importador que não faz isso não é um canal passivo; é uma parte responsável.
O fabricante pode nomear um representante autorizado dentro da União, por mandato escrito, para executar tarefas especificadas. É opcional, e não substitui as obrigações do próprio fabricante, mas é o mecanismo que torna um dever de notificação de 24 horas sobrevivível para uma empresa cujos engenheiros dormem quando a Europa está acordada.
| Papel | Dever central sob o CRA | Onde costuma quebrar |
|---|---|---|
| Fabricante | Projeto, avaliação de conformidade, CE, documentação, período de suporte, tratamento de vulnerabilidades, notificação em 24 horas | Nenhum processo que sobreviva a um fim de semana |
| Representante autorizado | Tarefas listadas em um mandato escrito, tipicamente ligação com autoridades e guarda da documentação | Mandato assinado, mas sem capacidade técnica por trás |
| Importador | Verificar conformidade, CE, documentação e o processo de vulnerabilidades do fabricante antes de colocar no mercado | Trata a ponte como qualquer outra máquina e pede apenas um certificado CE |
| Distribuidor | Verificar CE e declaração antes de disponibilizar o produto, agir se houver não conformidade | Arquiva um PDF, nunca confere a versão |
As penalidades explicam por que os importadores estão começando a perguntar. O Artigo 64 estabelece multas administrativas de até EUR 15.000.000 ou 2,5 % do faturamento anual total mundial, o que for maior, por violar os requisitos essenciais de cibersegurança e as obrigações do fabricante. Falhas de documentação e de procedimento ficam em EUR 10.000.000 ou 2 %. Fornecer informação incorreta, incompleta ou enganosa a um organismo notificado ou a uma autoridade de vigilância de mercado fica em EUR 5.000.000 ou 1 %.
| Infração | Multa administrativa máxima |
|---|---|
| Requisitos essenciais de cibersegurança, obrigações do fabricante | EUR 15.000.000 ou 2,5 % do faturamento anual mundial, o que for maior |
| Importador, distribuidor e outras obrigações de procedimento | EUR 10.000.000 ou 2 % do faturamento anual mundial, o que for maior |
| Informação incorreta, incompleta ou enganosa às autoridades | EUR 5.000.000 ou 1 % do faturamento anual mundial, o que for maior |
Para um fabricante de pontes de porte médio, o ramo percentual raramente morde. O ramo de EUR 15 milhões não se importa com o seu número de funcionários, e receber ordem de retirar um modelo do mercado da UE custa mais do que qualquer multa.
Sistemas de controle industrial não são um alvo teórico. Só o fluxo de divulgação conta uma história: o número de avisos industriais publicados não para de subir, e a severidade sobe junto.
| Métrica | Valor | Fonte |
|---|---|---|
| Avisos de ICS publicados em 2025 | 508, cobrindo 2.155 CVEs (primeiro ano acima de 500) | Forescout Research, fevereiro de 2026, com dados da CISA |
| CVSS médio desses avisos | 8,07, alta de 25 % frente a 6,44 em 2010; 82 % altos ou críticos | Forescout Research, fevereiro de 2026 |
| Avisos acumulados desde 2010 | 3.637 avisos, 12.174 vulnerabilidades, 2.783 produtos, 689 fornecedores | Forescout Research, fevereiro de 2026 |
| Dispositivos OT com vulnerabilidades exploradas conhecidas | 12 % de mais de 940.000 dispositivos em 270 organizações | Claroty Team82, State of CPS Security 2025 |
| Organizações com esses dispositivos expostos à internet | 40 %, chegando a 31 % no subconjunto em que a vulnerabilidade está ligada a ransomware | Claroty Team82, State of CPS Security 2025 |
| Crescimento de ransomware na indústria, 2024 a 2025 | 61 %, o maior aumento de qualquer setor crítico | Claroty, 31 de outubro de 2025 |
Leia a quarta e a quinta linha juntas. Cerca de quatro em cada dez das plantas pesquisadas tinham acesso remoto inseguro em ativos que já carregavam uma vulnerabilidade explorada conhecida. Essa é exatamente a configuração criada por um gateway de diagnóstico parafusado em uma ponte para que a fábrica ajude o cliente sem enviar um engenheiro. O gateway não é o problema. O gateway com senha compartilhada e sem caminho de atualização é.
Os radiocontroles chegaram a essa festa primeiro. O Regulamento Delegado (UE) 2022/30 da Comissão tornou obrigatórios os requisitos essenciais de cibersegurança do Artigo 3(3)(d), (e) e (f) da Diretiva de Equipamentos de Rádio para categorias listadas de equipamentos de rádio a partir de 1º de agosto de 2025. Um par transmissor e receptor de ponte é equipamento de rádio, então toda unidade portátil embarcada para a UE desde essa data está dentro.
As normas harmonizadas são a EN 18031-1:2024, para equipamentos de rádio conectados à internet, e a EN 18031-2:2024, para equipamentos que tratam dados pessoais. Elas são citadas no Jornal Oficial com restrições, e uma restrição é incomumente concreta. A citação na Decisão de Execução (UE) 2025/138 traz um aviso de que a EN 18031-1 não confere presunção de conformidade se, ao aplicar as suas cláusulas 6.2.5.1 e 6.2.5.2, "for permitido ao usuário não definir e não usar nenhuma senha".
Essa única frase desqualifica muito hardware. Um transmissor embarcado com código de pareamento fixo e sem exigência de definir senha não pode se apoiar na norma harmonizada. Isso não torna o produto ilegal automaticamente, mas remove a via mais fácil de demonstrar conformidade, e o departamento de compliance do comprador vai encontrar isso.
| Classe de ataque contra radiocontrole industrial | O que o atacante faz | Pergunta a fazer ao fornecedor |
|---|---|---|
| Captura e reenvio | Grava um telegrama válido e o retransmite depois para fazer a ponte se mover | O enlace é criptografado, e os telegramas são protegidos contra reenvio com contador ou timestamp? |
| Injeção de comando | Decodifica a estrutura do telegrama e substitui por um comando diferente | Existe autenticação de mensagem sobre a carga do comando, e não apenas sobre o endereço? |
| Reprogramação maliciosa | Reescreve o mapeamento entre um elemento de comando e uma saída da máquina | O firmware pode ser gravado sem uma imagem assinada e uma etapa física de serviço? |
| Re-pareamento malicioso | Emula o transmissor original para que o receptor aceite um novo | O pareamento exige acesso físico ao receptor e uma chave autorizada? |
As quatro classes de ataque acima são a taxonomia usada pela HBC-radiomatic no seu white paper publicado sobre segurança em radiocontrole industrial, que também observa que a empresa fornece transmissão de rádio totalmente criptografada há mais de uma década e submete sistemas a testes de penetração externos quando viável. Esse é o padrão com que um fornecedor sério trabalha hoje. Também é uma referência razoável para um comprador que compara um controle remoto europeu com um mais barato: a pergunta não é se a ficha técnica diz "criptografado", é qual das quatro classes está fechada e como você provaria isso.
A IEC 62443 é a resposta industrial para "como mostro que fiz isso direito", e não substitui a marcação CE. É uma certificação do seu processo de desenvolvimento e dos requisitos técnicos de segurança do seu produto. O processo CE ainda precisa existir.
Três partes importam para um fabricante de pontes: a 4-1 para o ciclo de vida de desenvolvimento seguro, a 4-2 para os requisitos técnicos de segurança do componente e a 3-3 para o sistema. As taxas de esquema e faixas de avaliação publicadas em 2026 dão uma ordem de grandeza utilizável.
| O que é certificado | Norma | Taxa do esquema | Avaliação, faixa típica |
|---|---|---|---|
| Ciclo de vida de desenvolvimento seguro | 62443-4-1 | USD 1.500 por ano | EUR 15.000-35.000 no nível de maturidade 2 |
| Componente | 62443-4-2 | USD 1.200 por componente ou 1.500 por família, por ano | EUR 25.000-50.000 além de um processo 4-1 já certificado |
| Sistema | 62443-3-3 | USD 1.200 por ano | EUR 30.000-50.000 |
| Primeira certificação de dispositivo, tudo incluído | Esquema ISASecure | Incluída acima | USD 50.000-75.000, conforme o próprio FAQ do esquema |
As normas em si são a linha mais barata e a mais frequentemente pulada. A IEC vende cada parte separadamente: a 62443-4-1 custa CHF 335 e a 62443-4-2 custa CHF 405, então o conjunto mínimo de um fornecedor de produto é CHF 740. O conjunto completo necessário para entender o que uma planta vai exigir dos seus prestadores de serviço fica abaixo de CHF 3.000. Comprar a norma é mais barato do que pagar um consultor para resumi-la.
Há uma segunda via que importa especificamente para o Regulamento de Máquinas. A certificação sob um esquema de cibersegurança adotado no âmbito do Regulamento (UE) 2019/881 confere presunção de conformidade com as seções 1.1.9 e 1.2.1 do Anexo III do MR. O esquema atual é o EUCC, estabelecido pelo Regulamento de Execução (UE) 2024/482, aplicável desde 27 de fevereiro de 2025, com dois níveis de garantia, "substancial" e "alto". A autoavaliação não é permitida sob o EUCC. Para um fabricante de pontes que quer um certificado servindo às duas leis, esse é o mecanismo, e o preço é de um projeto sério, não de uma revisão de documentos.
Ninguém neste setor publica um número por unidade, então aqui está o nosso. Os valores abaixo são estimativas de planejamento da SIEC para uma linha de três modelos de pontes controladas por PLC, construídas a partir dos nossos próprios orçamentos de ensaios e trabalho de documentação. Não são uma estatística publicada e vão variar com o escopo do sistema de controle.
| Pacote de trabalho | Primeiro ano | Recorrente |
|---|---|---|
| Modelo de ameaças e avaliação de risco cibernético adicionados ao processo de segurança | 5-8 dias de engenheiro | 1-2 dias por mudança de modelo |
| Construção e atualização da SBOM para controlador, HMI e gateway | 4-6 dias | 1-2 dias por trimestre |
| Teste de penetração externo do gateway e do enlace de rádio | EUR 8.000-15.000 | EUR 8.000-15.000 a cada 2-3 anos |
| Documentação, declaração de conformidade, atualização do manual de instruções | 3-5 dias | 1-2 dias por ano |
| Tratamento de vulnerabilidades e dever de notificação em 24 horas | Montagem do processo, 3-4 dias | 4-8 dias por ano mais cobertura de plantão |
| Opcional: certificação EUCC ou IEC 62443-4-2 | EUR 40.000-90.000 | Taxas de esquema mais auditoria de supervisão |
| Total sem certificação de terceiros | EUR 25.000-55.000 | EUR 10.000-25.000 por ano |
Amortizado sobre a produção, o quadro muda completamente. Com quarenta pontes por ano, o custo do primeiro ano é de EUR 625 a 1.375 por unidade. Com oito pontes por ano, é de EUR 3.100 a 6.900 por unidade, o que está na mesma ordem do frete de uma única máquina de 20 toneladas. O valor recorrente é o que decide se um fabricante pequeno pode permanecer no segmento: EUR 10.000 a 25.000 por ano não reduzem com o volume, então o custo fixo por ponte sobe à medida que a carteira de pedidos encolhe.
A linha que as pessoas subestimam é o dever de notificação. Um relógio de 24 horas significa que alguém precisa estar acessível às 3 da manhã no horário europeu, a partir de Zhejiang. Na prática, isso significa ou um parceiro de serviço europeu com processo de incidentes, ou uma escala de plantão. Ambos custam dinheiro, e nenhum dos dois aparece em um orçamento.
Compradores que entendem os dois regimes escrevem pedidos de compra diferentes dos que não entendem. Estas são as cláusulas que hoje vemos em consultas europeias e as que colocaríamos se estivéssemos do lado comprador.
| Cláusula | Redação que funciona |
|---|---|
| 1. Inventário | Listar todo produto com elementos digitais na ponte, com marca, modelo e versão de firmware |
| 2. Declarações | Fornecer a declaração CE de conformidade para cada item de terceiros, ou declarar por escrito que não existe |
| 3. Período de suporte | Declarar a data final de suporte no manual de instruções e nomear o responsável por ela |
| 4. Acesso remoto | Conexão apenas de saída, sem porta de entrada, credenciais por site, sem conta de serviço compartilhada |
| 5. Enlace de rádio | Transmissão criptografada, contador de reenvio, senha obrigatória no primeiro uso, etapa de pareamento físico |
| 6. Atualizações | Firmware assinado, caminho de atualização offline documentado, procedimento de rollback |
| 7. SBOM | Entregar sob solicitação em até cinco dias úteis, sob NDA, atualizada a cada versão de firmware |
| 8. Notificação | Notificar o comprador em até 24 horas após tomar conhecimento de uma vulnerabilidade ativamente explorada que afete a ponte |
| 9. Escalonamento | Contato de segurança nomeado com tempo de resposta, não um endereço geral de vendas |
| 10. Controle de mudanças | Qualquer substituição de controlador, HMI ou gateway exige aprovação por escrito e processo atualizado |
A cláusula 10 é a que protege o comprador da falha real mais comum. Um controlador é trocado na fábrica por atraso de fornecimento, ninguém atualiza a documentação, e dezoito meses depois a ponte no site não corresponde mais ao processo que foi declarado. Sob o Regulamento de Máquinas isso é um problema de conformidade. Sob o CRA é uma falha de documentação que se enquadra na faixa de EUR 10 milhões.
Pedidos feitos agora caem na janela em que os dois regimes se sobrepõem, e a sequência importa mais do que a papelada.
| Etapa | Momento | O que precisa estar pronto |
|---|---|---|
| Pedido e congelamento de projeto | 4º tri de 2026 ao 1º tri de 2027 | Inventário de componentes e declarações de fornecedores fechados com o pedido, não depois |
| Aplicação do Regulamento de Máquinas | 20 de janeiro de 2027 | Evidência do Anexo III 1.1.9: arquitetura de conectividade, intervenções registradas, software de segurança protegido |
| Dever de notificação do CRA sobre a frota existente | Já em vigor desde 11 de setembro de 2026 | Um contato nomeado e um processo de triagem escrito para cada ponte conectada já na UE |
| Obrigações principais do CRA | 11 de dezembro de 2027 | Avaliação de conformidade do CRA, declaração, CE, SBOM, período de suporte declarado |
| Primeiro ciclo de auditoria do CRA | 2028 | Evidência de que o processo de vulnerabilidades realmente rodou, não apenas de que foi escrito |
A consequência prática é que uma ponte entregue no segundo semestre de 2027 precisa satisfazer o Regulamento de Máquinas na entrega e estará dentro do regime do CRA em poucos meses. Projetar o processo uma vez, para os dois, é mais barato do que adaptar um ao outro. O sistema de controle é onde os dois se sobrepõem: a 1.1.9 pergunta se uma intervenção pode corromper uma função de segurança, e o CRA pergunta se você consegue saber disso e corrigir.
A conformidade cibernética de pontes rolantes não é um truque europeu para manter pontes chinesas de fora. É uma lei de documentação e processo, e uma fábrica que já constrói um processo CE adequado está mais perto da conformidade do que o prazo sugere. O que ela pune é o arranjo com que a maioria dos exportadores conta hoje: um PLC e um gateway de terceiros, uma senha compartilhada, um caminho de atualização não documentado e ninguém que se responsabilize pela questão.
O dever de notificação é a parte a corrigir primeiro, porque já está em vigor e custa quase nada para montar direito. Um contato nomeado, um processo curto de triagem por escrito e uma regra de que qualquer relato de cliente sobre comportamento anormal da ponte chegue a esse contato dentro de uma hora. Isso é uma semana de trabalho. A alternativa é descobrir a obrigação no meio de um incidente, com um relógio de 24 horas já correndo e um importador perguntando por que não foi avisado.
Sim, se qualquer parte dela for um produto com elementos digitais que se conecta direta ou indiretamente a outro dispositivo. Uma ponte com um PLC e um HMI em rede local, sem rota para a internet, continua dentro do escopo. O regulamento cobre também a conexão indireta, e um notebook de técnico plugado no painel é uma conexão. O que muda sem acesso à internet é o risco prático, não o escopo legal.
Não. Se a ponte leva o seu nome ou a sua marca, você é o fabricante segundo o CRA, e o dever de notificação é seu. Seu distribuidor é um importador se coloca o produto no mercado, o que lhe impõe deveres de verificação, mas não transfere as suas obrigações. Colocar a sua marca na máquina e o nome do distribuidor na papelada não move a responsabilidade.
O radiocontrole é equipamento de rádio e também um produto com elementos digitais. Os requisitos cibernéticos da Diretiva de Equipamentos de Rádio se aplicam desde 1º de agosto de 2025 por meio do Regulamento Delegado 2022/30, com as EN 18031-1 e EN 18031-2 como normas harmonizadas. O CRA acrescenta uma camada horizontal separada que cobre o produto inteiro e o seu ciclo de vida. Não presuma que um certificado fecha o outro; a orientação da Comissão sobre a combinação de instrumentos é que o fabricante deve demonstrar as sinergias.
Você notifica mesmo assim. O prazo de 72 horas é para a notificação completa, não para a correção. O relatório final sobre uma vulnerabilidade ativamente explorada vence no máximo 14 dias após a disponibilização de uma medida corretiva, o que é um relógio diferente e reconhece que uma correção leva mais tempo que uma notificação. O que você não pode fazer é esperar a correção antes de avisar alguém.
Não. A IEC 62443 não é referenciada como norma harmonizada que dê presunção automática de conformidade sob o CRA. O que o Regulamento de Máquinas oferece é que a certificação sob um esquema adotado no âmbito do Regulamento (UE) 2019/881 confere presunção de conformidade com as seções 1.1.9 e 1.2.1 do Anexo III. A IEC 62443 é o caminho prático para construir o processo, e o comprador pode exigi-la, mas não é a porta legal. Para uma talha vendida como produto separado, a mesma lógica se aplica ao seu próprio controlador e declaração.
Sim. A Comissão declarou em 11 de setembro de 2026 que as obrigações de notificação se aplicam a todos os produtos com elementos digitais disponibilizados na UE, incluindo os que já estão no mercado. O dever recai sobre o fabricante, não sobre a data da venda. Na prática, a maioria das pontes de 2018 não tem conexão remota nem forma de você saber de uma vulnerabilidade explorada, o que é um argumento para documentar esse fato em vez de presumir que a pergunta não será feita.
Artigos relacionados:
Escopo de Pontes no CBAM: O Que o Trílogo de Outubro Significa para Compradores a Partir de 2028
Normas Europeias de Pontes em 2026: prEN 15011, o Regulamento de Máquinas e o Que Muda
Automação e Operação Remota de Pontes em 2026: O Que os Compradores Realmente Recebem
Modernização vs Substituição de Pontes em 2026: Custo, Parada e Conformidade
Peças de Reposição, Redes de Serviço e Disponibilidade: O Que Realmente Define o Tempo de Recuperação
Pontes Especiais: Máquinas com Garra, para Pré-Moldados, Decapagem e Sala Limpa