Axis Communications explica Regulamento da Ciberresiliência e videovigilância: como as novas normas europeias estão a redefinir a segurança dos dispositivos conectados

A Axis Communications, empresa líder em sistemas de vídeo em rede a nível global, destaca a entrada em vigor, a 11 de setembro, das obrigações de notificação de vulnerabilidades previstas no Regulamento da Ciberresiliência (CRA), uma data crucial para o ecossistema tecnológico e de segurança europeu. Esta nova regulamentação da União Europeia, concebida para elevar o nível de cibersegurança de todos os produtos de hardware e software ligados à rede, introduz requisitos rigorosos e estabelece normas em grande escala para fabricantes, importadores e distribuidores, complementando outras diretivas existentes de importância vital, como a NIS2.

O principal objetivo da CRA é proteger os consumidores e as empresas dos riscos decorrentes de dispositivos com cibersegurança inadequada e garantir que qualquer produto com componentes digitais respeite o princípio “Secure by Design”. No setor da videovigilância, isto significa não apenas proteger o hardware conectado contra possíveis intrusões, mas também salvaguardar os dados sensíveis que este regista.

Neste contexto, a Axis Communications destaca a importância de toda a cadeia de abastecimento se preparar para os novos requisitos através de uma abordagem estruturada em matéria de cibersegurança. Mais concretamente, há quatro áreas nas quais o setor deve focar-se.

A partir de 11 de setembro, entraram em vigor as novas obrigações relativas à notificação de vulnerabilidades e incidentes graves de segurança. A regulamentação impõe prazos extremamente rigorosos para proteger os utilizadores: deverá ser enviado um aviso inicial às autoridades competentes no prazo de 24 horas a contar da descoberta, seguido de uma notificação completa no prazo de 72 horas. Por último, deverá ser apresentado um relatório final no prazo de 14 dias a contar da adoção de uma medida corretiva (ou no prazo de um mês, no caso dos incidentes mais graves). As sanções por incumprimento foram concebidas para funcionar como um forte elemento dissuasor, com multas que podem atingir os 15 milhões de euros ou 2.5 % do volume de negócios anual global da empresa.

Os dispositivos conectados devem ser concebidos e desenvolvidos com a cibersegurança integrada desde o início, de acordo com os princípios de “Security by Design” e “by Default”. A CRA exige que cada produto seja submetido a uma avaliação rigorosa do risco informático, que deverá ser documentada e atualizada ao longo de todo o ciclo de vida do dispositivo. A UE pretende que os produtos que chegam ao mercado sejam seguros desde o momento da sua aquisição e não exijam configurações complexas por parte do utilizador. A CRA prevê, além disso, que cada produto seja submetido a uma avaliação rigorosa do risco informático, que deverá ser documentada e atualizada ao longo de todo o seu ciclo de vida. Uma verdadeira arquitetura “Secure by Design” baseia-se numa sólida raiz de confiança de hardware (Hardware Root of Trust, HRoT), como a utilização de elementos seguros para o armazenamento de chaves criptográficas, sobre os quais assenta o sistema operativo do dispositivo.

Tal como acontece com os computadores ou os smartphones, os componentes digitais de qualquer dispositivo ligado à Internet, incluindo as câmaras IP, devem poder receber atualizações de segurança de forma simples e por predefinição. A regulamentação exige que estas atualizações estejam disponíveis durante toda a vida útil do produto, estabelecendo um período mínimo obrigatório de suporte de, pelo menos, cinco anos (com algumas exceções). Por isso, o fabricante deve comunicar claramente qual é a data limite do suporte às atualizações para esse produto. Para além disso, os fabricantes devem fornecer documentação técnica transparente e instruções claras para ajudar o utilizador final na instalação das atualizações.

O âmbito de aplicação do Regulamento da Ciberresiliência é extremamente vasto e define um ecossistema baseado na responsabilidade partilhada. Embora os fabricantes devam garantir que todos os componentes relevantes dos seus dispositivos (incluindo os sistemas operativos e as bibliotecas de terceiros) cumpram as normas de cibersegurança, os importadores e distribuidores também devem exigir as mesmas garantias aos próprios fabricantes. Esta abordagem reforça a necessidade de uma colaboração estreita ao longo de toda a cadeia de valor, desde os fornecedores de componentes até aos integradores de sistemas, para que a conformidade regulamentar se torne um mecanismo de proteção mútua e um fator de confiança para o cliente final.

A Axis adotou uma abordagem estruturada à cibersegurança que abrange todo o ciclo de vida dos produtos. O Modelo de Desenvolvimento de Segurança (SDM) integra a segurança nas diferentes fases de desenvolvimento, enquanto a gestão contínua das vulnerabilidades, o seu papel como autoridade de numeração CVE e a adoção de funcionalidades de segurança de hardware contribuem para reforçar a resiliência dos dispositivos ao longo do tempo.

“O Regulamento da Ciberresiliência representa um passo significativo na evolução dos requisitos de cibersegurança para os produtos conectados,” afirma Bruno Azula, Iberia Sales Manager da Axis Communications. “A regulamentação consolida um princípio que consideramos fundamental: a segurança deve ser uma prioridade desde as primeiras fases de design e acompanhar o produto ao longo de todo o seu ciclo de vida. Para o setor da videovigilância, isto implica uma atenção constante à gestão de vulnerabilidades, às atualizações e à segurança de toda a infraestrutura, além de uma colaboração cada vez maior entre os diferentes intervenientes da cadeia de abastecimento.”

Para obter mais informações sobre a abordagem da Axis relativamente ao Regulamento da Ciberresiliência, pode consultar a declaração oficial da empresa neste link.