Se sua empresa fornece produtos com elementos digitais — como um termostato inteligente, software que acompanha uma máquina ou um aplicativo que se comunica com um dispositivo — a Lei de Resiliência Cibernética exige um dossier que demonstre como a segurança cibernética desse produto foi garantida. Em linhas gerais, envolve uma avaliação de risco do produto, documentação técnica sobre seu funcionamento e segurança, uma visão geral dos componentes de software utilizados, um processo para lidar com vulnerabilidades e uma declaração de conformidade. A estrutura e os nomes precisos estão no texto oficial do regulamento; consulte-o ou sua autoridade supervisora para a aplicação exata ao seu produto.
O que diferencia este dossier de, por exemplo, um dossier de segurança de produto ou um dossier de embalagem, é que ele não está pronto no momento da entrega. Um dossier de segurança de produto descreve um produto como sai da fábrica. O dossier de cibersegurança também deve mostrar o que acontece após essa entrega: como você identifica vulnerabilidades, com que rapidez você lança uma atualização e como você documenta isso. Esse é o detalhe que mais importa neste assunto e onde empresas acostumadas com dossiers únicos mais facilmente tropeçam.
O que normalmente está no dossier
Na maioria dos produtos com elementos digitais, um dossier de cibersegurança se resume a uma combinação dos seguintes componentes. Uma análise de risco que descreve quais riscos cibernéticos estão associados ao produto e como foram tratados. Uma visão geral técnica da arquitetura, incluindo qual software e quais componentes de terceiros estão nela — frequentemente referido como um software bill of materials, uma lista de todos os componentes de software no produto. Uma descrição do processo pelo qual você identifica, avalia e remedia vulnerabilidades. E uma declaração indicando que o produto atende aos requisitos aplicáveis.
Se seu produto precisa precisamente desses documentos e em que forma, depende do tipo de produto e da categoria em que se enquadra. Esta é uma questão material que está fora do escopo do reglia; para isso, o texto do regulamento ou um advogado é o melhor ponto de referência. Uma primeira orientação sobre quais obrigações podem estar relacionadas ao seu tipo de empresa encontra-se em o resumo das plataformas conectadas.
Por que o processo de atualização merece atenção especial
Muitos dos outros dossiers que uma empresa possui são essencialmente um instantâneo: você os preenche, você os mantém e você os atualiza quando algo substancial muda. O dossier de cibersegurança exige algo diferente: um processo contínuo que você também pode demonstrar. Quem relata uma vulnerabilidade, dentro de qual prazo ela é avaliada e como uma atualização chega ao usuário? Isso não é algo que você escreva uma vez e depois deixe de lado — é uma parte do dossier que continua evoluindo enquanto o produto está em uso.
Na prática, isso significa que o dossier contém dois tipos de informação: partes fixas que mudam quando o produto em si muda e um registro contínuo que cresce com cada atualização ou relato. Empresas que não fazem essa distinção correm o risco de ter um dossier completo no papel, mas que na prática não demonstre como a segurança foi mantida após a entrega. Se e como isso se aplica ao seu produto, você avalia melhor junto com um advogado ou a autoridade responsável.
Um dossier, mas não sua única obrigação
Um produto com elementos digitais que vende a consumidores normalmente se enquadra na prática em mais do que apenas a Lei de Ciberresiliência. Os mesmos dados sobre o produto — especificações, país de destino, responsável dentro da sua empresa — aparecem também em segurança de produtos, em embalagens e às vezes em dados pessoais. Reglia não preenche essa regulamentação por si, mas garante que você preencha um dossier empresarial e de produtos uma única vez e que as plataformas que realmente tratam disso leiam esse dossier em vez de você digitá-lo quatro vezes. Como exatamente funciona e o que reglia faz e não faz com esses dados, você lê em a explicação sobre como reglia funciona.
Quem quiser saber como os dados são protegidos e quem tem acesso a eles, encontra isso em a página sobre segurança e privacidade. Criar uma conta é gratuito e não o obriga a nada; o que você usar posteriormente em uma plataforma, paga lá, pela tarifa que essa plataforma cobra.
Curioso sobre quais plataformas estão conectadas ao reglia e qual parte do seu negócio cada uma delas afeta? Consulte perguntas mais frequentes sobre reglia ou veja o resumo de soluções disponíveis.