O setor de semicondutores enfrenta uma grande transformação regulatória com a entrada em vigor da Lei de Resiliência Cibernética (CRA) da União Europeia, onde os requisitos de segurança deixaram de se limitar apenas ao software, estendendo-se aos componentes de hardware e à propriedade intelectual (IP) que formam a espinha dorsal dos dispositivos digitais modernos.
Estrutura da lei CRA e seu escopo de aplicação
A lei, adotada em outubro de 2024, visa estabelecer requisitos mínimos de segurança para produtos digitais vendidos no mercado da União Europeia. Estas regras aplicam-se às empresas independentemente da sua localização geográfica, desde que os seus produtos cheguem aos consumidores europeus. O escopo inclui diretamente semicondutores vendidos separadamente, além de fornecedores de propriedade intelectual que podem ser obrigados a apresentar resultados de avaliação de segurança e explicar as premissas de uso seguro de seus componentes.
A lista alvo inclui uma ampla gama de produtos técnicos, tais como:
- Microprocessadores.
- Microcontroladores.
- Circuitos integrados de aplicação específica (ASICs).
- Matrizes de portas lógicas programáveis (FPGAs).
Prazos e obrigações regulatórias
A aplicação da lei passa por fases temporais específicas que impõem pressões sobre os cronogramas de desenvolvimento técnico:
- Setembro de 2026: Início da fase de notificação obrigatória, onde os fabricantes devem fornecer um aviso prévio ao detectar vulnerabilidades que estejam sendo exploradas ativamente, seguido de um relatório detalhado sobre as ações corretivas através da plataforma de notificação unificada.
- 11 de dezembro de 2027: Prazo final para conformidade total, quando os requisitos de documentação técnica e avaliação de conformidade entrarão em vigor, e a obtenção da marcação CE será uma condição essencial para colocar produtos no mercado.
Por que esta notícia é importante?
Este desenvolvimento representa uma mudança fundamental na responsabilidade pela cibersegurança em toda a cadeia de suprimentos. Em vez de colocar o ônus inteiramente sobre os fabricantes de dispositivos finais, a lei exige que os fornecedores de componentes e propriedade intelectual apresentem evidências de segurança concretas. Isso significa que as empresas que projetam chips devem provar que ativos sensíveis, como chaves de criptografia e estados de depuração (Debug states), estão protegidos dentro do próprio design, e não apenas por meio de software externo.
Preparação e verificação da segurança do hardware
Em resposta a esses desafios, empresas especializadas como a Arteris começaram a desenvolver ferramentas para ajudar os projetistas a cumprir as normas, como o guia de prontidão de hardware (Hardware Readiness Guide) e ferramentas de verificação como a Radix. Estas ferramentas visam transformar os requisitos de segurança em regras que podem ser testadas durante as fases de simulação e emulação, permitindo identificar pontos fracos no design antes que o produto chegue à fase de fabricação final.