Sou fabricante? A pergunta do CRA que ninguém responde.
Quem publica um plugin quer saber se o Regulamento Ciber-Resiliência o torna fabricante. As fontes disponíveis dão duas respostas diferentes.
A pergunta cabe em uma frase. Você criou um plugin de WordPress, ele está no diretório aberto, qualquer pessoa pode baixar, e ao lado você vende uma versão Pro. Isso faz de você fabricante no sentido do Regulamento Ciber-Resiliência, o Regulamento (UE) 2024/2847?
A resposta honesta é incômoda. Depende, as fontes se contradizem exatamente nesse ponto, e parte das vozes mais altas do mercado vende as ferramentas que prometem resolver a questão. Em agosto de 2026 verificamos de forma sistemática a afirmação de que plugins gratuitos com versão Pro caem automaticamente sob o CRA, comparando com as fontes disponíveis. O resultado não é um sim limpo nem um não limpo.
Por isso aqui não há uma resposta que não existe. Aqui está o que o regulamento diz, o que a Comissão diz sobre ele, onde os dois se separam e com quais perguntas você organiza a sua própria situação. Isto é uma explicação e não aconselhamento jurídico. Vale também para quem desenvolve no Brasil: o CRA é direito da União Europeia e interessa a quem coloca o próprio produto no mercado europeu.
A frase que faz a maioria se encolher
Comece pela definição. A exceção vem depois. O artigo 3.º, ponto 1 do CRA descreve o produto com elementos digitais como "a software or hardware product and its remote data processing solutions, including software or hardware components being placed on the market separately". Levado ao nosso caso: um módulo de software distribuído separadamente está incluído. Um plugin é um módulo de software distribuído separadamente.
O artigo 3.º, ponto 13 define em seguida o fabricante: quem desenvolve ou manda desenvolver produtos com elementos digitais e os comercializa sob o próprio nome ou a própria marca, "whether for payment, monetisation or free of charge". Essa última fórmula é o ponto em que a discussão costuma terminar antes de começar. Ela diz que o preço não faz parte do conceito de fabricante: cobrar, monetizar de outro jeito ou entregar de graça dá no mesmo. O que conta é comercializar sob nome próprio.
Uma ressalva que vale para o texto inteiro: durante a nossa pesquisa o EUR-Lex não devolveu conteúdo em nenhuma das formas de URL que testamos. As citações dos artigos vêm de reproduções do texto integral que coincidiam entre si. Por isso elas ficam em inglês e são explicadas ao lado em vez de traduzidas: uma tradução nossa simularia uma exatidão que não podemos comprovar. Quem for reutilizar uma citação literal, confira antes no EUR-Lex.
O contrapeso está na orientação da Comissão
No fim de julho de 2026 a Comissão Europeia publicou uma orientação de aplicação do CRA, referência C(2026) 5252, composta por uma comunicação e um anexo com as instruções propriamente ditas. Cerca de 80 páginas, 67 exemplos práticos, fluxogramas, com microempresas e pequenas e médias empresas como público expresso. Uma nota curta sobre exatidão: a Comissão data o documento em Bruxelas, 27 de julho de 2026, enquanto a heise online noticia a publicação em 28 de julho de 2026. Provavelmente data de emissão contra data de publicação. Por isso escrevemos fim de julho e citamos a referência.
No conteúdo, a orientação diz sobre código aberto o contrário do que muita gente espera depois de ler o artigo 3.º: software de código aberto livremente disponível fica em princípio fora do âmbito de aplicação do CRA enquanto não for comercializado. Contam como atividade comercial, segundo a orientação, entre outras coisas a venda do software, edições enterprise pagas, a monetização de serviços através do programa, a exigência de dados pessoais além das finalidades de segurança e interoperabilidade e doações que na prática funcionam como condição de acesso.
Expressamente não comerciais são, segundo a orientação, contribuições voluntárias, financiamento público e patrocínio isoladamente. Serviços de suporte pagos não submetem um projeto ao CRA automaticamente, desde que o software em si continue livremente disponível.
Repare no que falta no regulamento: o CRA não define o conceito de atividade comercial de forma autônoma no articulado. Os critérios vêm dos considerandos e dessa orientação. É exatamente daí que nasce o espaço em que as leituras se separam.
O administrador é um regime mais leve, não um passe livre
Entre o fabricante e quem não participa existe um terceiro papel. O artigo 3.º, ponto 14 do CRA define o administrador de software de código aberto (open-source software steward) como a pessoa coletiva que não é fabricante e cuja finalidade consiste em apoiar de forma duradoura e sistemática o desenvolvimento de determinados produtos com elementos digitais considerados software livre e de código aberto e destinados a atividades comerciais.
O que decorre disso está no artigo 24.º. O n.º 1 exige uma política de cibersegurança documentada que promova o desenvolvimento seguro e o tratamento de vulnerabilidades, incluída a notificação voluntária do artigo 15.º. O n.º 2 exige cooperação com as autoridades de fiscalização do mercado e, mediante pedido fundamentado, a entrega da documentação numa língua facilmente compreensível para a autoridade. O n.º 3 declara aplicável aos administradores o artigo 14.º, n.º 1 quanto aos produtos em cujo desenvolvimento participam, e o artigo 14.º, n.os 3 e 8 na medida em que incidentes graves atinjam a própria infraestrutura de desenvolvimento.
Guarde a combinação: os administradores têm dever de notificação a partir de 11 de setembro de 2026, mas segundo o artigo 64.º, n.º 10 nenhuma coima. Quem ouve "está no âmbito do CRA" e pensa em multa tem a imagem errada para esse papel. O que vale para fabricantes a partir de 11 de setembro de 2026 e quais prazos correm está detalhado no texto sobre as obrigações de notificação do CRA.
Aqui as fontes se separam
O caso central é o plugin gratuito no diretório aberto e, ao lado, uma versão Pro paga do mesmo fornecedor. Existem duas leituras e elas levam a resultados diferentes.
Leitura A: a versão gratuita é avaliada por si só
Por essa leitura, a versão livre é examinada em separado. Se ela mesma não é monetizada, ou seja, se não é preciso comprar nada, se não há bloqueio de acesso nem de atualizações mediante pagamento e se não há tratamento de dados além das finalidades de segurança e interoperabilidade, então ela não fica automaticamente sujeita aos deveres completos do fabricante só porque o mesmo fornecedor vende ao lado uma versão Pro. A Open Regulatory Compliance Working Group resume a orientação no sentido de que uma pessoa coletiva pode assumir papéis diferentes ao mesmo tempo, inclusive para versões diferentes do mesmo software, edição comunitária e edição monetizada incluídas. Isso é sustentado pelo considerando 18 do regulamento, segundo o qual o fornecimento de produtos considerados software livre e de código aberto e não monetizados pelos seus fabricantes não deve ser considerado atividade comercial. O considerando 18 também registra que a mera existência de lançamentos regulares e o mero apoio financeiro por parte de fabricantes não bastam, por si sós, para dar natureza comercial à atividade.
Leitura B: a versão Pro tinge a gratuita
Vários fornecedores especializados em conformidade com o CRA formulam de maneira mais ampla. Quem vende o plugin, oferece uma versão Pro, presta suporte pago ou monetiza de qualquer forma estaria fornecendo no quadro de uma atividade comercial e estaria no âmbito de aplicação, independentemente da licença GPL. Curiosamente, um desses mesmos fornecedores diferencia em outro lugar e pergunta se o produto gratuito serve como instrumento de venda de uma oferta paga.
E agora a declaração que pertence a essa posição: esses fornecedores vendem ferramentas e consultoria de conformidade com o CRA a quem desenvolve plugins. Não se pode descartar um interesse econômico numa leitura o mais ampla possível do âmbito de aplicação, porque mais pessoas abrangidas significam mais clientes. Isso não é acusação e não torna a afirmação falsa. Significa apenas que essa formulação não vem da orientação. Ela é a interpretação da orientação por participantes do mercado com interesse próprio. Quem pondera uma fonte, pondera também o interesse dela.
Outra ressalva que quase ninguém entrega junto: o anexo de C(2026) 5252 não pôde ser processado por máquina. Todas as afirmações de conteúdo sobre código aberto neste texto vêm do comunicado de imprensa da Comissão, de mídia especializada e de blogs de organizações. Não conferimos os 67 exemplos nem os critérios exatos de delimitação. Quem disser que sabe exatamente o que está na página 41 tem mais acesso do que nós ou conta mais do que sabe.
Além disso, não existe declaração de autoridade nem da Comissão que mencione plugins de WordPress de forma expressa. Enquadrar plugins como produto com elementos digitais é bem fundamentado pelo artigo 3.º, pontos 1 e 13. As fontes que citam plugins pelo nome são, sem exceção, blogs de fornecedores que vendem ferramentas de conformidade.
Sete perguntas para classificar o seu caso
As perguntas a seguir não substituem o exame do seu caso por alguém habilitado. São uma grade para você se organizar, construída com os critérios que a orientação e os considerandos nomeiam segundo as fontes avaliadas. Quanto mais vezes a coluna da direita apontar para o comercial, mais faz sentido se comportar por precaução como fabricante.
| Pergunta sobre o seu próprio produto | O que a resposta significa |
|---|---|
| O acesso à versão gratuita está ligado a um pagamento, inclusive de forma velada por um cadastro com compra obrigatória? | Cobrar um preço pelo software ou por arquivos pré-compilados conta como atividade comercial segundo a orientação. Download livre sem contrapartida não conta. |
| A versão gratuita recebe atualizações de segurança apenas mediante pagamento? | Trancar atualizações atrás de pagamento é, pela leitura avaliada, um dos argumentos mais fortes para considerar monetizada a própria versão livre. |
| Você exige dados pessoais além das finalidades de segurança e interoperabilidade? | A orientação nomeia exatamente isso como atividade comercial. Recolher um endereço de e-mail para o download é, portanto, fator de risco e não detalhe. |
| A versão gratuita é funcionalmente autônoma ou é um muro de pagamento na frente da função de verdade? | Um produto utilizável por si só fala a favor da leitura A. Uma casca gratuita que sem compra não entrega nada fala a favor do acoplamento funcional com a venda. |
| Você monetiza outros serviços através do programa, por exemplo publicidade ou coleta de dados? | O software como plataforma para monetizar outros produtos conta como atividade comercial segundo a orientação, mesmo que o software em si seja gratuito. |
| Doações são na prática condição de acesso ao software ou às atualizações? | Doações voluntárias sem intuito de lucro não contam como comerciais. Doações que de fato são condição de acesso, sim. |
| Você comercializa sob o próprio nome ou a própria marca? | Esse é o elemento do artigo 3.º, ponto 13 que se aplica independentemente do preço. Ele não responde sozinho à pergunta do fabricante, mas é a porta pela qual ela entra. |
Se quiser transformar o resultado em algo utilizável: a parte que faz sentido independentemente da classificação é um arquivo security.txt com os dados públicos de contato para notificação de vulnerabilidades. Isso você deixa pronto hoje, sem ter resolvido antes a pergunta do fabricante.
Como nós nos classificamos
A hafenstudios é exatamente o caso em disputa. Temos vários plugins com versão gratuita e versão Pro paga, entre eles o Wellenbrecher, que está no diretório do WordPress desde 21 de agosto de 2026. Com o tema Hafen temos também software sem nenhuma edição paga. Tudo está sob GPLv2 ou posterior.
A nossa posição: nos comportamos como fabricante. É a suposição cautelosa e custa menos do que custaria ter errado no caso sério. Na prática isso significa canais de contato documentados para notificação de vulnerabilidades, um procedimento para os prazos do artigo 14.º e a preparação para o programa completo de deveres a partir de 11 de dezembro de 2027, quando passam a valer marcação CE, documentação técnica, avaliação da conformidade e a lista de materiais de software do anexo I, parte II.
Dizemos abertamente que a questão não está encerrada. Uma consulta com advogado está marcada. Isso é mais honesto do que afirmar aqui uma certeza que as fontes não dão. De novo, com clareza, no ponto em que importa: este texto é uma explicação e não aconselhamento jurídico. Para a avaliação vinculante do seu caso você precisa de alguém habilitado.
A incerteza é o dano de verdade
Agora a opinião pela qual este texto foi escrito. O problema dessa situação não é a regulação em si. Exigir segurança de software que roda em centenas de milhares de sites se justifica sem esforço. O problema é que ninguém consegue dizer com confiança quem está abrangido.
Essa incerteza se distribui de forma desigual. Um grupo grande tem departamento jurídico que escreve um parecer e orçamento que sobrevive a um parecer errado. Um negócio de duas pessoas tem uma noite e uma lista de resultados em que os cinco primeiros vêm de fornecedores que querem vender uma assinatura. O custo da falta de clareza fica com o pequeno, embora a orientação tenha sido escrita expressamente para microempresas e pequenas e médias empresas.
O quadro nacional não acalma, e aí vale olhar o próprio país. A notificação vai ao CSIRT do Estado-Membro do estabelecimento principal, e a execução nacional foi resolvida de maneira diferente em cada Estado-Membro. Na Alemanha, onde estamos, o destinatário é o BSI com o CERT-Bund, e a lei alemã de execução do CRA ainda não estava em vigor em 21 de agosto de 2026: consta como documento do Bundestag 21/6134 de 26 de maio de 2026, primeira leitura em 11 de junho de 2026. Ela não cria deveres novos, apenas nomeia competências. O artigo 14.º vale em 11 de setembro de 2026 independentemente disso. Se o seu estabelecimento principal fica em outro Estado-Membro, a autoridade competente e o calendário nacional precisam ser verificados lá.
O que decorre disso é pouco espetacular. Comporte-se por precaução como fabricante se várias das sete perguntas apontarem para o comercial. Documente como chegou à sua classificação. E desconfie de qualquer fonte que responda a essa pergunta em duas frases, principalmente se na terceira estiver vendendo alguma coisa.
O que publicamos sobre segurança e canais de notificação
Na nossa página de segurança está como notificar uma vulnerabilidade em um dos nossos plugins, como tratamos o caso e em que prazos. É a parte que um fornecedor deve entregar independentemente da pergunta do fabricante.
Perguntas frequentes
Entregar de graça realmente me torna fabricante?
Segundo o artigo 3.º, ponto 13 do CRA o preço não importa. Fabricante é quem desenvolve ou manda desenvolver um produto com elementos digitais e o comercializa sob o próprio nome ou a própria marca, na fórmula inglesa "whether for payment, monetisation or free of charge", ou seja cobrando, monetizando de outra forma ou de graça. Se essa comercialização acontece no quadro de uma atividade comercial é a segunda pergunta, a disputada. O CRA não define esse conceito no articulado.
Meu plugin gratuito cai automaticamente sob o CRA porque existe uma versão Pro?
Segundo as fontes que tratam da própria orientação, não automaticamente. Elas descrevem um exame caso a caso: uma versão autônoma e não monetizada fica no regime mais leve ou fora do âmbito, a menos que seja ela mesma monetizada ou funcionalmente acoplada à venda. Fornecedores comerciais de conformidade defendem a leitura ampla. A questão não está encerrada.
O que é um administrador de software de código aberto?
O artigo 3.º, ponto 14 do CRA descreve uma pessoa coletiva que não é fabricante e cuja finalidade consiste em apoiar de forma duradoura e sistemática o desenvolvimento de determinados produtos de código aberto destinados a atividades comerciais. O artigo 24.º exige política de cibersegurança documentada, cooperação com as autoridades e um dever de notificação limitado. Segundo o artigo 64.º, n.º 10 os administradores ficam isentos das coimas dessa disposição.
A orientação da Comissão é vinculativa?
Não. A própria Comissão esclarece que só o Tribunal de Justiça da União Europeia pode interpretar o direito da União com efeito vinculativo. C(2026) 5252 não muda nenhum dever nem nenhuma data. Para as autoridades de fiscalização do mercado ela deve funcionar mesmo assim como ponto de referência na prática, por isso vale conhecê-la sem tomá-la por lei.
A partir de quando vale o quê?
O capítulo IV sobre os organismos notificados vale desde 11 de junho de 2026. O artigo 14.º com os deveres de notificação dos fabricantes vale a partir de 11 de setembro de 2026. O restante do regulamento vale a partir de 11 de dezembro de 2027, incluídos marcação CE, documentação técnica, avaliação da conformidade e a lista de materiais de software do anexo I, parte II. A fonte das três datas é o artigo 71.º do CRA.
