Como as regulamentações atualizadas de BPF e o Regulamento de Resiliência Cibernética da UE afetarão os laboratórios
23 de mar. de 2026
Artigo
Compartilhar artigo
Nos últimos anos, houve um aumento no número de ataques cibernéticos contra infraestruturas críticas e empresas. Esse cenário colocou a cibersegurança em evidência. Como resultado, governos em todo o mundo estão introduzindo legislações destinadas a fortalecer a cibersegurança. A legislação mais relevante é o Cyber Resilience Act (CRA, Lei de Resiliência Cibernética) da União Europeia [1]. Outros exemplos são o U.S. Cyber Trust Mark e a Lei de Cibersegurança da China [2,3].
Essas legislações levaram a uma atualização das regulamentações de BPF, que afetará laboratórios em ambientes regulados no mundo todo. Este artigo é baseado em uma entrevista com Stefan Gohr, Head of Enterprise Services na sede internacional da Metrohm. O artigo apresenta as principais mudanças, explica como elas afetam os laboratórios, orienta os gestores de laboratório sobre os primeiros passos e informa como a Metrohm está se preparando para atender aos requisitos da CRA.
Clique para ir direto a um tópico:
- Cyber Resilience Act (CRA) em resumo
- A CRA leva a mudanças nas regulamentações de BPF
- Como a CRA e a atualização das BPF afetarão os laboratórios?
- O que os laboratórios podem fazer para se preparar e garantir a conformidade?
- Como a Metrohm garante a conformidade com o Cyber Resilience Act?
- Como a Metrohm apoia clientes que precisam substituir sistemas não conformes
Cyber Resilience Act (CRA) em resumo
O Cyber Resilience Act (CRA) foi lançado em 2024 pela União Europeia e aprovado no outono do mesmo ano. O objetivo da CRA é aumentar a cibersegurança elevando os padrões de segurança dos produtos vendidos no mercado europeu.
A CRA se aplica a produtos que contêm elementos digitais. Isso inclui não apenas software, mas também dispositivos capazes de trocar dados com outros sistemas.
Se o seu instrumento de laboratório envia dados para um software ou para a nuvem, ou se comunica por canais de rede, então ele será afetado pelo Cyber Resilience Act.
Stefan Gohr,
Head of Metrohm Enterprise Services at Metrohm International Headquarters
Essa nova lei será implementada em duas etapas:
- Setembro de 2026: os fornecedores devem começar a reportar vulnerabilidades de cibersegurança à Enisa, a Agência da União Europeia para a Cibersegurança.
- Dezembro de 2027: produtos que não estiverem em conformidade com a CRA não poderão mais ser vendidos na UE.
Especialmente essa segunda etapa terá consequências mais profundas para os laboratórios, já que eles poderão deixar de receber substituições ou peças de reposição.
A CRA leva a mudanças nas regulamentações de BPF
Sob a CRA, os fornecedores devem implementar processos de gestão de vulnerabilidades. Isso inclui a opção de reportar vulnerabilidades descobertas ao fornecedor, atualizações de segurança regulares nos produtos e, caso brechas de segurança sejam detectadas, elas devem ser corrigidas imediatamente. O site de notificação de vulnerabilidades da Metrohm pode ser encontrado aqui.
Isso entra em conflito com a prática já consolidada, em ambientes regulados, de só atualizar sistemas validados quando necessário. No entanto, a cibersegurança não pode ser negligenciada em ambientes regulados, já que essas empresas produzem bens críticos.
Um sistema só é seguro quando você fecha constantemente as brechas de segurança e aumenta o nível de segurança. Trata-se de um processo constante. Essa nova conscientização está refletida na versão revisada do Anexo 11 «Sistemas computadorizados»
Stefan Gohr,
Head of Metrohm Enterprise Services at Metrohm International Headquarters
Por esses motivos, o comitê de BPF atualizou o Capítulo 4 «Documentação» e o Anexo 11 «Sistemas Computadorizados» [4]. A consulta sobre essas atualizações ocorreu de julho a outubro de 2025, e as diretrizes revisadas devem entrar em vigor já em 2026.
Como a CRA e a atualização das BPF afetarão os laboratórios?
A CRA e as diretrizes de BPF atualizadas afetarão os processos de validação e podem exigir a substituição de equipamentos atuais.
De forma simplificada, as antigas diretrizes de BPF diziam: «Crie um sistema, valide-o e depois nunca mais o toque». Essa metodologia entra em conflito com a CRA, e o comitê de BPF decidiu seguir os novos padrões da CRA.
Stefan Gohr,
Head of Metrohm Enterprise Services at Metrohm International Headquarters
Primeiro, atualizações de software e de segurança mais frequentes podem levar a mais revalidações do sistema. Os laboratórios terão que desenvolver estratégias para implementar patches de segurança e atualizações de sistema, abrangendo não só o sistema operacional (por exemplo, o Windows), mas também softwares críticos de laboratório. Segundo as diretrizes de BPF revisadas, laboratórios regulados devem seguir as recomendações fornecidas pelos fornecedores. As medidas recomendadas são atualizações de segurança separadas e um ambiente de testes dedicado.
Segundo, a CRA proibirá a venda de dispositivos analíticos e softwares não conformes. Embora dispositivos e softwares vendidos antes de dezembro de 2027 estejam isentos, qualquer atualização feita a esses produtos deve estar em conformidade. Para alguns fornecedores, adaptar produtos mais antigos às novas regulamentações pode ser muito complexo e custoso demais. Como resultado, eles podem descontinuar produtos e declarar o fim do suporte até 2027.
Você não consegue estar em conformidade quando tem sistemas sem suporte ou sem patches combinados com sistemas em conformidade e devidamente atualizados no seu ambiente de TI. Você está abrindo brechas. É um grande risco.
Stefan Gohr,
Head of Metrohm Enterprise Services at Metrohm International Headquarters
Laboratórios regulados que quiserem continuar usando dispositivos não conformes por mais tempo terão que estabelecer um ambiente de TI de emergência, isolando completamente esses dispositivos da rede e da internet. Com instrumentos analíticos integrados a sistemas LIMS e ERP, essa abordagem é impraticável e pode comprometer a integridade dos dados.
Laboratórios não regulados podem realizar sua própria avaliação de risco e decidir se continuam usando dispositivos não conformes para cobrir uma lacuna até que novos investimentos sejam possíveis. Porém, devem estar cientes de que postergar as substituições aumenta os riscos de segurança, já que as brechas de segurança se tornam maiores com o tempo.
O que os laboratórios podem fazer para se preparar e garantir a conformidade?
Os laboratórios podem tomar várias medidas para se preparar para as diretrizes de BPF atualizadas e o Cyber Resilience Act (ver Figura 1).
- Avaliar os equipamentos e softwares atuais para identificar possíveis lacunas.
- Desenvolver uma estratégia para implementar atualizações de segurança, minimizando o esforço de revalidação.
- Estabelecer um ambiente de testes dedicado para garantir que as atualizações não interrompam as operações.
As diretrizes de BPF atualizadas e a CRA aumentarão a carga de trabalho e os custos em laboratórios regulados. Começar o planejamento agora e estabelecer um roteiro ajudará os laboratórios a se prepararem para essas mudanças.
Avaliar os equipamentos atuais no laboratório
O primeiro passo é avaliar todos os dispositivos e softwares atualmente em uso. Os laboratórios também devem contatar fornecedores, como a Metrohm, sobre os planos de conformidade para produtos específicos.
As principais perguntas a serem respondidas são:
- Os dispositivos e softwares ainda têm suporte do fornecedor?
- Os fornecedores estão atentos à CRA e às diretrizes de BPF atualizadas? Qual é o processo deles para gerenciar vulnerabilidades de produtos? Como pretendem fornecer atualizações de segurança?
- O fornecedor continuará oferecendo suporte aos dispositivos ou softwares depois de dezembro de 2027?
Se a resposta a qualquer uma dessas perguntas for negativa, os laboratórios devem alocar orçamento para substituições ou desenvolver estratégias de como isolar o sistema em colaboração com seu departamento de TI. Se vários sistemas forem afetados, deve-se estabelecer um roteiro para a substituição ou isolamento com base na criticidade do sistema para as operações.
SBOM e HBOM – indicadores úteis de preparação
Ao avaliar as soluções de software atuais, os laboratórios devem verificar se a lista de materiais do software (SBOM, software bill of materials) está disponível. A SBOM, exigida pela CRA, lista informações essenciais sobre todos os componentes usados para construir o software, incluindo componentes de terceiros. Ela ajuda a identificar se o software contém componentes com vulnerabilidades conhecidas.
Normalmente, a SBOM é fornecida como um arquivo de texto no diretório de instalação ou listada na documentação do produto. Se nenhuma SBOM estiver disponível, os laboratórios devem considerar isso um sinal de alerta de que o produto pode não estar pronto para o Cyber Resilience Act. Nesses casos, recomenda-se contatar o fornecedor e confirmar se uma SBOM será fornecida antes do início da aplicação da lei.
Para hardware, o equivalente à SBOM é a HBOM (hardware bill of materials, lista de materiais de hardware). Um arquivo HBOM é necessário para qualquer dispositivo que contenha firmware. Os fornecedores terão que fornecer o arquivo HBOM em formato digital. Recomenda-se contatar os fornecedores e solicitar o arquivo ou a data em que ele estará disponível.
Desenvolver uma estratégia para implementar atualizações de segurança
As regulamentações de BPF atualizadas e a CRA estabelecem atualizações de segurança regulares. Para minimizar o esforço de validação e o risco de paradas na produção, os laboratórios devem desenvolver uma estratégia de implementação.
Atualizações de segurança separadas são essenciais para reduzir o esforço de revalidação. As atualizações de software regulares trazem uma combinação de novos recursos e atualizações de segurança, o que exigiria uma validação completa. Já as atualizações de segurança separadas corrigem apenas questões de segurança, sem adicionar novos recursos. Como o escopo é menor, a validação se torna mais rápida e menos complexa.
Uma validação rápida é desejável, pois questões críticas de segurança devem ser corrigidas o mais rápido possível. Esperar de seis a nove meses até que uma revalidação completa seja concluída não é aceitável no caso de uma falha de segurança crítica.
Somente produtos com atualizações de segurança separadas tornam a revalidação mais rápida, mais barata e mais fácil de gerenciar. Em estreita colaboração com o fornecedor, os laboratórios podem garantir que nenhum recurso foi alterado e que seus processos validados continuam funcionando como previsto. Atualizações de segurança separadas, combinadas com a gestão de riscos, tornam desnecessária a revalidação completa do sistema.
Stefan Gohr,
Head of Metrohm Enterprise Services at Metrohm International Headquarters
Estabelecer um ambiente de testes
Instalar atualizações de segurança sempre traz o risco de falha do sistema, o que pode resultar em uma parada na produção. Para mitigar esse risco, os laboratórios devem considerar estabelecer um ambiente de testes.
Nesse cenário, os pacotes de segurança são instalados primeiro no sistema de testes, e as funcionalidades essenciais para as operações diárias são testadas minuciosamente. Somente depois que as funcionalidades afetadas pela atualização de segurança forem testadas com sucesso no ambiente de testes é que a atualização será implantada no ambiente de produção. A Figura 2 mostra a diferença entre um laboratório com ambiente de testes e um sem ambiente de testes.
Organizações maiores podem considerar implementar três ambientes: desenvolvimento/qualificação, teste e produção. O ambiente de desenvolvimento/qualificação é usado para o desenvolvimento e a validação de métodos. O ambiente de testes reflete o ambiente de produção, por exemplo, utilizando a mesma rede e os mesmos firewalls. Por fim, as operações diárias, como o CQ para liberação de produtos, são executadas no ambiente de produção.
Mesmo que você já tenha um ambiente de produção em funcionamento, minha recomendação é configurar um ambiente de testes em paralelo ou começar a planejá-lo, por exemplo, alocando orçamento e reservando recursos dentro do seu departamento de TI para esse ambiente.
Stefan Gohr,
Head of Metrohm Enterprise Services at Metrohm International Headquarters
Instalar um ambiente de testes adicional gera custos extras e exige mais recursos de TI, principalmente em sistemas cliente/servidor. Saiba mais sobre a importância de um sistema escalável e econômico neste White Paper gratuito:
White Paper: Por que migrar para o OMNIS Client/Server (C/S)?
Como a Metrohm garante a conformidade com o Cyber Resilience Act?
A Metrohm começou a se preparar para essas regulamentações há algum tempo, para garantir que atenderemos aos requisitos da CRA e das BPF para fornecedores quando as regulamentações entrarem em vigor. Podemos garantir que o OMNIS, nosso software de plataforma, atenderá aos requisitos. O arquivo SBOM já está disponível no diretório de instalação, e publicamos uma declaração de cibersegurança em cada versão. Essa declaração pode ser encontrada na Metrohm Knowledge Base. Os arquivos HBOM estão em preparação.
Os clientes podem esperar atualizações regulares do OMNIS e patches de segurança. Os clientes com contrato de manutenção do OMNIS serão contatados diretamente por nós. Para os demais clientes, estamos avaliando diferentes opções de comunicação.
We are doing everything so that OMNIS will fulfill the new regulations, no matter if it is the CRA or updated GMP guidelines.
Stefan Gohr,
Head of Metrohm Enterprise Services at Metrohm International Headquarters
Diferentes versões do OMNIS para diferentes necessidades
Os requisitos do setor para atualizações de software variam. Em alguns setores, atualizações automáticas regulares, semelhantes às atualizações de aplicativos móveis, são aceitáveis. No entanto, em ambientes regulados, esse tipo de atualização automática é indesejável. Além disso, as redes de laboratório podem não estar conectadas à internet.
Por isso, a Metrohm oferece duas versões do OMNIS. Elas se diferenciam nas garantias de suporte e serviço; veja a Tabela 1 para mais detalhes.
| Recurso | Versão padrão | Versão de Suporte de Longo Prazo (LTS) |
|---|---|---|
| Garantia de suporte de software | A garantia de suporte expira com o lançamento da próxima versão | Suporte garantido por 5 anos a partir do lançamento |
| Garantia de serviço | Disponibilidade de manutenção de todas as peças garantida até o lançamento da próxima versão | Disponibilidade de manutenção de todas as peças garantida por 5 anos a partir do lançamento |
| Suporte a IQ/OQ | IQ/OQ não disponível | Qualificação de sistema computadorizado totalmente documentada, conforme a FDA 21 CFR Part 11 e o EudraLex, Volume 4, Anexo 11, disponível |
| Requalificação | Requalificação não disponível | Requalificação disponível |
| Atualizações de segurança | Lançadas regularmente | Implantadas manualmente conforme a estratégia definida pelo cliente |
Como a Metrohm apoia clientes que precisam substituir sistemas não conformes
Hardware e software que deixarem de ter suporte dos fornecedores precisarão ser substituídos, já que isolá-los da rede da empresa é apenas uma solução temporária. Migrar para um novo produto, principalmente uma nova solução de software, apresenta diversos desafios. Para apoiar os clientes na transição para o OMNIS, a Metrohm criou a equipe Metrohm Enterprise Services. Essa equipe oferece serviços especializados de consultoria e implementação, adaptados às necessidades e à situação específica de cada cliente.
A Metrohm Enterprise Services também oferece contratos de manutenção para o OMNIS, garantindo a gestão de vulnerabilidades e de patches de segurança. Em conjunto com os especialistas de TI e segurança do cliente, a equipe desenvolve uma estratégia para a implantação de patches de segurança. Um gerente de serviços supervisionará a implementação e a manutenção dessa estratégia durante todo o ciclo de vida do OMNIS no local do cliente.
Como as arquiteturas de TI, as estratégias de TI e as estratégias de segurança de TI variam, não existe uma solução geral. Recomendamos fortemente adaptar a estratégia de atualização de segurança do OMNIS às necessidades e à situação específica de cada empresa. E é aí que nossos serviços de consultoria entram em ação, para apoiar os clientes e encontrar a melhor solução para suas necessidades.
Stefan Gohr,
Head of Metrohm Enterprise Services at Metrohm International Headquarters
Conclusão
As diretrizes de BPF atualizadas e a CRA vão mudar a forma como os laboratórios regulados trabalham. Os laboratórios podem começar a se preparar para essas mudanças avaliando seus equipamentos e softwares atuais. Alguns sistemas podem precisar ser substituídos, pois deixarão de ter suporte quando a CRA e o Anexo 11 revisado das BPF entrarem em vigor.
As atualizações de segurança regulares se tornarão o padrão, já que a cibersegurança é um processo contínuo. Essa mudança vai exigir alterações na forma como os laboratórios atualizam, revalidam e mantêm seus sistemas analíticos. Ambientes de testes adicionais podem precisar ser instalados para garantir a continuidade das operações.
Somente soluções que atendam às regulamentações de BPF atualizadas e à CRA, como o OMNIS, garantirão que os laboratórios permaneçam em conformidade. Para apoiar a transição para o OMNIS, a Metrohm criou a Metrohm Enterprise Services, que trabalha em estreita colaboração com os clientes, ajudando-os a implantar e manter um ambiente OMNIS seguro, adaptado à sua estratégia de segurança específica.
Recursos adicionais
White Paper: Por que migrar para o OMNIS Client/Server (C/S)?
Blog: Introdução à qualificação de instrumentos analítico
Referências
[1] European Commission. Cyber Resilience Act. Shaping Europe’s digital future. https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (accessed 2025-12-18).
[2] Federal Communications Commission. U.S. Cyber Trust Mark. Federal Communications Commission (FCC). https://www.fcc.gov/CyberTrustMark (accessed 2025-12-18).
[3] Creemers, R.; Webster, G.; Triolo, P. Translation: Cybersecurity Law of the People’s Republic of China (Effective June 1, 2017). DigiChina, 2018.
[4] European Commission. Stakeholders’ Consultation on EudraLex Volume 4 - Good Manufacturing Practice Guidelines: Chapter 4, Annex 11 and New Annex 22 - Public Health. Public Health. https://health.ec.europa.eu/consultations/stakeholders-consultation-eudralex-volume-4-good-manufacturing-practice-guidelines-chapter-4-annex_en (accessed 2025-12-18).
