EU Cyber Resilience Act (CRA)

Il Cyber Resilience Act (CRA) dell'UE è una normativa europea imminente che stabilisce requisiti obbligatori di cybersicurezza per i prodotti con elementi digitali (hardware e software) immessi sul mercato dell'UE. Previsto per entrare pienamente in vigore nel 2027, il CRA mira a garantire che i prodotti siano sicuri by design, che i fornitori mantengano la sicurezza durante l'intero ciclo di vita del prodotto e che i consumatori abbiano trasparenza sulla sicurezza dei prodotti.

Il CRA non è ancora pienamente in vigore. Le tempistiche di applicazione variano in base al tipo di requisito, con piena conformità prevista per la fine del 2027. Monitora le pubblicazioni ufficiali dell'UE per il testo definitivo e le scadenze di attuazione.

Chi Deve Rispettare il CRA?

Il CRA si applica a:

Produttori: Soggetti che progettano, sviluppano o producono prodotti con elementi digitali per l'immissione sul mercato dell'UE
Importatori: Aziende che introducono prodotti con elementi digitali nell'UE
Distributori: Soggetti che rendono disponibili prodotti sul mercato dell'UE
Responsabili dell'open-source: Organizzazioni che forniscono supporto commerciale per prodotti open-source (a determinate condizioni)

I prodotti con elementi digitali includono:

Software (applicazioni, sistemi operativi, firmware)
Hardware con software integrato (dispositivi IoT, router, elettrodomestici intelligenti)
Prodotti connessi (wearable, sistemi di controllo industriale)

Ambito ed Esclusioni

In ambito: Prodotti commerciali con elementi digitali immessi sul mercato dell'UE, inclusi SaaS e servizi cloud se contengono componenti software scaricabili.

Esclusi:

Dispositivi medici, sistemi aeronautici e componenti automobilistici già coperti da regolamenti settoriali specifici
Software open-source puramente non commerciale sviluppato o fornito al di fuori di attività commerciali
Prodotti destinati esclusivamente alla sicurezza nazionale o alla difesa

Se distribuisci software open-source senza monetizzazione o supporto commerciale, probabilmente sei escluso. Se fornisci supporto a pagamento, SLA o funzionalità enterprise, il CRA potrebbe applicarsi.

Classificazione dei Prodotti

Il CRA categorizza i prodotti in base al rischio di cybersicurezza:

Predefinito (Classe I): Requisiti standard di cybersicurezza, auto-valutazione consentita
Importante (Classe II): Prodotti ad alto rischio (gestione identità, VPN, gestione rete) che richiedono una valutazione di conformità di terze parti
Critici: Prodotti ad altissimo rischio (elementi sicuri, smart card, sistemi PKI) che richiedono una rigorosa certificazione di terze parti

La maggior parte dei prodotti software commerciali rientra nella categoria predefinita.

Requisiti Fondamentali

I produttori devono garantire che i prodotti soddisfino i requisiti essenziali di cybersicurezza durante l'intero ciclo di vita:

Sicurezza by Design:

Nessuna vulnerabilità sfruttabile nota al momento dell'immissione sul mercato
Sicurezza integrata nell'architettura del prodotto e nel processo di sviluppo
Superficie di attacco ridotta al minimo e configurazioni predefinite sicure
Protezione dei dati e crittografia ove appropriato
Aggiornamenti di sicurezza forniti automaticamente o con notifica all'utente

Gestione delle Vulnerabilità:

Identificare, documentare e correggere le vulnerabilità durante il periodo di supporto
Segnalare le vulnerabilità attivamente sfruttate all'ENISA entro 24 ore dalla consapevolezza
Fornire aggiornamenti di sicurezza per la durata prevista del prodotto (minimo 5 anni per molti prodotti)
Mantenere una politica pubblica di divulgazione delle vulnerabilità

Documentazione e Trasparenza:

Fornire agli utenti una documentazione sulla sicurezza chiara
Pubblicare la Dichiarazione di Conformità UE
Apporre il marchio CE sui prodotti conformi
Conservare la documentazione tecnica per 10 anni

Segnalazione degli Incidenti:

Segnalare all'ENISA le vulnerabilità attivamente sfruttate e gli incidenti gravi
Notificare agli utenti interessati i problemi di sicurezza e le mitigazioni disponibili

Valutazione della Conformità

A seconda della classe del prodotto, i produttori devono dimostrare la conformità attraverso:

Auto-valutazione (Classe I): Il produttore esegue test interni e documentazione
Valutazione di terze parti (Classe II/Critici): Un organismo notificato valuta la conformità prima dell'immissione sul mercato

Tutti i produttori devono mantenere la documentazione tecnica che dimostri la conformità, incluse valutazioni dei rischi, risultati dei test di sicurezza e registri del processo di sviluppo.

Obblighi di Supporto

I produttori devono fornire supporto di sicurezza per:

La durata prevista del prodotto, OPPURE
Minimo 5 anni dall'immissione sul mercato (per la maggior parte dei prodotti)

Ciò include la correzione delle vulnerabilità, gli aggiornamenti di sicurezza e la risposta agli incidenti. I prodotti senza supporto continuo non possono rimanere legalmente sul mercato dell'UE.

Sanzioni

Il CRA stabilisce sanzioni finanziarie significative:

Violazioni gravi (prodotti non conformi, marchio CE mancante): Fino a 15 milioni di euro o il 2,5% del fatturato annuo globale
Altre violazioni (documentazione incompleta, mancata collaborazione): Fino a 10 milioni di euro o il 2% del fatturato annuo globale
Informazioni false: Fino a 5 milioni di euro o l'1% del fatturato annuo globale

Tempistica di Attuazione

Fasi previste di applicazione (soggette alla pubblicazione del regolamento finale):

2024-2025: Pubblicazione del regolamento, inizio del periodo di grazia
2026: Obblighi di segnalazione delle vulnerabilità entrano in vigore
2027: Piena conformità richiesta per i nuovi prodotti immessi sul mercato
Post-2027: I prodotti esistenti devono mantenere gli obblighi di supporto

Inizia a prepararti ora implementando pratiche di sviluppo sicuro, stabilendo processi di gestione delle vulnerabilità e documentando la tua architettura di sicurezza.

Come ISMS Copilot Può Aiutare

ISMS Copilot può supportare la preparazione alla conformità CRA:

Guida generale sulla cybersicurezza: Chiedi informazioni su pratiche di sviluppo sicuro, gestione delle vulnerabilità e sicurezza del ciclo di vita
Sviluppo di policy: Crea policy per il ciclo di vita dello sviluppo sicuro (SDLC) e policy di divulgazione delle vulnerabilità
Valutazioni dei rischi: Genera valutazioni dei rischi di sicurezza dei prodotti allineate ai requisiti essenziali
Modelli di documentazione: Sviluppa framework di documentazione sulla sicurezza per la valutazione di conformità
Analisi delle lacune: Carica le policy di sviluppo esistenti per identificare le lacune rispetto ai principi CRA

Sebbene ISMS Copilot non disponga di conoscenze dedicate al CRA (la normativa è ancora in fase di finalizzazione), puoi chiedere informazioni su controlli di sviluppo sicuro ISO 27001 e best practice generali di sicurezza dei prodotti che si allineano agli obiettivi del CRA.

Prova a chiedere: "Genera una policy di divulgazione delle vulnerabilità per un prodotto software" o "Quali sono i principi di sicurezza by design per lo sviluppo di prodotti?"

Come Iniziare

Per prepararti alla conformità CRA:

Valuta se i tuoi prodotti rientrano nell'ambito del CRA e determina la classificazione
Implementa pratiche di ciclo di vita dello sviluppo sicuro (threat modeling, test di sicurezza, revisione del codice)
Stabilisci processi di gestione e divulgazione delle vulnerabilità
Pianifica il supporto di sicurezza a lungo termine (5+ anni)
Documenta l'architettura di sicurezza e le valutazioni dei rischi
Monitora ENISA e le pubblicazioni ufficiali dell'UE per i requisiti finali e le linee guida

Risorse Correlate

Proposta e aggiornamenti del CRA della Commissione Europea
Framework e linee guida per la certificazione della cybersicurezza di ENISA
Autorità nazionali di vigilanza del mercato negli Stati membri dell'UE

On this page