Il Cyber Resilience Act (regolamento (UE) 2024/2847) stabilisce obblighi di cybersicurezza per prodotti con elementi digitali nel suo ambito. Determinare applicabilità, categoria e ruolo dell’operatore prima di pianificare conformità o segnalazioni.
Ambito e date CRA
Il CRA è entrato in vigore il 10 dicembre 2024. Le segnalazioni dell’articolo 14 si applicano dall’11 settembre 2026; i requisiti principali dall’11 dicembre 2027. L’articolo 69 contiene regole transitorie per prodotti già immessi sul mercato. I prodotti soggetti a MDR o IVDR sono esclusi dall’articolo 2(2); verificare anche altre esclusioni e il software libero/open-source non commerciale.
Classificazione dei prodotti CRA
La classificazione CRA dipende da funzionalità principale, allegati III/IV e descrizioni del regolamento 2025/2392. I sistemi operativi sono importanti di classe I; la classe II include firewall/IDS/IPS, determinati hypervisor/runtime di container e microprocessori/microcontrollori resistenti alle manomissioni. Smartcard e dispositivi simili, inclusi secure element, sono categorie critiche. Integrare un componente non assegna automaticamente la stessa categoria al prodotto completo. L’articolo 32 definisce le procedure.
CRA: requisiti e scelte tecniche
I requisiti CRA sono orientati ai risultati e tecnologicamente neutrali, in base alla valutazione dei rischi e all’applicabilità. Secure boot, radice hardware di fiducia, TPM, TrustZone e OTA wireless possono essere misure opportune; non sono obblighi universali per ogni prodotto. Documentare perché i controlli scelti soddisfano i requisiti, senza equiparare una singola architettura alla conformità.
Assistenza, aggiornamenti e SBOM
L’allegato I CRA richiede i meccanismi applicabili per gestione delle vulnerabilità e aggiornamenti sicuri. Gli aggiornamenti automatici hanno condizioni ed eccezioni; automatico non significa wireless. L’articolo 13(8) determina l’assistenza, normalmente almeno cinque anni; con uso previsto più breve, corrisponde a tale uso, mentre fattori relativi a un uso più lungo possono richiedere più assistenza. La SBOM deve essere leggibile da macchina e coprire almeno le dipendenze di primo livello.
Obblighi di segnalazione già applicabili
L’articolo 14 CRA riguarda vulnerabilità attivamente sfruttate e incidenti gravi che incidono sulla sicurezza del prodotto, non ogni CVE. Entrambi richiedono un preallarme entro 24 ore e una notifica entro 72 ore dalla conoscenza. Il rapporto finale sulla vulnerabilità è dovuto entro 14 giorni dalla disponibilità di una misura correttiva o di mitigazione; quello sull’incidente grave entro un mese dalla notifica. Segnalazione, valutazione di conformità e aggiornamenti sono obblighi distinti.
Lista di controllo pratica
- Identificare prodotto, uso previsto, mercato e ambito normativo.
- Registrare disposizioni precise, date ed edizioni delle norme, comprese le restrizioni.
- Scegliere la procedura consentita e definire le evidenze necessarie.
- Collegare rischi, prove, versioni e dichiarazioni nella documentazione tecnica.
- Assegnare responsabilità per modifiche, assistenza e risposte alle autorità.
La lista aiuta la pianificazione; i requisiti normativi pertinenti determinano la valutazione finale.