Il Cyber Resilience Act è il nuovo piano europeo per garantire che i prodotti digitali presenti sul mercato UE siano al sicuro dalle minacce informatiche.
I consumatori e le imprese, acquistando software o prodotti hardware dotati di componenti digitali, si espongono ai rischi informatici.
Il Cyber Resilience Act (CRA) disciplina la sicurezza dei prodotti e richiede che dispositivi e software vengano progettati, aggiornati e manutenuti in modo da proteggere gli utenti.
Obiettivi del CRA
- Affrontare l'attuale insufficiente livello di cybersicurezza in molti prodotti e la carenza di aggiornamenti tempestivi
- Aiutare consumatori e aziende a individuare l’hardware e i software che garantiscono adeguati standard di sicurezza
- Introdurre in ogni fase della catena del valore requisiti obbligatori di cybersicurezza per i fabbricanti (pianificazione, progettazione, sviluppo e manutenzione dei prodotti)
- Gestire le vulnerabilità durante l'intero ciclo di vita dei prodotti.
I prodotti recheranno la marcatura CE, a indicazione della loro conformità ai requisiti del CRA; le autorità nazionali di vigilanza del mercato si occuperanno di garantire l'applicazione di tali norme.
Fonte: Commissione Europea
Obblighi per i produttori
La CRA si occupa sia dei prodotti finali, come smartphone o app, sia dei componenti (chip e sistemi operativi).
Le aziende che vendono hardware e software dovranno quindi garantire che i prodotti siano stati progettati e realizzati su fondamenta sicure (requisiti di sicurezza, controllo degli accessi, crittografia, aggiornamenti automatici…).
Il produttore dovrà spiegare nella documentazione tecnica come rispetta i requisiti di sicurezza informatica ed effettuare una procedura di valutazione della conformità, al termine della quale, potrà apporre la marcatura CE.
I produttori saranno responsabili dei risultati in termini di sicurezza lungo l'intera catena di fornitura, dovranno indicare il periodo di assistenza e saranno tenuti a gestire le vulnerabilità per il periodo di supporto indicato, oltre a segnalare eventuali vulnerabilità e incidenti gravi che coinvolgono il prodotto.
I principali obblighi introdotti dal Cyber Resilience Act (CRA) si applicheranno a partire dall'11 dicembre 2027, mentre gli obblighi di notifica sono entrati in vigore lo scorso 11 settembre.
Obblighi di notifica dall’11 settembre 2026
I produttori sono tenuti a segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che compromettono la sicurezza dei loro prodotti con elementi digitali. Obblighi di segnalazione sono previsti anche per i gestori di software open source ai sensi dell'articolo 24(3) del CRA.
- Presentare un avviso tempestivo, entro 24 ore dalla scoperta
- Presentare una notifica completa, entro 72 ore
- Redigere una relazione finale, entro 14 giorni dalla disponibilità di una misura correttiva per le vulnerabilità | entro 1 mese dalla notifica completa per gli incidenti gravi.
Ai sensi dell'articolo 16 del CRA, i produttori devono effettuare la segnalazione tramite la Piattaforma Unica di Segnalazione (SRP) del CRA.
La notifica va indirizzata al Computer Security Incident Response Team (CSIRT) presso il quale ha sede principale. Il CSIRT la condividerà tempestivamente con tutti gli altri CSIRT sul cui territorio è stato reso disponibile il prodotto con elementi digitali.
L'ENISA è responsabile dell'istituzione della piattaforma CRA SRP, della sua gestione e manutenzione.
In una fase successiva, qualsiasi persona fisica o giuridica potrà effettuare una notifica volontaria tramite la Piattaforma unica.
FAQ sulla Piattaforma unica
Norme tecniche
Per agevolare la valutazione della conformità ai requisiti stabiliti dal CRA, i prodotti con elementi digitali conformi alle norme armonizzate beneficiano di una presunzione di conformità ai requisiti essenziali del CRA.
Per supportare i fabbricanti nell'implementazione dei requisiti essenziali di sicurezza informatica, la Commissione europea ha adottato la richiesta di normazione M/606, contenente una serie di 41 norme a supporto del CRA.
- Le norme orizzontali forniscono un quadro comune e coerente anche in materia di gestione delle vulnerabilità.
- Gli standard verticali (specifici per prodotto) forniscono una presunzione di conformità per le tipologie di prodotto, tenendo conto dei rischi connessi alla loro destinazione d'uso o al loro utilizzo ragionevolmente prevedibile.
Inoltre, gli organismi europei di normazione stanno sviluppando una serie di documenti di supporto che riguardano aspetti quali la terminologia, la metodologia di valutazione del rischio settoriale e un catalogo comune delle minacce.
Fonte: cyberresilienceact.eu