La cybersecurity sta entrando in una nuova fase della regolamentazione europea dei prodotti. Con il Cyber Resilience Act (CRA) dell’UE, la cybersecurity non è più semplicemente una questione informatica o una caratteristica volontaria del prodotto. Per un’ampia gamma di prodotti hardware e software immessi sul mercato dell’Unione europea, sta diventando un requisito essenziale di conformità del prodotto.
Il regolamento (UE) 2024/2847 introduce requisiti orizzontali di cybersecurity per i prodotti con elementi digitali, inserendo valutazione dei rischi di cybersecurity, sviluppo sicuro dei prodotti, gestione delle vulnerabilità, documentazione tecnica e valutazione della conformità nel ciclo di vita normativo dei prodotti digitali.
Ne deriva uno sviluppo importante per fabbricanti, produttori di software, importatori, distributori e organizzazioni che forniscono prodotti connessi in Europa.
La cybersecurity sta diventando un requisito di conformità del prodotto
In Europa la conformità dei prodotti è stata tradizionalmente associata ad ambiti quali sicurezza elettrica, sicurezza delle macchine, compatibilità elettromagnetica, attrezzature a pressione e altre caratteristiche di prodotto regolamentate.
Il Cyber Resilience Act estende con decisione questo approccio normativo alla cybersecurity.
I fabbricanti di prodotti che rientrano nel campo di applicazione del CRA dovranno sempre più dimostrare che la cybersecurity è stata considerata in modo sistematico durante la pianificazione, la progettazione, lo sviluppo, la produzione, la consegna e la manutenzione del prodotto.
Anziché essere trattata principalmente come una funzione tecnica interna, la cybersecurity diventa sempre più parte delle evidenze a supporto della conformità del prodotto e dell’accesso al mercato europeo.
Che cos’è il Cyber Resilience Act dell’UE?
Il Cyber Resilience Act è il regolamento (UE) 2024/2847 relativo a requisiti orizzontali di cybersecurity per i prodotti con elementi digitali.
Il suo scopo è istituire un quadro comune di cybersecurity per un’ampia gamma di hardware e software messi a disposizione sul mercato dell’Unione europea.
Un prodotto con elementi digitali può comprendere un prodotto software o hardware e le relative soluzioni di elaborazione dati da remoto, nonché componenti software o hardware immessi sul mercato separatamente, fatti salvi il campo di applicazione e le esclusioni stabiliti dal regolamento.
la rilevanza del CRA va ben oltre i prodotti di cybersecurity tradizionali. Apparecchiature industriali connesse, dispositivi di rete, software, dispositivi intelligenti, prodotti IoT e molti altri prodotti dotati di funzionalità digitali possono rientrare nel quadro normativo.
Quali prodotti possono essere interessati?
Il campo di applicazione del CRA è volutamente ampio, perché la funzionalità digitale è oggi integrata in tutti i prodotti e le infrastrutture moderni.
A seconda delle loro caratteristiche e dell’uso previsto, i prodotti interessati possono comprendere:
L’applicabilità deve quindi essere valutata a livello di prodotto, anziché essere presunta unicamente in base alla classificazione settoriale del fabbricante.
Le responsabilità del fabbricante si stanno ampliando
Il CRA attribuisce responsabilità significative ai fabbricanti.
Nel progettare, sviluppare e produrre un prodotto con elementi digitali, il fabbricante deve garantire che siano soddisfatti i requisiti essenziali di cybersecurity applicabili.
Un fondamento importante di questo processo è la valutazione dei rischi di cybersecurity.
Tale valutazione orienta il modo in cui i requisiti di cybersecurity applicabili vengono attuati lungo il ciclo di vita del prodotto e diventa parte della documentazione tecnica di conformità del prodotto.
Definire il prodotto, i suoi elementi digitali, la finalità prevista e l’uso prevedibile.
Individuare minacce, vulnerabilità e potenziali conseguenze associate al prodotto.
Stabilire quali requisiti di cybersecurity del CRA si applicano e come saranno soddisfatti.
Attuare adeguate misure di cybersecurity nell’architettura del prodotto e lungo il suo ciclo di vita.
Predisporre prove, validazioni ed evidenze tecniche che ne dimostrino l’attuazione.
Mantenere gestione delle vulnerabilità, aggiornamenti e segnalazioni normative dopo l’immissione sul mercato.
Sicurezza fin dalla progettazione e per impostazione predefinita
Uno dei principi centrali del CRA è che la cybersecurity dovrebbe essere considerata durante lo sviluppo del prodotto, anziché essere aggiunta solo dopo che il prodotto ha raggiunto il mercato.
I prodotti con elementi digitali devono essere progettati, sviluppati e prodotti in modo da garantire un livello di cybersecurity adeguato ai rischi individuati.
A seconda del prodotto e dei requisiti applicabili, ciò può comportare considerazioni relative a configurazioni sicure, controllo degli accessi, riservatezza e integrità dei dati, riduzione della superficie di attacco, resilienza, monitoraggio della sicurezza e correzione delle vulnerabilità.
La valutazione dei rischi di cybersecurity diventa centrale
Il CRA impone ai fabbricanti di effettuare una valutazione dei rischi di cybersecurity per i prodotti che rientrano nel suo campo di applicazione.
Tale valutazione non dovrebbe essere trattata come un documento isolato redatto immediatamente prima del lancio sul mercato.
Deve orientare le decisioni nelle fasi pertinenti del ciclo di vita del prodotto.
- la finalità prevista e l’uso ragionevolmente prevedibile del prodotto;
- l’architettura del prodotto e le sue interfacce digitali;
- le potenziali minacce di cybersecurity e gli scenari di attacco;
- le vulnerabilità note e prevedibili;
- i componenti hardware e software di terze parti;
- i servizi remoti e le dipendenze di elaborazione dei dati;
- le possibili conseguenze di una compromissione della cybersecurity; e
- i controlli attuati per ridurre i rischi individuati.
Ai sensi del CRA, la cybersecurity non è semplicemente una caratteristica da verificare al termine dello sviluppo. Diventa un requisito di conformità lungo il ciclo di vita del prodotto, da considerare dalla progettazione fino al supporto post-commercializzazione.
La gestione delle vulnerabilità non termina con la vendita del prodotto
Una delle caratteristiche più importanti del Cyber Resilience Act è il suo approccio basato sul ciclo di vita.
Ci si attende che i fabbricanti istituiscano processi per individuare, documentare, affrontare e comunicare le vulnerabilità che interessano i loro prodotti.
La gestione delle vulnerabilità diventa quindi un’attività continua di conformità del prodotto, anziché un esercizio una tantum prima dell’immissione sul mercato.
Istituire processi per scoprire e ricevere informazioni sulle debolezze di cybersecurity.
Valutare gravità, sfruttabilità e potenziale impatto sui prodotti interessati.
Sviluppare e distribuire correzioni, patch o aggiornamenti di sicurezza adeguati.
Fornire informazioni di sicurezza adeguate a utenti, clienti e parti interessate.
Mantenere processi di escalation e segnalazione per incidenti e vulnerabilità soggetti agli obblighi del CRA.
Garantire che le responsabilità di gestione delle vulnerabilità proseguano per tutto il periodo di assistenza applicabile.
La cybersecurity sta diventando parte della marcatura CE
Una delle conseguenze più significative del CRA è l’integrazione della cybersecurity nel quadro europeo di conformità dei prodotti.
Prima di immettere sul mercato UE un prodotto con elementi digitali interessato, il fabbricante deve eseguire la procedura di valutazione della conformità appropriata.
Una volta dimostrata la conformità ai requisiti applicabili, il fabbricante redige la dichiarazione di conformità UE e appone la marcatura CE.
La sicurezza è spesso considerata principalmente una questione di ingegneria o di IT.
Requisiti di sicurezza, evidenze e valutazione della conformità diventano parte del processo formale di conformità.
Non tutti i prodotti seguono lo stesso percorso di conformità
Il CRA prevede diverse possibilità di valutazione della conformità a seconda del prodotto e della sua classificazione.
Molti prodotti potranno utilizzare un percorso di conformità basato sul controllo interno, laddove siano soddisfatte le condizioni applicabili.
Il regolamento individua tuttavia anche categorie di prodotti con elementi digitali importanti e critici per i quali possono applicarsi procedure di conformità diverse o più rigorose.
La corretta classificazione del prodotto diventa quindi una decisione di conformità precoce e importante.
Prove ed evidenze tecniche diventeranno sempre più importanti
La conformità del prodotto dipende da evidenze oggettive.
Per la conformità al CRA, i fabbricanti possono dover dimostrare come i requisiti di cybersecurity siano stati attuati e verificati mediante adeguata documentazione tecnica, analisi ingegneristiche e prove.
- registrazioni della valutazione dei rischi di cybersecurity;
- documentazione sull’architettura del prodotto e sulla progettazione della sicurezza;
- informazioni su software e componenti;
- registrazioni dell’analisi delle vulnerabilità;
- verifica e validazione della sicurezza;
- penetration test o altre prove di cybersecurity, ove opportuno;
- specifiche tecniche e norme applicabili;
- registrazioni delle azioni correttive e della correzione delle vulnerabilità;
- istruzioni del prodotto e informazioni sulla sicurezza; e
- evidenze della valutazione della conformità.
Anche la catena di fornitura è importante
I prodotti digitali moderni raramente sono costituiti interamente da tecnologia sviluppata da un unico fabbricante.
Librerie software, componenti embedded, applicazioni di terzi, servizi cloud e hardware fornito esternamente possono tutti entrare a far parte dell’architettura del prodotto finale.
Il CRA comporta quindi implicazioni importanti per la cybersecurity della catena di fornitura e la gestione dei componenti.
La scadenza di settembre 2026 per le segnalazioni
Sebbene i principali obblighi del CRA si applichino dall’11 dicembre 2027, un requisito particolarmente importante arriva molto prima.
Dall’11 settembre 2026i fabbricanti sono tenuti a segnalare determinate vulnerabilità attivamente sfruttate e incidenti gravi che incidono sulla sicurezza dei prodotti con elementi digitali.
Ciò significa che le organizzazioni non dovrebbero considerare dicembre 2027 come l’unica data rilevante.
Le procedure di gestione delle vulnerabilità, escalation e segnalazione normativa richiedono attenzione fin da ora.
Calendario di attuazione del Cyber Resilience Act
Il Cyber Resilience Act è entrato in vigore.
Hanno iniziato ad applicarsi le disposizioni relative alla notifica degli organismi di valutazione della conformità.
Iniziano ad applicarsi gli obblighi di segnalazione di cui all’articolo 14 relativi a determinate vulnerabilità e incidenti gravi.
Le disposizioni principali del Cyber Resilience Act diventano pienamente applicabili.
Che cosa dovrebbero fare ora i fabbricanti
Il periodo transitorio dovrebbe essere utilizzato per integrare i requisiti del CRA nei processi esistenti di sviluppo del prodotto e di conformità, anziché attendere la data di applicazione finale.
Individuare hardware, software e componenti che possono qualificarsi come prodotti con elementi digitali.
Esaminare caratteristiche del prodotto, modello commerciale, uso previsto ed esclusioni applicabili.
Determinare se i prodotti rientrano nelle categorie CRA generali, importanti o critiche.
Confrontare i controlli esistenti di sviluppo del prodotto e di sicurezza con i requisiti CRA applicabili.
Integrare l’analisi dei rischi di cybersecurity nella pianificazione, nello sviluppo, nella verifica e nella gestione delle modifiche del prodotto.
Garantire che requisiti di cybersecurity, prove, decisioni sui rischi ed evidenze di conformità possano essere dimostrati.
Predisporre processi per individuazione, correzione, aggiornamenti, escalation e segnalazione normativa.
Stabilire quali prove, valutazioni tecniche, certificazioni o valutazioni di terza parte possano essere necessarie.
Dall’ingegneria della cybersecurity all’accesso al mercato
Il Cyber Resilience Act rappresenta più di un ulteriore regolamento sulla cybersecurity.
Porta la cybersecurity nel consolidato ambito della valutazione della conformità dei prodotti.
I fabbricanti dovranno sempre più collegare l’ingegneria della cybersecurity con valutazione dei rischi, prove sul prodotto, documentazione tecnica, conformità normativa, valutazione della conformità e marcatura CE.
Questa convergenza è particolarmente importante per le organizzazioni che operano in catene di fornitura internazionali, nelle quali i prodotti possono incorporare componenti, software, risorse ingegneristiche e attività di produzione provenienti da più paesi.
Le imprese meglio preparate al CRA saranno quindi quelle che considerano la cybersecurity non come un esercizio tecnico separato, ma come un elemento integrato di qualità, conformità e gestione del ciclo di vita del prodotto.
Il Suo portafoglio prodotti è pronto per il Cyber Resilience Act?
La preparazione al CRA inizia dal comprendere quali prodotti sono interessati, quali requisiti si applicano e quale percorso di conformità è appropriato.
Una valutazione anticipata può individuare lacune normative, esigenze di prova, necessità di documentazione tecnica e obblighi di gestione delle vulnerabilità prima che diventino ostacoli all’accesso al mercato.
Il Cyber Resilience Act segna una transizione fondamentale: la cybersecurity sta passando da caratteristica auspicabile del prodotto a requisito di conformità dimostrabile per l’accesso al mercato europeo.