Cyber Resilience Act dell'UE: Cronologia completa di implementazione 2025-2027

Il Cyber Resilience Act dell'UE (Regolamento 2024/2847) rappresenta la legislazione più significativa sulla cybersicurezza per i prodotti con elementi digitali (PED) nell'Unione Europea. Con l'applicazione che inizia nel 2025 e la piena conformità richiesta entro dicembre 2027, i produttori devono comprendere la cronologia e prepararsi di conseguenza.

Cosa cambia a settembre 2026?

La prima grande scadenza di conformità arriva a settembre 2026, quando entrano in vigore gli obblighi di segnalazione delle vulnerabilità. Questo significa:

• Notifica entro 24 ore: Qualsiasi vulnerabilità attivamente sfruttata deve essere segnalata all'ENISA entro 24 ore dalla scoperta
• Rapporto dettagliato entro 72 ore: Un rapporto completo sulla vulnerabilità con dettagli tecnici
• Aggiornamento entro 14 giorni: Rapporto sui progressi delle misure di mitigazione
• Rapporto finale: Analisi completa dell'incidente entro 30 giorni

Preparare il workflow di gestione delle vulnerabilità

Per rispettare queste scadenze, i produttori devono stabilire:

1. Monitoraggio delle vulnerabilità per tutti i componenti software nei vostri prodotti
2. Procedure di escalation interna che possono attivarsi in ore, non giorni
3. Modelli di notifica ENISA pronti per l'uso immediato
4. SBOM (Software Bill of Materials) per identificare rapidamente i prodotti interessati

Dicembre 2027: Conformità completa

Entro dicembre 2027, tutti i prodotti con elementi digitali venduti nell'UE devono essere conformi ai requisiti completi del CRA:

Requisiti essenziali di cybersicurezza (Allegato I)

• Sicurezza fin dalla progettazione e per impostazione predefinita
• Protezione contro accessi non autorizzati
• Riservatezza e integrità dei dati
• Superficie di attacco minima
• Meccanismi di aggiornamento sicuri

Documentazione tecnica (Allegato VII)

Ogni prodotto richiede un fascicolo tecnico completo che includa:

• Documentazione della valutazione dei rischi
• Prove della valutazione di conformità
• SBOM con tracciabilità a livello di componenti
• Procedure di gestione delle vulnerabilità
• Dichiarazione del periodo di supporto (minimo 5 anni)

La classificazione del prodotto è importante

Il CRA definisce tre categorie di prodotti con diversi requisiti di valutazione della conformità:

Iniziate a prepararvi ora

Anche se l'applicazione completa è nel 2027, il lavoro richiesto è sostanziale. Raccomandiamo ai produttori di iniziare ora con:

1. Inventariate i vostri prodotti - Quali PED vendete nell'UE?
2. Classificate i vostri prodotti - Predefinito, Importante o Critico?
3. Implementate la generazione di SBOM - Automatizzata, accurata e completa

1. Stabilite processi per le vulnerabilità - Monitorare, rilevare, segnalare, correggere
2. Documentate tutto - I fascicoli tecnici richiedono tempo per essere preparati

Come CRA Evidence può aiutarvi

CRA Evidence fornisce una piattaforma completa per gestire il vostro percorso di conformità CRA:

• Gestione SBOM: Caricate, validate e mantenete gli SBOM per tutti i vostri prodotti
• Tracciamento vulnerabilità: Scansione automatica con tracciamento delle scadenze ENISA
• Export fascicolo tecnico: Generate pacchetti documentali conformi all'Allegato VII
• Audit trail: Piena tracciabilità per le valutazioni di conformità

La scadenza di dicembre 2027 può sembrare lontana, ma costruire processi conformi richiede tempo. Iniziate oggi la vostra valutazione di preparazione CRA.

Classificazione: Determinate la categoria del vostro prodotto con la nostra guida alla classificazione dei prodotti.

SBOM: Costruite la vostra infrastruttura SBOM con la nostra guida ai requisiti SBOM.

Segnalazione: Scoprite la regola delle 24 ore nella nostra guida alla segnalazione delle vulnerabilità ENISA.

Questo articolo è fornito a solo scopo informativo e non costituisce consulenza legale. Per una guida specifica sulla conformità, consultare un consulente legale qualificato.