Come è nata CRA Evidence
È iniziato nel 2025, quando Joan Romero ha sentito parlare del Regolamento sulla ciberresilienza per la prima volta.
Da quel momento ha iniziato a collegarlo a tutta la sua carriera come Cloud Engineer e SRE. Stiamo costruendo e distribuendo più prodotti che mai, ma non ci prendiamo cura della cybersicurezza. Gli incidenti continuano a crescere.
Il Regolamento sulla ciberresilienza esiste proprio per questo. L'Europa ha visto il problema e ha deciso di agire. Joan ha deciso di aiutare i team ad affrontarlo e ha iniziato a costruire CRA Evidence.
Questo è diventato realtà nel 2026. Il primo capitolo è passato attraverso CEEI, il Centro Europeo delle Imprese e dell'Innovazione del Principato delle Asturie. Con il loro aiuto, l'azienda ha preso il via.
Perché è stata costruita CRA Evidence
Ogni anno arrivano in Europa più prodotti digitali, dai controllori industriali ai dispositivi domestici, e il Cyber Resilience Act è la prima norma su scala europea che richiede prove di sicurezza reali per tutta la vita di un prodotto. Volevamo aiutare i team che fanno questo lavoro.
Nessuno sapeva con chiarezza a chi spettasse il Cyber Resilience Act. Non all’ingegneria, non all’ufficio legale, non al prodotto. Abbiamo creato CRA Evidence perché quel lavoro avesse una sede: tracciato, corretto e pronto per l’audit per i dieci anni o più che il regolamento richiede.
I prodotti con elementi digitali immessi sul mercato dell’UE devono essere progettati, fabbricati e mantenuti con prove reali di cibersicurezza lungo tutto il loro ciclo di vita, e i fabbricanti interessati conservano la documentazione tecnica per un periodo di almeno dieci anni, o per il periodo di assistenza se quest’ultimo è superiore.
Regolamento (UE) 2024/2847 · parafrasi
È questo il lavoro per cui esistiamo.
Il CRA si applica in modo diverso a ciascun ruolo. Ci adattiamo a ognuno.
Produttori, importatori e distributori hanno obblighi diversi ai sensi del regolamento. CRA Evidence fornisce il workflow giusto per ciascuno.
Produttori
Costruite prodotti con elementi digitali. Gli obblighi CRA più pesanti ricadono su di Voi.
- Validazione SBOM rispetto a BSI TR-03183
- Monitoraggio continuo delle vulnerabilità con sincronizzazione oraria e giornaliera delle fonti
- Generatore di Dichiarazione di Conformità UE
- Generatore di informazioni e istruzioni per l'utente (UII)
- Tracciamento della conformità a livello di versione
Importatori
Introducete prodotti nel mercato UE. Dovete verificare la conformità del produttore prima di vendere.
- Liste di verifica per gli importatori
- Richieste di documentazione al produttore
- Archiviazione delle prove con traccia di audit
- Registri per la sorveglianza del mercato
Distributori
Vendete prodotti nell'UE ma non li producete né li importate. Obblighi più leggeri.
- Flussi di lavoro per la verifica della conformità
- Accesso alla documentazione del prodotto
- Guida per i distributori
- Percorsi di escalation degli incidenti
Le domande che continuiamo a sentire
Ogni team che si sta preparando al CRA affronta le stesse basi:
- In che formato dovrebbe essere il mio SBOM?
- Come traccio le vulnerabilità su 300 dipendenze?
- Cosa va esattamente in un fascicolo tecnico?
- Come dimostro la conformità a un'autorità di sorveglianza del mercato?
Il regolamento è già abbastanza complesso. I tuoi strumenti non devono esserlo.
Riconoscimento indipendente
Segnali di terze parti che puoi verificare in autonomia. Leggi gli annunci completi nella sala stampa.
Visita la sala stampa →
Pronti a semplificare la conformità CRA?
Mappi gli obblighi, generi prove e rimanga pronto per gli audit su tutte le versioni del prodotto entro l'11 dicembre 2027.