Il Cyber Resilience Act (CRA) dell'UE richiede che tutti i prodotti con elementi digitali venduti nell'UE rispettino i requisiti di cybersicurezza entro dicembre 2027. Gli obblighi principali includono: mantenere SBOM (Software Bills of Materials), segnalare a ENISA le vulnerabilità sfruttate entro 24 ore (da settembre 2026) e conservare la documentazione tecnica per 10 anni. Le sanzioni possono arrivare fino a 15 milioni di euro o al 2,5% del fatturato globale. CRA Evidence aiuta produttori, importatori e distributori a conformarsi tramite gestione SBOM, scansione delle vulnerabilità e generazione dei fascicoli tecnici.
Regolamento europeo sulla resilienza cibernetica (CRA)
Il Regolamento UE 2024/2847 stabilisce i requisiti di cybersicurezza per i prodotti con elementi digitali. Ecco cosa devi sapere.
Cos'è il Regolamento sulla Cyber Resilienza?
Il CRA richiede alle aziende di documentare la catena di fornitura del software, monitorare le vulnerabilità durante il ciclo di vita del prodotto e mantenere i fascicoli tecnici per 10 anni. È tanta burocrazia.
Pubblicato come Regolamento (UE) 2024/2847, copre prodotti hardware e software venduti nell'UE: dispositivi IoT, sistemi di controllo industriale, software standalone e altro.
La normativa impone Software Bills of Materials (SBOMs), processi di gestione delle vulnerabilità, valutazioni del rischio e documentazione tecnica. Per i prodotti hardware sono richiesti anche HBOMs. I documenti VEX comunicano lo stato delle vulnerabilità agli utenti a valle.
Scadenze chiave per la conformità
11 settembre 2026
Inizio della segnalazione delle vulnerabilità
I produttori devono segnalare le vulnerabilità attivamente sfruttate all'ENISA e alle autorità nazionali entro 24 ore dal momento in cui ne vengono a conoscenza. Report dettagliati dovuti entro 72 ore.
11 dicembre 2027
Piena applicazione del CRA
Tutti i prodotti con elementi digitali devono rispettare i requisiti essenziali di cybersicurezza. I prodotti non conformi non possono essere venduti nel mercato UE.
Sanzioni per non conformità
Il CRA introduce sanzioni finanziarie significative per la non conformità. Le autorità di sorveglianza del mercato possono anche ordinare richiami di prodotti e vietare le vendite nel mercato UE.
Classificazione dei Prodotti
Il CRA classifica i prodotti in base al loro livello di rischio di cybersicurezza. I prodotti a rischio più elevato affrontano requisiti di valutazione della conformità più rigorosi.
| Categoria | Esempi | Valutazione della conformità |
|---|---|---|
| Predefinito | La maggior parte delle applicazioni software, dispositivi IoT, elettronica di consumo | Autovalutazione consentita |
| Importante Classe I | Gestione dell'identità, browser, gestori di password, VPN, gestione di rete | Autovalutazione se si utilizzano norme armonizzate; altrimenti valutazione di terze parti |
| Importante Classe II | Hypervisor, runtime container, firewall, rilevamento intrusioni, elementi sicuri | Richiesta valutazione di conformità di terze parti |
| Critico | Moduli di sicurezza hardware, lettori di smart card, sistemi di avvio sicuro | Requisiti più rigorosi (Allegato IV) |
Requisiti di Documentazione (Allegato VII)
I produttori devono compilare e mantenere la documentazione tecnica che dimostri la conformità ai requisiti essenziali. Questa documentazione deve essere conservata per almeno 10 anni dopo l'immissione del prodotto sul mercato.
Valutazione dei rischi
Valutazione del rischio di cybersicurezza che copre le potenziali minacce, vulnerabilità e le misure adottate per affrontarle.
Dichiarazione UE di conformità
Una dichiarazione formale che il prodotto soddisfa tutti i requisiti CRA applicabili, firmata da un rappresentante autorizzato.
Documentazione Utente
Istruzioni per l'installazione, l'uso e la manutenzione sicuri. Deve includere informazioni sul periodo di supporto e sugli aggiornamenti di sicurezza.
Politica di gestione delle vulnerabilità
Processo documentato per identificare, tracciare e rimediare le vulnerabilità. Deve includere procedure di divulgazione coordinata.
Report dei Test
Evidenza dei test di sicurezza, inclusi test di penetrazione, revisioni del codice e verifica dei requisiti essenziali.
Segnalazione Vulnerabilità ENISA
Da settembre 2026, i produttori devono segnalare le vulnerabilità attivamente sfruttate a ENISA (Agenzia dell'Unione Europea per la Cybersicurezza) e al loro CSIRT nazionale seguendo tempistiche rigorose.
La mancata segnalazione entro i tempi richiesti può comportare sanzioni significative e danni reputazionali.
Entro 24 Ore
Avviso Preventivo - Notifica iniziale di una vulnerabilità attivamente sfruttata o di un incidente grave. Informazioni di base sulla minaccia.
Entro 72 Ore
Report Dettagliato - Dettagli tecnici, prodotti interessati, valutazione della gravità e passi iniziali di remediation.
Entro 14 Giorni
Report Finale (Vulnerabilità) - Analisi completa, causa radice, rimedio completo e lezioni apprese.
Entro 1 Mese
Report Finale (Incidenti) - Per incidenti di sicurezza gravi, un rapporto finale è dovuto entro un mese.
Come CRA Evidence ti aiuta
Il CRA si applica in modo diverso a seconda del Vostro ruolo nella supply chain. CRA Evidence si adatta a ciascuno.
Gli obblighi CRA variano in base al ruolo nella supply chain
Produttori
L’articolo 13 impone gli obblighi più gravosi: SBOM, gestione delle vulnerabilità, aggiornamenti di sicurezza, documentazione tecnica.
- Convalida SBOM (TR-03183)
- Monitoraggio delle vulnerabilità
- Esportazione del fascicolo tecnico
- Dichiarazione di Conformità
Importatori
L’articolo 19 ti rende responsabile di verificare la conformità del produttore prima di vendere nell’UE.
- Checklist di verifica
- Monitoraggio dei produttori
- Archiviazione delle evidenze
- Traccia di audit
Distributori
Gli obblighi dell'Articolo 20 sono più leggeri: verificare marcatura CE e gestire correttamente i prodotti non conformi.
- Checklist di dovuta diligenza
- Tracciamento dei fornitori
- Verifica CE
- Escalation degli incidenti
Inizia a prepararti ora
Dicembre 2027 è più vicino di quanto sembri. Prepara prodotti e documentazione.