Il Suo prodotto contiene software ed è venduto nell'UE? Allora rientra probabilmente nel Cyber Resilience Act (CRA), il regolamento (UE) 2024/2847. Il regolamento richiede ai produttori che i prodotti con elementi digitali siano sicuri per l'intero ciclo di vita. E che ciò si possa dimostrare. Verifichiamo il Suo prodotto dal punto di vista tecnico, Le mostriamo a che punto si trova e attuiamo con Lei le misure necessarie.
Richiedere il pacchetto Prenotare nello shop
Le scadenze
- Dall'11 settembre 2026: obblighi di segnalazione per le vulnerabilità attivamente sfruttate e per gli incidenti gravi. Valgono anche per i prodotti già presenti sul mercato.
- Dall'11 dicembre 2027: il regolamento si applica integralmente, compresi i requisiti essenziali di cibersicurezza, la valutazione della conformità e la marcatura CE.
I prodotti immessi sul mercato prima dell'11 dicembre 2027 devono soddisfare gli altri requisiti solo se successivamente subiscono una modifica sostanziale.
Il CRA riguarda il Suo prodotto?
Il CRA si applica ai prodotti con elementi digitali che possono avere una connessione dati con un dispositivo o una rete. Si tratta di dispositivi con un proprio software, ma anche di puro software che Lei vende. Quindi anche programmi desktop, app e add-in per sistemi CAD.
- Rientrano, ad esempio, macchine e dispositivi con software di controllo, tecnica di misura e di laboratorio, software desktop, add-in CAD, firmware e app.
- Sono esclusi i prodotti con regole proprie, ad esempio i dispositivi medici e i dispositivi medico-diagnostici in vitro, i veicoli a motore e l'aviazione. I servizi puramente cloud rientrano per lo più nella NIS2 anziché nel CRA, a meno che non facciano parte di un prodotto.
In quale classe rientra il Suo prodotto?
La maggior parte dei prodotti rientra tra i prodotti standard. Per questi è Lei a valutare la conformità. Regole più severe valgono per i prodotti importanti delle classi I e II, ad esempio sistemi operativi, gestori di password, router o firewall, e per i prodotti critici come le smart card. In quei casi servono, a seconda della classe, norme armonizzate o un organismo notificato.
Che cosa richiede il CRA ai produttori
- Sicurezza fin dall'inizio: nessuna vulnerabilità sfruttabile nota alla consegna, configurazioni predefinite sicure e protezione da accessi non autorizzati.
- Una valutazione dei rischi di cibersicurezza, che Lei mantiene aggiornata.
- Una distinta base del software (SBOM) con almeno le dipendenze dirette.
- Una gestione strutturata delle vulnerabilità, compreso un indirizzo di contatto per le segnalazioni.
- Aggiornamenti di sicurezza per il periodo di assistenza, di norma almeno cinque anni. Ogni aggiornamento resta disponibile per almeno dieci anni.
- Documentazione tecnica, dichiarazione di conformità UE e marcatura CE.
- Notifiche tramite la piattaforma dell'ENISA entro 24 e 72 ore.
In caso di violazione dei requisiti essenziali si rischiano sanzioni fino a 15 milioni di euro o fino al 2,5% del fatturato mondiale annuo, a seconda di quale importo sia più elevato.
Fonte: Regolamento (UE) 2024/2847, art. 2, 7, 13, 14, 64, 69 e 71
Che cosa verifichiamo e attuiamo per Lei
1. Inventario
Quali prodotti e versioni sono interessati, quale software contengono, quali interfacce e connessioni di dati esistono? Chiariamo dal punto di vista tecnico se il Suo prodotto rientra nell'ambito di applicazione e quale classificazione è plausibile. Da questo dipende se può valutare la conformità autonomamente o se ha bisogno di un organismo notificato.
2. Distinta base del software (SBOM)
Il CRA richiede che Lei conosca e documenti i componenti del Suo prodotto, almeno le dipendenze dirette, in un formato di uso comune leggibile da una macchina. Rileviamo librerie, componenti open source e moduli acquistati con le relative versioni e configuriamo la SBOM nel formato CycloneDX o SPDX in modo che venga creata automaticamente a ogni build.
3. Gestione delle vulnerabilità
Confrontiamo i Suoi componenti con i database pubblici delle vulnerabilità, valutiamo i riscontri per il Suo prodotto e proponiamo correzioni. Ne fa parte un processo per gestire in futuro le vulnerabilità: un indirizzo di contatto per le segnalazioni dall'esterno, una politica di divulgazione coordinata e verifiche regolari.
4. Processo di aggiornamento
Gli aggiornamenti di sicurezza devono raggiungere i Suoi clienti in modo rapido, sicuro e, per quanto possibile, separato dagli aggiornamenti funzionali. Verifichiamo come oggi gli aggiornamenti vengono creati, firmati e distribuiti, e come Lei copre il periodo di assistenza. Se manca un canale sicuro per gli aggiornamenti, lo realizziamo.
5. Sicurezza del prodotto
Verifichiamo i requisiti essenziali relativi al prodotto stesso: configurazioni predefinite sicure, protezione da accessi non autorizzati, crittografia, superficie di attacco il più possibile ridotta e registrazione degli eventi rilevanti per la sicurezza. Dal punto di vista metodologico ci avvaliamo del nostro controllo qualità con code review e verifica della sicurezza.
6. Documentazione tecnica
Per la dichiarazione di conformità serve una documentazione tecnica: descrizione del prodotto, architettura, valutazione dei rischi di cibersicurezza, procedure per la gestione delle vulnerabilità e informazioni per gli utenti. Verifichiamo che cosa esiste già e redigiamo le parti tecniche mancanti.
7. Obblighi di segnalazione
Se una vulnerabilità del Suo prodotto viene attivamente sfruttata, è dovuto un preallarme entro 24 ore e una notifica più dettagliata entro 72 ore, tramite la piattaforma unica di segnalazione dell'ENISA. Stabiliamo con Lei chi rileva, valuta e notifica le segnalazioni, e prepariamo i dati tecnici in modo che in caso di emergenza non si perda tempo.
Il software datato e il CRA
Il CRA diventa difficile soprattutto con il software cresciuto nel tempo. Chi fornisce un aggiornamento di sicurezza per una libreria il cui produttore non esiste più? Come nasce una SBOM se i componenti sono stati copiati a mano nel progetto? E come arriva al cliente un aggiornamento firmato, se non esiste un canale di aggiornamento?
Qui aiuta la modernizzazione del software. Sostituiamo i componenti obsoleti, configuriamo una catena di build automatica con SBOM e realizziamo un meccanismo di aggiornamento sicuro. Con Delphi, VB6, VBA o MFC lo combiniamo con il porting. Importante: una modifica sostanziale dopo l'11 dicembre 2027 porta il Suo prodotto interamente sotto il CRA. Pianifichi quindi modernizzazione e CRA insieme.
Per iniziare: il Check CRA
Nel Check CRA classifichiamo un prodotto, creiamo una prima distinta base del software e confrontiamo i componenti con le vulnerabilità note. Al termine saprà a che punto si trova il Suo prodotto e che cosa va fatto entro dicembre 2027.
- Classificazione: il Suo prodotto rientra nel CRA e quale classe è plausibile?
- Prima distinta base del software (SBOM) nel formato CycloneDX o SPDX
- Confronto dei componenti con le vulnerabilità note
- Elenco delle lacune per ciascun requisito, con piano di misure e impegno
Riceve un rapporto di verifica con lo stato del Suo prodotto per ciascun requisito del CRA, la distinta base del software e un piano di misure con offerta a prezzo fisso. Il Check CRA costa 2.990 € a prezzo fisso, IVA esclusa, per un prodotto. Se in seguito ci affida l'attuazione, Le riconosciamo il 50% del prezzo del pacchetto.
Richiedere il pacchetto Prenotare nello shop
Che cosa riceve da noi
- Un rapporto sullo stato del Suo prodotto per ciascun ambito di requisiti, comprensibile anche per la direzione e il product management
- Un elenco di misure, ordinate per urgenza e con impegno stimato
- Su richiesta l'attuazione: SBOM nella build, eliminazione delle vulnerabilità, meccanismo di aggiornamento, documentazione
- Se necessario, un accompagnamento continuativo, ad esempio tramite supporto e manutenzione
A chi si rivolge
La nostra offerta si rivolge a produttori di macchine e dispositivi con un proprio software di controllo, a fornitori di tecnica di laboratorio e di misura e ad aziende che commercializzano software desktop o add-in CAD per AutoCAD, BricsCAD o Revit. Verifichiamo il software che abbiamo sviluppato noi stessi così come il software di altri produttori e il codice esistente cresciuto nel tempo in C#/.NET o C++.
Nota: Ci occupiamo della verifica tecnica e dell'attuazione, non della consulenza legale. Le questioni legali, ad esempio la classificazione vincolante del Suo prodotto, le concordiamo con il Suo ufficio legale o con i Suoi avvocati.
Approfondimenti dalle nostre competenze
- Cyber Resilience Act: che cosa devono aver fatto i produttori di software entro la fine del 2027
- Creare una SBOM: la distinta base del software per il Cyber Resilience Act
- Modernizzare software obsoleto: Delphi, VB6 e MFC verso .NET passo dopo passo
Domande frequenti sul Cyber Resilience Act
Il CRA si applica anche se vendiamo solo in Germania?
Sì. Il CRA si applica a tutti i prodotti messi a disposizione sul mercato dell'UE, anche se Lei vende solo in un Paese.
Il CRA si applica anche al software che usiamo solo internamente?
Il software che Lei usa solo all'interno della Sua azienda, senza offrirlo, non viene messo a disposizione sul mercato. Per questo di norma non rientra nel CRA.
Che cosa vale per le versioni che i nostri clienti hanno già?
Gli obblighi di segnalazione valgono dall'11 settembre 2026 anche per i prodotti già presenti sul mercato. Gli altri requisiti valgono per i prodotti che Lei immette sul mercato dall'11 dicembre 2027 o che successivamente modifica in modo sostanziale.
Abbiamo bisogno di un organismo notificato?
Per i prodotti standard no. La conformità la valuta Lei. Per i prodotti importanti e critici può essere necessario un organismo notificato. Lo chiariamo nell'inventario.
Redigete anche la dichiarazione di conformità?
Redigiamo le parti tecniche della documentazione. La dichiarazione di conformità UE la firma Lei in qualità di produttore.
Il Suo prossimo passo
Nel primo colloquio chiariamo quali prodotti potrebbero essere interessati e da dove conviene iniziare. Maggiori informazioni sui nostri servizi sono disponibili alle pagine Modernizzazione e porting del software e Qualità e sicurezza.
kununu