Il Suo prodotto contiene software ed è venduto nell'UE? Allora rientra probabilmente nel Cyber Resilience Act (CRA), il regolamento (UE) 2024/2847. Il regolamento richiede ai produttori che i prodotti con elementi digitali siano sicuri per l'intero ciclo di vita – e che ciò si possa dimostrare. Verifichiamo il Suo prodotto dal punto di vista tecnico, Le mostriamo a che punto si trova e, su richiesta, attuiamo con Lei le misure necessarie.
Le scadenze
- Dall'11 settembre 2026: obblighi di segnalazione per le vulnerabilità attivamente sfruttate e per gli incidenti gravi. Valgono anche per i prodotti già presenti sul mercato.
- Dall'11 dicembre 2027: il regolamento si applica integralmente, compresi i requisiti essenziali di cibersicurezza, la valutazione della conformità e la marcatura CE.
I prodotti immessi sul mercato prima dell'11 dicembre 2027 devono soddisfare gli altri requisiti solo se successivamente subiscono una modifica sostanziale.
Che cosa verifichiamo per Lei
1. Inventario
Quali prodotti e versioni sono interessati, quale software contengono, quali interfacce e connessioni di dati esistono? Chiariamo dal punto di vista tecnico se il Suo prodotto rientra nell'ambito di applicazione e quale classificazione è plausibile – prodotto standard, importante o critico. Da questo dipende se può valutare la conformità autonomamente o se ha bisogno di un organismo notificato. Alcuni gruppi di prodotti, ad esempio i dispositivi medici, sono esclusi perché per essi valgono regole proprie.
2. Distinta base del software (SBOM)
Il CRA richiede che Lei conosca e documenti i componenti del Suo prodotto, almeno le dipendenze dirette, in un formato di uso comune leggibile da una macchina. Rileviamo librerie, componenti open source e moduli acquistati con le relative versioni e configuriamo la generazione della SBOM, ad esempio nel formato CycloneDX o SPDX, in modo che venga creata automaticamente a ogni build.
3. Gestione delle vulnerabilità
Confrontiamo i Suoi componenti con i database pubblici delle vulnerabilità, valutiamo i riscontri per il Suo prodotto e proponiamo correzioni. Ne fa parte un processo per gestire in futuro le vulnerabilità: un indirizzo di contatto per le segnalazioni dall'esterno, una politica di divulgazione coordinata e verifiche regolari.
4. Processo di aggiornamento
Gli aggiornamenti di sicurezza devono raggiungere i Suoi clienti in modo rapido, sicuro e, per quanto possibile, separato dagli aggiornamenti funzionali. Verifichiamo come oggi gli aggiornamenti vengono creati, firmati e distribuiti, e come coprire il periodo di assistenza. Di norma è di almeno cinque anni, con una durata di utilizzo più breve corrispondentemente inferiore.
5. Sicurezza del prodotto
Verifichiamo i requisiti essenziali relativi al prodotto stesso: nessuna vulnerabilità sfruttabile nota alla consegna, configurazioni predefinite sicure, protezione da accessi non autorizzati, crittografia, superficie di attacco il più possibile ridotta e registrazione degli eventi rilevanti per la sicurezza. Dal punto di vista metodologico ci avvaliamo del nostro controllo qualità con code review e verifica della sicurezza.
6. Documentazione tecnica
Per la dichiarazione di conformità serve una documentazione tecnica: descrizione del prodotto, architettura, valutazione dei rischi di cibersicurezza, procedure per la gestione delle vulnerabilità e informazioni per gli utenti. Verifichiamo che cosa esiste già e redigiamo le parti tecniche mancanti.
7. Obblighi di segnalazione
Se una vulnerabilità del Suo prodotto viene attivamente sfruttata, è dovuto un preallarme entro 24 ore e una notifica più dettagliata entro 72 ore – tramite la piattaforma unica di segnalazione dell'ENISA. Stabiliamo con Lei chi rileva, valuta e notifica le segnalazioni, e prepariamo i dati tecnici in modo che in caso di emergenza non si perda tempo.
Che cosa riceve da noi
- Un rapporto sullo stato del Suo prodotto per ciascun ambito di requisiti, comprensibile anche per la direzione e il product management
- Un elenco di misure, ordinate per urgenza e con impegno stimato
- Su richiesta l'attuazione: SBOM nella build, eliminazione delle vulnerabilità, meccanismo di aggiornamento, documentazione
- Se necessario, un accompagnamento continuativo, ad esempio tramite supporto e manutenzione
A chi si rivolge
La nostra offerta si rivolge a produttori di macchine e dispositivi con un proprio software di controllo, a fornitori di tecnica di laboratorio e di misura e ad aziende che commercializzano software desktop o add-in CAD per AutoCAD, BricsCAD o Revit. Verifichiamo il software che abbiamo sviluppato noi stessi così come il software di altri produttori e il codice esistente cresciuto nel tempo in C#/.NET o C++.
Nota: Ci occupiamo della verifica tecnica e dell'attuazione, non della consulenza legale. Le questioni legali, ad esempio la classificazione vincolante del Suo prodotto, le concordiamo con il Suo ufficio legale o con i Suoi avvocati.
Il Suo prossimo passo
Nel primo colloquio chiariamo quali prodotti potrebbero essere interessati e da dove conviene iniziare. Maggiori informazioni sui nostri servizi in materia di qualità e sicurezza sono disponibili nella panoramica.
kununu