14 Luglio 2026
A inizio luglio, ACN ha integrato alcune delle FAQ presenti sul proprio sito e ne ha introdotte di nuove. In particolare, sono state integrate le FAQ […]
Il Cyber Resilience Act (CRA) è il primo regolamento dell'Unione Europea che introduce requisiti obbligatori di sicurezza informatica per tutti i prodotti hardware e software connessi, applicando il principio della sicurezza fin dalla progettazione (secure by design) lungo l'intero ciclo di vita del prodotto.
Cyber Resilience Act:
Il prossimo 11 settembre 2026 segna una delle prime scadenze operative del Cyber Resilience Act. Da quella data inizieranno ad applicarsi gli obblighi di segnalazione previsti dall’articolo 14 del Regolamento.
Cosa cambia dall’11 settembre 2026
L’articolo 14 prevede che i soggetti coinvolti nel CRA (i produttori) segnalino al CSIRT e a ENISA le vulnerabilità dei propri prodotti quando ne viene rilevato lo sfruttamento attivo, così come gli incidenti gravi che ne compromettono la sicurezza.
Gli obblighi si applicheranno dall’11 settembre 2026 anche ai prodotti già immessi sul mercato e rientranti nel perimetro del CRA, anticipando quindi la piena applicazione del Regolamento prevista per dicembre 2027.
Il modello di reporting previsto dal CRA segue la progressiva evoluzione dell’analisi, dal primo early warning entro 24 ore dalla consapevolezza al report completo da inviare entro 14 giorni dalla disponibilità di una misura correttiva o di mitigazione. Per un incidente grave, il report finale deve invece essere trasmesso entro un mese dalla notifica iniziale. Il processo di reporting non si esaurisce quindi con la prima segnalazione, ma richiede un’analisi continua e l’aggiornamento delle informazioni man mano che aumenta la conoscenza dell’evento.
Un altro chiarimento riguarda i componenti sviluppati da terze parti, per i quali la vulnerabilità sfruttata deve essere valutata rispetto al prodotto nel quale il componente è stato integrato.
Rimangono comunque applicabili gli obblighi relativi alla gestione della vulnerabilità e, quando previsto, alla comunicazione verso il soggetto che produce o mantiene il componente interessato. Questo chiarimento è rilevante nei prodotti che dipendono da un numero elevato di componenti terzi, perché la valutazione richiede una conoscenza effettiva delle dipendenze e del modo in cui queste vengono utilizzate nel prodotto.
Le linee guida rafforzano il ruolo del cybersecurity risk assessment previsto dall’articolo 13, richiedendo che il rischio residuo sia valutato in relazione al livello di sicurezza appropriato al prodotto e al suo utilizzo prevedibile. La tolleranza al rischio e le sole considerazioni economiche non giustificano il mancato trattamento di rischi rilevanti, che devono essere valutati considerando anche le dipendenze esterne e i componenti di terze parti.
La piattaforma ESRA fornisce ai produttori una base informativa concreta per comprendere, valutare e gestire il rischio cyber, trasformando la conoscenza dell’ambiente tecnologico in elementi utili a supportare il percorso di adeguamento al CRA.
ai.esra SpA – strada del Lionetto 6 Torino, Italia, 10146
Tel +39 011 234 4611
CAP. SOC. € 50.000,00 i.v. – REA TO1339590 CF e PI 13107650015
“Questo sito si impegna a garantire l’accessibilità digitale secondo la normativa europea (EAA). Per segnalare problemi di accessibilità, scrivi a: ai.esra@ai-esra.com”
ai.esra SpA – strada del Lionetto 6 Torino, Italy, 10146
Tel +39 011 234 4611
CAP. SOC. € 50.000,00 i.v. – REA TO1339590
CF e PI 13107650015
© 2024 Esra – Tutti i diritti riservati
