Conformità al Cyber ​​Resilience Act (CRA) dell'UE: una guida completa

I prodotti connessi stanno diventando parte integrante di quasi tutte le categorie di prodotti di consumo e industriali. Elettrodomestici intelligenti, telecamere di sicurezza, dispositivi indossabili, apparecchiature di rete, applicazioni mobili, software embedded e prodotti connessi al cloud possono tutti creare rischi per la sicurezza informatica se non vengono progettati, gestiti e aggiornati in modo sicuro.

L'Unione europea ha risposto con la Legge sulla resilienza informatica, formalmente noto come Regolamento (UE) 2024/2847.

Il Cyber ​​Resilience Act (CRA) introduce requisiti obbligatori di sicurezza informatica per i prodotti hardware e software immessi sul mercato dell'Unione europea. Trasforma la sicurezza informatica da una pratica tecnica in gran parte volontaria in un obbligo formale di conformità del prodotto.

I produttori devono valutare i rischi di sicurezza informatica, integrare la sicurezza nel prodotto, documentare la conformità, gestire le vulnerabilità, fornire aggiornamenti di sicurezza e, ove richiesto, segnalare le vulnerabilità attivamente sfruttate e gli incidenti di sicurezza gravi.

Per molti prodotti, la conformità ai requisiti CRA diventerà parte integrante del processo di marcatura CE.

Che cos'è l'EU Cyber ​​Resilience Act?

Il Cyber ​​Resilience Act è un regolamento orizzontale dell'UE in materia di sicurezza informatica dei prodotti. Si applica in modo ampio ai prodotti hardware e software con elementi digitali immessi sul mercato dell'Unione europea.

Il suo scopo è garantire che i prodotti vengano sviluppati in modo sicuro e che rimangano tali per tutta la durata prevista del loro utilizzo. Mira inoltre a fornire agli utenti informazioni più chiare sulla sicurezza dei prodotti, sugli aggiornamenti disponibili e sulla durata del supporto in materia di sicurezza informatica.

La CRA affronta due problemi ricorrenti nel mercato dei prodotti digitali:

1. Spesso i prodotti vengono immessi sul mercato con misure di sicurezza informatica inadeguate o con vulnerabilità note.
2. I produttori potrebbero fornire aggiornamenti di sicurezza, informazioni sulle vulnerabilità o supporto post-vendita insufficienti dopo la vendita di un prodotto.

Ai sensi del CRA (Competition and Responsibility Act), i produttori devono tenere conto della sicurezza informatica durante la pianificazione, la progettazione, lo sviluppo, la produzione, la consegna e la manutenzione di un prodotto. La sicurezza informatica non si limita quindi più a un test di penetrazione finale o a una revisione pre-lancio, ma deve essere integrata nel ciclo di vita del prodotto.

Ulteriori informazioni sono disponibili nel Sintesi del Cyber ​​Resilience Act della Commissione europea.

Quando si applica il Cyber ​​Resilience Act?

Il CRA è entrato in vigore il 10 dicembre 2024, ma i requisiti si applicano in fasi successive.

• 11 giugno 2026: Iniziano ad applicarsi le disposizioni relative alla notifica agli organismi di valutazione della conformità.
• 11 settembre 2026: Entrano in vigore gli obblighi di segnalazione per le vulnerabilità attivamente sfruttate e per gli incidenti di sicurezza gravi.
• 11 dicembre 2027: La maggior parte dei requisiti rimanenti dell'Agenzia delle Entrate canadese (CRA) diventano pienamente applicabili.

I prodotti immessi sul mercato dell'UE prima dell'11 dicembre 2027 sono generalmente soggetti ai principali requisiti del CRA solo se subiscono una modifica sostanziale dopo tale data. Tuttavia, gli obblighi di segnalazione in vigore dall'11 settembre 2026 possono riguardare anche i prodotti già disponibili sul mercato dell'UE.

I produttori non dovrebbero aspettare fino a dicembre 2027 per iniziare a prepararsi. Definire un processo di sviluppo sicuro, produrre una distinta base del software, completare i test di sicurezza informatica e implementare procedure di segnalazione delle vulnerabilità può richiedere molto tempo.

Quali prodotti sono coperti dall'Agenzia delle Entrate canadese (CRA)?

Il CRA si applica generalmente a un prodotto con elementi digitali il cui scopo previsto o utilizzo ragionevolmente prevedibile include una connessione dati logica o fisica, diretta o indiretta, a un dispositivo o a una rete.

Un prodotto con elementi digitali può includere:

• Un prodotto hardware
• Un prodotto software
• Componenti hardware o software venduti separatamente
• Firmware integrato
• Soluzioni di elaborazione dati remota necessarie affinché il prodotto possa svolgere una delle sue funzioni

L'elaborazione remota dei dati può includere un servizio cloud controllato dal produttore, qualora l'assenza di tale servizio impedisse al prodotto di svolgere una delle sue funzioni previste.

Esempi di prodotti potenzialmente coperti

A seconda delle loro funzioni e delle modalità di fornitura, i prodotti coperti dal CRA possono includere:

• dispositivi Internet delle cose
• Prodotti per la casa intelligente
• Elettrodomestici connessi
• Telecamere di sicurezza intelligenti e sistemi di allarme
• Serrature intelligenti
• giocattoli connessi
• Dispositivi indossabili
• Router, modem e switch di rete
• Computer, smartphone e tablet
• dispositivi di archiviazione esterni
• Prodotti per interfacce di rete
• Prodotti per il controllo industriale
• Sensori connessi
• Sistemi di controllo degli accessi
• Sistemi operativi
• Applicazioni per dispositivi mobili e desktop
• Gestori di password
• software per reti private virtuali
• Firewall
• Software antivirus e di rilevamento malware
• Software e firmware integrati
• Librerie software e componenti software commerciali
• Videogiochi e altri software autonomi

La definizione è volutamente ampia. Un prodotto non deve necessariamente connettersi direttamente a Internet. Una connessione indiretta a un altro dispositivo o rete può essere sufficiente.

Ad esempio, un prodotto dotato di tecnologia Bluetooth che si connette a un'applicazione per smartphone potrebbe rientrare nell'ambito di applicazione del Consumer Rights Act (CRA) anche se il prodotto stesso non si connette direttamente a Internet.

L'imposta sui beni e servizi (CRA) si applica ai software autonomi?

Sì. I software autonomi resi disponibili sul mercato dell'UE possono rientrare nell'ambito di applicazione del CRA.

Ciò può includere:

• Applicazioni mobili
• Applicazioni desktop
• Sistemi operativi
• Software di sicurezza
• Librerie software commerciali
• Software di gestione dei dispositivi
• Strumenti di gestione della rete
• Software venduto tramite piattaforme di download
• Software fornito senza un prodotto fisico separato

La copertura di un software dipende dalle modalità di fornitura, dal fatto che venga reso disponibile nell'ambito di un'attività commerciale e dall'eventuale applicazione di una specifica esclusione.

Il software fornito interamente come servizio potrebbe richiedere una valutazione più dettagliata. L'Agenzia delle Entrate canadese (CRA) in genere non regolamenta ogni singolo accordo di software come servizio, ma le funzionalità di elaborazione dati a distanza necessarie affinché un prodotto soggetto a regolamentazione possa svolgere una delle sue funzioni possono essere integrate nel prodotto stesso tramite elementi digitali.

Quali prodotti sono esclusi?

Alcune categorie di prodotti sono escluse o regolamentate da altre normative UE specifiche per settore.

A seconda delle circostanze, le esclusioni possono applicarsi ai prodotti disciplinati dalla legislazione che regola:

• Dispositivi medici
• Dispositivi medici per la diagnostica in vitro
• Aviazione civile
• Veicoli a motore
• Alcune attrezzature marine
• Prodotti sviluppati esclusivamente per scopi di sicurezza nazionale o di difesa.
• Alcuni software liberi e open source forniti al di fuori di un'attività commerciale

Il trattamento del software open source richiede particolare attenzione. Il software reso disponibile al di fuori di un'attività commerciale può essere escluso, mentre i prodotti open source forniti commercialmente e alcuni gestori di software open source possono avere obblighi ai sensi del CRA (Community Reinvestment Act).

Un prodotto non dovrebbe essere considerato escluso solo perché soggetto a un'altra legge dell'UE. I produttori devono verificare se l'altra normativa disciplina specificamente i requisiti di sicurezza informatica pertinenti e se il CRA prevede un'esclusione totale o parziale.

Chi è il produttore ai sensi del CRA?

Il produttore è la persona fisica o giuridica che sviluppa, fabbrica o fa progettare, sviluppare o fabbricare un prodotto con elementi digitali e lo commercializza con il proprio nome o marchio.

Pertanto, un'azienda può essere considerata il produttore anche quando:

• Il prodotto fisico viene realizzato da una fabbrica di terzi.
• Il software è sviluppato da un fornitore esterno.
• Il firmware viene fornito da un'altra azienda.
• L'azienda importa un prodotto finito e lo vende con il proprio marchio.
• Il lavoro di sviluppo viene affidato in outsourcing a ingegneri del software o fornitori di servizi tecnici.

L'esternalizzazione dello sviluppo non comporta l'esternalizzazione della responsabilità legale del produttore.

L'azienda che immette il prodotto sul mercato con il proprio nome o marchio deve garantire che il prodotto completo, compresi i componenti software e hardware di terzi, soddisfi i requisiti del CRA (Community Reinvestment Act).

Quali sono i principali obblighi del produttore ai sensi del CRA?

La responsabilità principale per la conformità ricade sui produttori.

Prima di immettere sul mercato dell'UE un prodotto con elementi digitali, il fabbricante deve generalmente:

1. Determinare se il prodotto rientra nell'ambito di applicazione del CRA.
2. Determinare se il prodotto è predefinito, importante o critico.
3. Eseguire una valutazione del rischio di sicurezza informatica.
4. Progettare, sviluppare e produrre il prodotto in conformità con i requisiti essenziali di sicurezza informatica.
5. È necessario prestare la dovuta attenzione durante l'integrazione di componenti di terze parti.
6. Definire processi per la gestione delle vulnerabilità.
7. Determinare e documentare il periodo di supporto del prodotto.
8. Preparare la documentazione tecnica necessaria.
9. Eseguire la valutazione di conformità appropriata.
10. Preparare e firmare la Dichiarazione di conformità UE.
11. Apporre la marcatura CE.
12. Fornire le informazioni sul prodotto e le istruzioni di sicurezza richieste.
13. Monitorare le vulnerabilità e gli incidenti dopo l'immissione del prodotto sul mercato.
14. Fornire aggiornamenti di sicurezza durante il periodo di supporto.
15. Intervenire con azioni correttive quando un prodotto non è conforme o presenta un rischio per la sicurezza informatica.
16. Rispettare le scadenze previste per la segnalazione di vulnerabilità e incidenti.

Il produttore deve essere in grado di dimostrare la conformità attraverso registrazioni, procedure e prove tecniche. Una dichiarazione generica di sicurezza del prodotto non sarà sufficiente.

Requisiti essenziali di sicurezza informatica

L'allegato I del CRA contiene i requisiti essenziali in materia di sicurezza informatica.

Questi requisiti si suddividono in due aree principali:

• Caratteristiche di sicurezza informatica del prodotto
• Requisiti per la gestione delle vulnerabilità

Sicurezza fin dalla progettazione e per impostazione predefinita

I prodotti devono essere progettati, sviluppati e realizzati in modo da garantire un livello adeguato di sicurezza informatica in base ai rischi.

A seconda del prodotto, ciò può richiedere misure relative a:

• Configurazioni predefinite sicure
• Autenticazione
• Controllo degli accessi
• Riservatezza
• Crittografia
• Integrità dei dati
• Disponibilità del servizio e del sistema
• Protezione contro gli accessi non autorizzati
• Protezione contro la manipolazione
• riduzione della superficie di attacco
• Limitazione delle interfacce esposte
• Comunicazione sicura
• Resilienza contro gli attacchi denial-of-service
• Registrazione e monitoraggio della sicurezza
• Cancellazione sicura dei dati
• Riduzione dell'elaborazione dati non necessaria
• Protezione contro le tecniche di attacco note
• Meccanismi di aggiornamento sicuri
• Ripristino da incidenti di sicurezza

I controlli appropriati dipendono dal prodotto, dal suo utilizzo previsto, da un uso improprio ragionevolmente prevedibile, dall'ambiente operativo e dalle potenziali conseguenze di un attacco informatico riuscito.

Nessuna vulnerabilità sfruttabile nota

Non si deve immettere sul mercato un prodotto che presenti vulnerabilità sfruttabili note.

Ciò richiede più di un semplice test una tantum immediatamente prima del lancio. I produttori necessitano di un processo per identificare, valutare, dare priorità e risolvere le vulnerabilità che interessano:

• Software proprietario
• Firmware
• Sistemi operativi
• Librerie open-source
• Componenti software di terze parti
• Protocolli di comunicazione
• Componenti hardware
• Dipendenze dal cloud
• Applicazioni mobili
• Interfacce di programmazione delle applicazioni

Aggiornamenti sicuri

Qualora siano necessari aggiornamenti di sicurezza, i produttori devono renderli disponibili senza indugio e, in genere, gratuitamente durante il periodo di supporto.

Per molti prodotti, gli aggiornamenti di sicurezza dovrebbero essere installati automaticamente per impostazione predefinita, laddove tecnicamente possibile. Gli utenti dovrebbero in genere poter posticipare o disabilitare l'installazione automatica tramite un meccanismo chiaro e accessibile.

Gli aggiornamenti di sicurezza dovrebbero, ove possibile, essere separati dagli aggiornamenti delle funzionalità. Ciò contribuisce a evitare che gli utenti siano costretti ad accettare modifiche funzionali non correlate solo per ricevere una correzione di sicurezza essenziale.

Valutazione del rischio di sicurezza informatica

La valutazione del rischio di sicurezza informatica è uno dei documenti centrali della CRA (Community Risk Assessment).

Non deve trattarsi di una generica checklist di sicurezza informatica. Deve essere correlata al prodotto specifico, ai suoi componenti, all'uso previsto, all'uso prevedibile, agli utenti, ai dati, alla connettività e all'ambiente operativo.

Cosa dovrebbe includere la valutazione del rischio

Una valutazione del rischio adeguata può considerare:

• Architettura del prodotto
• Componenti hardware e software
• Tecnologie di comunicazione
• Interfacce di rete
• Servizi cloud
• Applicazioni mobili
• Ruoli e privilegi degli utenti
• Metodi di autenticazione
• Dati elaborati o memorizzati
• Crittografia e gestione delle chiavi
• Meccanismi di aggiornamento
• Dipendenze di terze parti
• Attori potenzialmente pericolosi
• vettori d'attacco
• Punti deboli noti
• Uso improprio prevedibile
• Conseguenze del compromesso
• controlli di sicurezza esistenti
• Rischi residui
• Test richiesti
• Misure di gestione delle vulnerabilità
• Monitoraggio post-commercializzazione

Quando aggiornare la valutazione del rischio

La valutazione deve fornire informazioni utili per la progettazione e lo sviluppo del prodotto. Dovrebbe inoltre essere rivista in caso di modifiche significative, quali:

• Un importante aggiornamento software
• Una nuova funzione del prodotto
• Una modifica all'architettura del prodotto
• L'integrazione di un nuovo componente di terze parti
• Una nuova minaccia significativa
• Scoperta di una vulnerabilità attivamente sfruttata
• Una modifica all'uso previsto del prodotto
• Una modifica sostanziale all'infrastruttura cloud o di rete

La valutazione del rischio fa parte della documentazione tecnica e può essere richiesta dalle autorità di vigilanza del mercato.

Distinta base del software

UN Distinta base del software, Comunemente nota come SBOM, è un inventario strutturato dei componenti software contenuti in un prodotto.

Informazioni comunemente incluse in una SBOM

Un SBOM può identificare:

• Moduli software proprietari
• Librerie open-source
• Dipendenze di terze parti
• Componenti del firmware
• Nomi dei componenti
• Versioni dei componenti
• Fornitori
• Licenze
• Rapporti di dipendenza
• Riferimenti a vulnerabilità note
• Identificatori di pacchetto

Il SBOM aiuta il produttore a determinare se i suoi prodotti sono interessati quando viene scoperta una vulnerabilità in un componente di terze parti.

Perché è necessario mantenere aggiornato l'SBOM

Ad esempio, se si scopre che una libreria software ampiamente utilizzata contiene una vulnerabilità critica, il produttore dovrebbe essere in grado di identificarla rapidamente:

• Quali prodotti utilizzano la libreria interessata?
• Quali versioni del prodotto sono interessate?
• Se la funzione vulnerabile sia raggiungibile o sfruttabile
• Se è necessario un aggiornamento correttivo
• Quali clienti o autorità devono essere informati
• Se gli obblighi di segnalazione dell'Agenzia delle Entrate canadese (CRA) vengono attivati

Una distinta base di lavoro (SBOM) non è utile se viene creata una sola volta e mai aggiornata. I produttori necessitano di un sistema di controllo delle versioni e di un processo per mantenerla aggiornata man mano che il software si evolve.

Requisiti per la gestione delle vulnerabilità

Il rispetto delle normative CRA (Community Reinvestment Act) continua anche dopo l'immissione del prodotto sul mercato.

I produttori devono stabilire processi per:

• Identificare le vulnerabilità
• Ricevere segnalazioni di vulnerabilità
• vulnerabilità dei documenti
• Valutare la loro gravità e la loro sfruttabilità
• Monitorare le vulnerabilità che interessano i componenti di terze parti
• Testare e rivedere la sicurezza del prodotto
• Correggi le vulnerabilità senza indugio
• Distribuisci gli aggiornamenti di sicurezza in modo sicuro
• Informare gli utenti sulle correzioni disponibili
• Divulgare pubblicamente le informazioni relative alle vulnerabilità risolte, ove richiesto.
• Mantenere la riservatezza delle informazioni sulla vulnerabilità fino a quando non sarà disponibile una correzione.
• Mantenere una politica coordinata di divulgazione delle vulnerabilità

Comunicazione coordinata delle vulnerabilità

I produttori dovrebbero pubblicare un metodo chiaro e attivamente monitorato attraverso il quale ricercatori di sicurezza, clienti e altre parti interessate possano segnalare le vulnerabilità.

Il processo dovrebbe identificare:

• Il contatto di riferimento
• Le informazioni che i giornalisti dovrebbero fornire
• Il processo di riconoscimento del produttore
• Tempi di risposta previsti
• Aspettative di riservatezza
• Come il produttore coordina la divulgazione
• Come verranno trattati i ricercatori nel campo della sicurezza
• Modalità di pubblicazione di correzioni e avvisi

Obblighi di rendicontazione all'Agenzia delle Entrate canadese (CRA) a partire da settembre 2026.

Gli obblighi di segnalazione previsti dall'articolo 14 si applicano a partire da 11 settembre 2026.

I produttori sono tenuti a segnalare determinate vulnerabilità attivamente sfruttate e incidenti gravi attraverso la piattaforma unica di segnalazione CRA gestita dall'Agenzia dell'Unione europea per la cibersicurezza (ENISA).

Scadenze per la presentazione dei rapporti

Il processo di segnalazione generalmente comprende:

• Notifica di allerta precoce entro 24 ore
• Riceverai una notifica più dettagliata entro 72 ore.
• Una relazione finale entro il termine di legge applicabile.

Vulnerabilità attivamente sfruttate

Nel caso di una vulnerabilità attivamente sfruttata, la relazione finale è generalmente richiesta entro e non oltre 14 giorni dalla disponibilità di una misura correttiva o di mitigazione.

Gravi incidenti di sicurezza

In caso di incidente di sicurezza grave, la relazione finale è generalmente richiesta entro un mese dalla notifica avvenuta entro 72 ore.

Il termine per la segnalazione decorre dal momento in cui il produttore viene a conoscenza della vulnerabilità o dell'incidente in questione. I produttori necessitano pertanto di procedure interne di escalation che consentano alle informazioni di raggiungere rapidamente il personale responsabile della conformità e della sicurezza.

Una vulnerabilità scoperta da un team di assistenza clienti, da un ricercatore esterno, da un distributore, da un fornitore di software o da una sede di sviluppo estera può innescare la stessa procedura di segnalazione legale prevista per una vulnerabilità scoperta dal team centrale di sicurezza informatica del produttore.

Che cos'è una vulnerabilità attivamente sfruttata?

Una vulnerabilità attivamente sfruttata non è semplicemente una debolezza teorica o ogni singola voce presente in un database di vulnerabilità.

In pratica, il produttore deve valutare se vi siano prove attendibili che un soggetto malintenzionato abbia sfruttato la vulnerabilità del sistema senza l'autorizzazione del proprietario del sistema.

Questa distinzione è importante perché l'obbligo di segnalazione all'Agenzia delle Entrate canadese (CRA) è legato allo sfruttamento attivo, non semplicemente all'esistenza di ogni potenziale vulnerabilità.

Tuttavia, i produttori devono comunque identificare, valutare e porre rimedio alle vulnerabilità che non vengono sfruttate attivamente, nell'ambito dei loro obblighi generali di gestione delle vulnerabilità.

Periodo di supporto e aggiornamenti di sicurezza

I produttori devono stabilire un periodo di supporto durante il quale verranno gestite le vulnerabilità e forniti gli aggiornamenti di sicurezza.

Fattori che influenzano il periodo di supporto

Il periodo di sostegno deve tenere conto di fattori quali:

• Periodo di utilizzo previsto
• La natura e lo scopo previsto del prodotto
• Aspettative ragionevoli da parte degli utenti
• L'ambiente operativo
• La durata per la quale i prodotti simili sono normalmente supportati
• La disponibilità di pezzi di ricambio o servizi correlati
• I rischi di sicurezza informatica associati all'interruzione del supporto

La data di fine del periodo di supporto, comprensiva di mese e anno, deve essere comunicata chiaramente agli utenti al momento dell'acquisto.

I produttori dovrebbero evitare di considerare il periodo di supporto come una mera dichiarazione di marketing priva di fondamento operativo. Devono possedere le capacità tecniche e organizzative necessarie per monitorare le vulnerabilità, sviluppare aggiornamenti e distribuirli per tutta la durata del periodo dichiarato.

Accordi di fornitura a lungo termine

Ciò potrebbe richiedere accordi a lungo termine con:

• sviluppatori di software
• Fornitori di firmware
• Fornitori di servizi cloud
• Produttori di componenti
• sviluppatore di applicazioni mobili
• Servizi di monitoraggio della sicurezza informatica
• Laboratori di analisi
• Fornitori di hosting e infrastrutture

Informazioni sul prodotto e istruzioni per l'utente

I prodotti soggetti alla normativa CRA devono essere accompagnati da informazioni e istruzioni chiare.

A seconda del prodotto, le informazioni potrebbero dover includere:

• Nome legale del produttore
• Nome commerciale o marchio registrato
• Indirizzo postale
• Indirizzo email o altro contatto digitale
• Tipo di prodotto, lotto, numero di serie o altro identificativo
• Scopo previsto
• Funzioni essenziali del prodotto
• proprietà di sicurezza informatica
• Istruzioni per un'installazione sicura
• Istruzioni per la configurazione sicura
• Istruzioni per un utilizzo sicuro
• Informazioni sugli aggiornamenti di sicurezza pertinenti
• Istruzioni per l'installazione degli aggiornamenti
• Informazioni sugli aggiornamenti automatici
• Istruzioni per disabilitare gli aggiornamenti automatici, ove applicabile.
• data di fine del periodo di supporto
• Contatto per la segnalazione di vulnerabilità
• Informazioni coordinate sulla divulgazione delle vulnerabilità
• Istruzioni per la rimozione sicura dei dati utente
• Avvisi o limitazioni rilevanti in materia di sicurezza informatica

Le istruzioni devono essere chiare, comprensibili, intelligibili e leggibili. Devono essere fornite in una lingua che gli utenti e le autorità competenti possano facilmente comprendere nello Stato membro in cui il prodotto viene venduto.

Documentazione tecnica

I produttori devono preparare la documentazione tecnica prima di immettere sul mercato un prodotto coperto dalla normativa.

Il fascicolo tecnico deve dimostrare la conformità del prodotto al CRA e deve normalmente includere:

• Descrizione generale del prodotto
• Identificazione del prodotto
• Scopo previsto
• Utenti previsti
• Versioni del prodotto
• Architettura hardware
• Architettura del software
• Versioni del firmware e del software
• Interfacce di comunicazione
• Architettura di rete
• Dipendenze di elaborazione dati remota
• Informazioni su progettazione e sviluppo
• Valutazione del rischio di sicurezza informatica
• Valutazione dei requisiti essenziali
• Norme applicate o specifiche tecniche
• Descrizioni dei controlli di sicurezza
• piani di prova e rapporti di prova
• Valutazioni di vulnerabilità
• Rapporti sui test di penetrazione, ove pertinenti
• Distinta base del software
• Registri di sviluppo sicuri
• Procedure di aggiornamento e gestione delle patch
• Procedura di gestione delle vulnerabilità
• Politica coordinata di divulgazione delle vulnerabilità
• Giustificazione del periodo di sostegno
• Etichette dei prodotti
• Istruzioni per l'utente
• Registri di valutazione della conformità
• Dichiarazione di conformità dell'UE
• Dettagli dell'organismo notificato, ove applicabile.

La documentazione deve essere sufficientemente specifica da consentire alle autorità di valutare la conformità del prodotto.

Una raccolta di certificati priva di un chiaro collegamento con il prodotto, i rischi e i requisiti delle autorità di vigilanza del credito non costituirà generalmente un fascicolo tecnico adeguato.

Classificazione dei prodotti ai sensi del CRA

L'Autorità garante della conformità (CRA) utilizza diverse procedure di valutazione della conformità a seconda del tipo e del profilo di rischio del prodotto.

I prodotti generalmente rientrano in uno dei seguenti gruppi:

• Prodotti predefiniti
• Prodotti importanti, Classe I
• Prodotti importanti, Classe II
• prodotti critici

La classificazione dipende dal fatto che il prodotto possieda o meno la funzionalità principale di una categoria elencata nell'allegato III o nell'allegato IV.

Prodotti predefiniti

I prodotti non classificati come importanti o critici generalmente seguono il percorso predefinito.

I produttori di questi prodotti possono normalmente utilizzare il controllo interno, noto anche come Modulo A, per valutare la conformità.

Ciò non significa che non siano necessarie valutazioni o test. Il produttore deve comunque:

• Completare la valutazione del rischio di sicurezza informatica.
• Soddisfare i requisiti essenziali di sicurezza informatica
• Preparare la documentazione tecnica
• Acquisire prove tecniche adeguate
• Eseguire i test richiesti
• Definire procedure di gestione delle vulnerabilità
• Preparare la Dichiarazione di conformità UE
• Apporre la marcatura CE

L'autovalutazione implica che il fabbricante si assuma la responsabilità della valutazione della conformità. Ciò non esonera dagli obblighi tecnici sottostanti.

Prodotti importanti, Classe I

La Classe I comprende prodotti specifici con importanti funzioni di sicurezza informatica o la cui compromissione potrebbe creare rischi per la sicurezza più ampi.

A seconda della loro funzionalità principale, gli esempi possono includere:

• sistemi di gestione dell'identità
• Prodotti per la gestione degli accessi privilegiati
• Browser
• Gestori di password
• Prodotti antivirus
• Prodotti di rete privata virtuale (VPN)
• Sistemi di gestione di rete
• Sistemi di gestione delle informazioni e degli eventi di sicurezza
• gestori di avvio
• Prodotti per infrastrutture a chiave pubblica
• Sistemi operativi
• Router, modem e switch
• Prodotti per la casa intelligente con funzioni di sicurezza
• Microprocessori e microcontrollori con funzionalità relative alla sicurezza

Per i prodotti di Classe I, il controllo interno può rimanere possibile qualora il fabbricante applichi pienamente le norme armonizzate pertinenti, le specifiche comuni o un sistema di certificazione di sicurezza informatica europeo applicabile.

Qualora tali procedure non siano disponibili o non vengano applicate integralmente, potrebbe essere necessaria una valutazione di conformità da parte di terzi tramite un organismo notificato.

Prodotti importanti, Classe II

La classe II comprende prodotti importanti ad alto rischio.

A seconda della loro funzionalità principale, gli esempi possono includere:

• Hypervisor
• Sistemi runtime dei container
• Firewall
• sistemi di rilevamento delle intrusioni
• sistemi di prevenzione delle intrusioni
• Microprocessori a prova di manomissione
• Microcontrollori a prova di manomissione

I prodotti di Classe II generalmente richiedono una valutazione di conformità da parte di terzi tramite un organismo notificato o un sistema di certificazione di sicurezza informatica europeo applicabile.

Prodotti critici

I prodotti critici sono elencati separatamente nell'Allegato IV e sono soggetti ai requisiti di valutazione della conformità più rigorosi.

I produttori non dovrebbero classificare un prodotto basandosi esclusivamente sul suo nome commerciale. La classificazione dipende dalla funzionalità principale del prodotto e dalle descrizioni tecniche adottate ai sensi del Regolamento sui marchi commerciali (CRA).

Valutazione della conformità

Prima di immettere il prodotto sul mercato, il fabbricante deve completare l'apposita procedura di valutazione della conformità.

A seconda della classificazione, le opzioni applicabili possono includere:

• controllo interno
• Esame di tipo UE seguito da verifica della conformità al tipo
• Garanzia di qualità completa
• Valutazione da parte di terzi da parte di un organismo notificato
• Un sistema di certificazione europea di sicurezza informatica applicabile

La disponibilità dell'autovalutazione dipende dalla categoria di prodotto e, per alcuni prodotti di Classe I, dalla piena applicazione delle norme armonizzate pertinenti o di altri percorsi di conformità riconosciuti.

I produttori dovrebbero definire tempestivamente il percorso di valutazione della conformità. Scoprire in una fase avanzata dello sviluppo del prodotto che è necessario il coinvolgimento di un organismo notificato può ritardare l'accesso al mercato.

Norme armonizzate

Si prevede che gli standard europei armonizzati svolgeranno un ruolo importante nella conformità al CRA (Community Reinvestment Act).

Quando una norma armonizzata pertinente viene citata nella Gazzetta ufficiale dell'Unione europea e applicata correttamente, può costituire una presunzione di conformità ai corrispondenti requisiti legali.

Fino a quando non saranno disponibili standard adeguati, i produttori dovranno comunque dimostrare la conformità attraverso metodi tecnici e prove appropriate.

A seconda del prodotto, la preparazione può essere supportata da standard e framework di sicurezza informatica esistenti e pertinenti. Tuttavia, l'utilizzo di uno standard riconosciuto non garantisce automaticamente la conformità a tutti gli obblighi previsti dalla CRA, a meno che non abbia il necessario status giuridico e non copra i requisiti pertinenti.

Documentare l'utilizzo degli standard

I produttori devono documentare:

• Quale standard o specifica è stata utilizzata?
• Quale versione è stata applicata
• Quali requisiti dell'Agenzia delle Entrate canadese (CRA) copre?
• Sia che sia stato applicato completamente o parzialmente
• Come sono stati affrontati i requisiti emersi
• Quali test o valutazioni sono stati completati?

Dichiarazione di conformità dell'UE

Una volta dimostrata la conformità, il fabbricante deve preparare e firmare una Dichiarazione di conformità UE.

La dichiarazione conferma che il produttore si assume la responsabilità della conformità del prodotto ai requisiti UE applicabili.

Dovrebbe includere le informazioni richieste dall'allegato V, quali:

• Nome e identificazione del prodotto
• Nome e indirizzo del produttore
• Dichiarazione di responsabilità
• Oggetto della dichiarazione
• Legislazione UE applicabile
• Norme o specifiche armonizzate pertinenti
• Informazioni sull'organismo notificato, ove applicabile
• Ulteriori informazioni sulla conformità
• Luogo e data di emissione
• Nome, qualifica e firma della persona autorizzata

Qualora a un singolo prodotto si applichino diverse leggi dell'UE, il fabbricante può normalmente predisporre un'unica Dichiarazione di Conformità UE che copra tutta la legislazione applicabile.

Ad esempio, un dispositivo wireless connesso potrebbe essere soggetto anche alla Direttiva sulle apparecchiature radio, alla Direttiva RoHS, ai requisiti di compatibilità elettromagnetica e ad altre normative specifiche del prodotto.

Obblighi dell'importatore

Un importatore UE che immette sul mercato dell'Unione un prodotto di un fabbricante extra-UE deve verificare che il fabbricante abbia rispettato gli obblighi previsti dal CRA (Community Reinvestment Act).

Tra le altre cose, l'importatore deve verificare che:

• È stata completata la valutazione di conformità appropriata
• La documentazione tecnica è stata preparata
• La Dichiarazione di conformità dell'UE è disponibile
• Il prodotto reca la marcatura CE
• L'identificazione del prodotto è presente
• Vengono fornite le informazioni sul produttore.
• Le istruzioni necessarie accompagnano il prodotto.
• Il periodo di supporto è indicato
• Sono in atto processi di gestione delle vulnerabilità

Se l'importatore ritiene che il prodotto non sia conforme o presenti un rischio significativo per la sicurezza informatica, non deve immetterlo sul mercato finché il problema non sia stato risolto.

Gli importatori devono inoltre collaborare con le autorità e possono avere degli obblighi qualora vengano a conoscenza di vulnerabilità che interessano il prodotto.

Obblighi del distributore

I distributori devono agire con la dovuta diligenza quando immettono prodotti sul mercato dell'UE.

Devono verificare gli elementi formali di conformità pertinenti, tra cui:

• Identificazione del prodotto
• Dettagli del produttore e dell'importatore
• Informazioni utente richieste
• Istruzioni di sicurezza
• Informazioni sul periodo di supporto

Un distributore non deve continuare a fornire un prodotto che ha motivo di ritenere non conforme. Potrebbe anche essere tenuto a informare il produttore o l'importatore e a collaborare con le autorità di vigilanza del mercato.

Rappresentanti autorizzati dell'UE

Un fabbricante stabilito al di fuori dell'Unione europea può nominare un Rappresentanti autorizzati dell'UE tramite un mandato scritto.

Il rappresentante autorizzato può svolgere specifici compiti normativi per conto del produttore, quali:

• Mantenere disponibile la Dichiarazione di conformità UE
• Mantenere la documentazione tecnica a disposizione delle autorità
• Rispondere a richieste di autorità motivate
• Fornire informazioni sulla conformità
• Collaborazione con le autorità di vigilanza del mercato
• Supporto alla tracciabilità e alla comunicazione normativa
• Informare il produttore delle richieste delle autorità

Tuttavia, la nomina di un rappresentante autorizzato non trasferisce al produttore la responsabilità principale relativa al prodotto.

Responsabilità che restano in capo al produttore

Il produttore resta responsabile per:

• Progettazione e sviluppo di prodotti sicuri
• Valutazione del rischio di sicurezza informatica
• Conformità ai requisiti essenziali
• Documentazione tecnica
• Valutazione della conformità
• Gestione della vulnerabilità
• Aggiornamenti di sicurezza
• Segnalazione degli incidenti
• Azione correttiva
• Conformità continua del prodotto

Modifiche sostanziali

Una persona che apporta una modifica sostanziale a un prodotto e lo immette poi sul mercato può assumersi le responsabilità del produttore.

Una modifica può essere considerata sostanziale quando incide sulla conformità del prodotto ai requisiti essenziali di sicurezza informatica o ne altera la finalità prevista.

Esempi di modifiche potenzialmente sostanziali

• Aggiunta di importanti funzionalità connesse
• Architettura di autenticazione in evoluzione
• Sostituzione del sistema operativo
• Presentazione di una nuova piattaforma cloud
• Aggiunta della funzionalità di controllo remoto
• Abilitazione di nuove interfacce di rete
• Apportare modifiche significative al software critico per la sicurezza
• Modifica del gruppo di utenti previsto o dell'ambiente operativo

Gli aggiornamenti di sicurezza di routine che ripristinano o mantengono la conformità non dovrebbero essere automaticamente considerati modifiche sostanziali. Ciononostante, i produttori e gli operatori a valle dovrebbero documentare le modifiche significative al prodotto e valutarne l'impatto normativo.

Monitoraggio post-vendita e azioni correttive

Il rispetto delle normative dell'Agenzia delle Entrate canadese (CRA) è un obbligo continuo.

Dopo aver immesso il prodotto sul mercato, il produttore deve continuare a monitorare le informazioni pertinenti in materia di sicurezza informatica.

Potenziali fonti di monitoraggio

Le fonti possono includere:

• Test di sicurezza interna
• Reclami dei clienti
• Rapporti sulle vulnerabilità
• Ricercatori della sicurezza
• Fornitori di componenti
• Avvisi di sicurezza open source
• Database delle vulnerabilità
• Servizi di intelligence sulle minacce
• Importatori e distributori
• autorità di vigilanza del mercato
• Team di risposta agli incidenti di sicurezza informatica
• Comunicazioni ENISA

Possibili misure correttive

Qualora un prodotto risulti non conforme o presenti un rischio per la sicurezza informatica, il produttore potrebbe dover:

• Correggere il prodotto
• Emettere un aggiornamento di sicurezza
• Fornire una soluzione alternativa
• Avvisare gli utenti interessati
• Informare gli importatori e i distributori
• Informare le autorità competenti
• Limitare la disponibilità del prodotto
• Ritirare il prodotto
• Richiamare il prodotto

La risposta deve essere proporzionata al rischio, ma l'inazione non è una strategia di conformità accettabile.

Conservazione dei documenti

Ai sensi del CRA, i fabbricanti devono conservare la documentazione tecnica richiesta e la Dichiarazione di conformità UE per il periodo applicabile.

Un sistema di conservazione dei documenti efficace dovrebbe preservare:

• Versioni del prodotto
• Versioni del software
• Versioni SBOM
• Versioni di valutazione del rischio
• Rapporti di prova
• Decisioni sulla vulnerabilità
• Avvisi di sicurezza
• Registri delle azioni correttive
• Cronologia degli aggiornamenti
• Rapporti sugli incidenti
• Comunicazioni dell'autorità
• Dichiarazioni di conformità

Il controllo delle versioni è particolarmente importante. Le autorità potrebbero dover stabilire quali software, componenti e prove di conformità si applicavano a una particolare versione del prodotto in un dato momento.

Sanzioni per la mancata conformità

La legge canadese sull'Agenzia delle Entrate (CRA) prevede sanzioni amministrative considerevoli.

A seconda dell'infrazione, le sanzioni possono raggiungere:

• Fino a €15 milioni, ovvero il 2,5% del fatturato annuo mondiale totale., quello più alto, per determinate infrazioni gravi
• Fino a €10 milioni o il 2% del fatturato annuo mondiale, quello più alto, per altri obblighi
• Fino a €5 milioni o l'1% del fatturato annuo mondiale, a seconda di quale sia l'importo maggiore, per aver fornito informazioni errate, incomplete o fuorvianti agli organismi notificati o alle autorità di vigilanza del mercato.

Le autorità possono anche ordinare azioni correttive, limitare o vietare la vendita del prodotto, richiederne il ritiro o ordinarne il richiamo.

Le conseguenze commerciali possono quindi estendersi oltre la semplice sanzione pecuniaria. L'inadempienza può pregiudicare l'accesso ai distributori UE, ai mercati online, ai rivenditori, ai clienti, ai programmi di appalto e alla copertura assicurativa.

Una guida pratica per la conformità alle normative dell'Agenzia delle Entrate canadese (CRA).

Passaggio 1: Confermare l'ambito del prodotto

Determinare se il prodotto contiene elementi digitali e se si applica un'esclusione.

Documento:

• Il prodotto
• Software e firmware
• Connettività
• Funzioni di elaborazione dati a distanza
• Scopo previsto
• modello di fornitura commerciale
• Esclusioni applicabili

Fase 2: Classificare il prodotto

Determinare se il prodotto è:

• Un prodotto predefinito
• Classe importante I
• Importante Classe II
• Critico

La classificazione determina il percorso di valutazione della conformità.

Fase 3: Mappatura della catena di fornitura e delle responsabilità

Identificare:

• Produttore legale
• sviluppatori di software
• Produttori di hardware
• Fornitori di componenti
• Fornitori di servizi cloud
• Importatore UE
• Distributori
• Rappresentanti autorizzati dell'UE
• Fornitori di test
• Organismo notificato, ove necessario

Le responsabilità contrattuali devono essere a supporto degli obblighi legali del produttore.

Fase 4: Eseguire la valutazione del rischio di sicurezza informatica

Identificare le minacce alla sicurezza informatica, le vulnerabilità, i possibili impatti e i controlli necessari.

La valutazione dovrebbe riguardare l'intero prodotto, inclusi i componenti esterni e le dipendenze dal cloud.

Fase 5: Mappare i requisiti essenziali

Creare una matrice di conformità che colleghi ciascun requisito CRA applicabile a:

• Controllo del prodotto
• Specifiche di progettazione
• Procedura
• Risultato del test
• Documento tecnico
• Persona responsabile
• Azione eccezionale

Fase 6: Definire il ciclo di vita dello sviluppo sicuro

Documentare come viene gestita la sicurezza informatica durante:

• Definizione dei requisiti
• Architettura
• Sviluppo
• Revisione del codice
• Selezione dei componenti
• Test
• Pubblicazione
• Manutenzione
• Correzione delle vulnerabilità
• Fine vita

Fase 7: Preparare e mantenere l'SBOM

Identificare tutti i componenti software rilevanti e stabilire una procedura per il monitoraggio delle vulnerabilità che li interessano.

Fase 8: Completamento dei test tecnici

A seconda del prodotto e dei rischi, i test possono includere:

• scansione delle vulnerabilità
• Test di penetrazione
• Analisi del codice sorgente
• Analisi della composizione del software
• Test di autenticazione
• Revisione della crittografia
• Test dell'interfaccia
• Test del meccanismo di aggiornamento
• Test di fuzzing
• Test di sicurezza di rete
• Test di resilienza
• Revisione della configurazione sicura

I test devono essere basati sulla valutazione del rischio e sul percorso di conformità.

Fase 9: Definire le procedure di gestione delle vulnerabilità e degli incidenti

Preparare le procedure per:

• Ricezione dei report
• Triage
• Valutazione della gravità
• Escalation
• Bonifica
• Divulgazione
• Comunicazione con l'utente
• Rapporto ENISA
• Comunicazione dell'autorità
• Azione correttiva

Fase 10: Determinare il periodo di supporto

Definire e giustificare per quanto tempo il produttore fornirà aggiornamenti per la gestione delle vulnerabilità e la sicurezza.

Assicurarsi che i fornitori tecnici e le risorse di sviluppo rimangano disponibili per tale periodo.

Passaggio 11: Preparare le informazioni utente e l'etichettatura

Revisione:

• Identificazione del prodotto
• Informazioni sul produttore
• Informazioni sull'importatore
• Marcatura CE
• Istruzioni di sicurezza
• Istruzioni di aggiornamento
• Contatto per le vulnerabilità
• Data di fine del supporto
• Istruzioni per la cancellazione sicura dei dati

Fase 12: Compilare la documentazione tecnica

Organizza le prove in un fascicolo tecnico strutturato dell'Agenzia delle Entrate canadese (CRA).

Fase 13: Completare la valutazione di conformità

Utilizzare il controllo interno, un organismo notificato o un'altra via autorizzata in base alla classificazione del prodotto.

Passaggio 14: Firmare la Dichiarazione di conformità dell'UE

Il fabbricante deve firmare la dichiarazione solo dopo che la valutazione applicabile è stata completata e la conformità è stata dimostrata.

Fase 15: Mantenere la conformità post-commercializzazione

Monitorare le vulnerabilità, fornire aggiornamenti, segnalare gli eventi rilevanti e aggiornare la documentazione in caso di modifiche al prodotto.

Errori comuni di conformità con l'Agenzia delle Entrate canadese (CRA)

Considerare la CRA come una certificazione una tantum

Il CRA richiede una gestione continua delle vulnerabilità, aggiornamenti di sicurezza, monitoraggio e azioni correttive.

Presupponendo che tutti i prodotti possano essere autocertificati

I prodotti importanti di Classe II e i prodotti critici generalmente richiedono una valutazione da parte di terzi. Anche i prodotti di Classe I possono richiedere il coinvolgimento di un organismo notificato qualora le specifiche riconosciute pertinenti non siano pienamente applicate.

Affidarsi esclusivamente ai test di penetrazione

I test di penetrazione possono fornire prove utili, ma non sostituiscono la valutazione del rischio, il processo di sviluppo sicuro, le procedure di vulnerabilità, la documentazione tecnica o gli obblighi di supporto.

Ignorare i componenti di terze parti

Il produttore rimane responsabile della valutazione dei rischi derivanti da librerie integrate, firmware, chipset, sistemi operativi e servizi cloud.

Creazione di un SBOM senza monitoraggio

Un elenco di componenti obsoleto non costituisce un sistema efficace di gestione delle vulnerabilità.

Dichiarare un periodo di sostegno irrealistico

Il produttore deve essere in grado di fornire aggiornamenti di sicurezza e gestire le vulnerabilità per tutta la durata del periodo dichiarato.

Mancata connessione tra i team tecnici e i team normativi

Il termine di 24 ore per la segnalazione richiede una rapida comunicazione interna. I team del servizio clienti, dell'ingegneria, dell'ufficio legale, della conformità e del management devono essere a conoscenza della procedura di escalation.

Attendere l'armonizzazione delle norme prima di agire.

I produttori restano responsabili della conformità anche se gli standard e le linee guida di supporto continuano a evolversi.

Come EaseCert supporta la conformità alle normative dell'Agenzia delle Entrate canadese (CRA).

EaseCert fornisce un Rappresentante autorizzato e servizio di conformità per il Cyber ​​Resilience Act dell'UE. per i produttori di prodotti con elementi digitali.

Il servizio è pensato in particolare per i produttori con sede al di fuori dell'Unione Europea che necessitano di supporto per la conformità normativa e di un rappresentante autorizzato con sede nell'UE.

Servizi di conformità CRA di EaseCert

Il nostro servizio comprende:

• Valutazione di applicabilità del CRA
• Revisione dell'ambito del prodotto e del software
• revisione della classificazione dei prodotti
• Revisione del percorso di valutazione della conformità
• Revisione della documentazione tecnica esistente
• Revisione della documentazione sulla sicurezza informatica
• Analisi delle lacune in materia di conformità alla sicurezza informatica
• Revisione del ciclo di vita dello sviluppo di software sicuro
• Revisione dell'identificazione e della tracciabilità del prodotto
• Revisione delle etichette e delle informazioni relative alla marcatura CE
• Revisione della documentazione per l'utente e delle istruzioni di sicurezza.
• Revisione delle procedure di gestione delle vulnerabilità
• Revisione delle procedure di aggiornamento e manutenzione del software
• Revisione della distinta base del software
• Revisione della documentazione relativa al periodo di supporto.
• Revisione della dichiarazione di conformità dell'UE
• Relazione scritta sulla conformità e raccomandazioni
• Mandato scritto del rappresentante autorizzato dell'UE
• Nomina di EaseCert GmbH a rappresentante autorizzato nell'UE.
• Conservazione della Dichiarazione di Conformità UE e della documentazione tecnica.
• Contatto normativo con sede nell'UE
• Supporto nelle richieste presentate alle autorità di vigilanza del mercato.
• Guida normativa durante tutto il progetto.

Qualora siano necessari test tecnici di sicurezza informatica, EaseCert può fornire assistenza nella definizione dell'ambito dei test e nel coordinamento con un laboratorio di sicurezza informatica qualificato o un fornitore di servizi tecnici.

EaseCert non esegue test di penetrazione, analisi del codice sorgente o test di sicurezza informatica in laboratorio e non agisce in qualità di organismo notificato. Il produttore rimane responsabile della sicurezza informatica del prodotto, della valutazione della conformità, dell'accuratezza tecnica, della gestione delle vulnerabilità, degli aggiornamenti, della segnalazione e della conformità continua.

Ruolo di rappresentante autorizzato di EaseCert nell'UE

Per i prodotti accettati fabbricati al di fuori dell'Unione Europea, EaseCert GmbH può agire come Rappresentanti autorizzati dell'UE.

Nell'ambito del mandato concordato, EaseCert può:

• Tenere a disposizione delle autorità la Dichiarazione di conformità UE.
• Tenere a disposizione la documentazione tecnica necessaria.
• Rispondere alle richieste motivate di informazioni sulla conformità
• Collaborare con le autorità di vigilanza del mercato
• Controlli di tracciabilità del supporto
• Sostenere le comunicazioni normative
• Informare il produttore di eventuali richieste da parte delle autorità competenti.

La nomina diventa effettiva dopo il completamento della revisione della documentazione, l'accettazione dei prodotti da parte di EaseCert e la firma del mandato scritto da parte di entrambe le parti.

Ottieni supporto per la conformità alle normative CRA e la rappresentanza nell'UE

Inizia a prepararti per la CRA

Il Cyber ​​Resilience Act crea un nuovo quadro normativo per la conformità di hardware connesso, software autonomo, software embedded e componenti digitali.

Per i produttori, la sfida più grande non è semplicemente preparare una Dichiarazione di Conformità. La conformità richiede il coordinamento tra sviluppo prodotto, sicurezza informatica, controllo qualità, affari regolatori, assistenza clienti, gestione della catena di fornitura e alta dirigenza.

Quattro domande a cui i produttori dovrebbero rispondere

1. La legge canadese sui consumatori (CRA) si applica al nostro prodotto?
2. Quale classificazione del prodotto e quale percorso di valutazione della conformità si applicano?
3. Disponiamo di sufficienti prove e documentazione tecnica in materia di sicurezza informatica?
4. Possiamo monitorare, aggiornare e fornire supporto al prodotto per tutta la durata del periodo di supporto dichiarato?

I produttori stabiliti al di fuori dell'Unione Europea dovrebbero inoltre valutare se necessitano di un rappresentante autorizzato nell'UE e come gestiranno le richieste delle autorità di vigilanza del mercato dell'UE.

EaseCert supporta i produttori internazionali con servizi di verifica dell'applicabilità delle normative CRA, valutazione delle lacune in materia di conformità, revisione della documentazione tecnica e servizi di rappresentante autorizzato UE.

Visualizza il rappresentante autorizzato e il servizio di conformità di EaseCert per il Cyber ​​Resilience Act dell'UE.

Fonti ufficiali e ulteriori letture

Le seguenti fonti ufficiali dell'Unione europea forniscono il testo giuridico, le linee guida per l'attuazione e le informazioni di supporto relative al Cyber ​​Resilience Act dell'UE:

• Regolamento (UE) 2024/2847, Cyber ​​Resilience Act
  Il testo ufficiale e giuridicamente vincolante del Cyber ​​Resilience Act pubblicato nella Gazzetta ufficiale dell'Unione europea.
• Commissione europea: Cyber ​​Resilience Act
  La pagina principale della Commissione europea che illustra lo scopo, la portata, l'attuazione e gli effetti previsti del Cyber ​​Resilience Act.
• Commissione europea: Sintesi del testo legislativo del Cyber ​​Resilience Act
  Un riepilogo ufficiale dei requisiti CRA, inclusi l'ambito di applicazione del prodotto, gli obblighi dell'operatore economico, la valutazione della conformità e le date di attuazione.
• Commissione europea: Domande frequenti sull'attuazione del Cyber ​​Resilience Act
  Risposte ufficiali a quesiti pratici riguardanti l'ambito del prodotto, il software, l'elaborazione remota dei dati, i periodi di supporto, la reportistica e l'implementazione.
• Commissione europea: Attuazione del Cyber ​​Resilience Act
  Una panoramica del processo di implementazione del CRA, comprensiva di linee guida, attività di standardizzazione e risorse per i produttori e le altre parti interessate.
• ENISA: Piattaforma unica di segnalazione ai sensi del Cyber ​​Resilience Act
  Informazioni ufficiali sulla piattaforma che i produttori utilizzeranno per segnalare vulnerabilità attivamente sfruttate e incidenti di sicurezza gravi a partire dall'11 settembre 2026.
• ENISA: Mappatura degli standard e dei requisiti del Cyber ​​Resilience Act
  Uno studio dell'ENISA che confronta gli standard di sicurezza informatica esistenti con i requisiti del CRA e individua le aree che necessitano di un'ulteriore standardizzazione.
• ENISA: Attuazione del Cyber ​​Resilience Act attraverso il sistema di certificazione della sicurezza informatica dell'UE
  Uno studio ufficiale che esamina come il sistema europeo di certificazione della sicurezza informatica basato su criteri comuni (CCR) possa supportare la valutazione della conformità CRA.

Il presente articolo fornisce informazioni normative di carattere generale e non costituisce consulenza legale. L'ambito di applicazione, la classificazione, la valutazione della conformità e i requisiti di documentazione di ciascun prodotto devono essere valutati individualmente.