Cyber Resilience Act

Panoramica

Il Cyber Resilience Act (CRA) introduce requisiti obbligatori di cybersecurity per prodotti hardware e software con elementi digitali. Copre l'intero ciclo di vita del prodotto dalla progettazione fino alla fine del supporto e mira a contrastare la proliferazione di prodotti IoT e software insicuri.^[1]

Il CRA si applica ai prodotti immessi sul mercato UE indipendentemente dal luogo di produzione.

Calendario di Applicazione

Prodotti Interessati

Prodotti Coperti

Prodotti con elementi digitali che:

• Hanno una connessione dati logica o fisica diretta o indiretta a un dispositivo o rete
• Includono componenti hardware e software

Categorie

Esenzioni

• Software open source (sviluppo non commerciale)
• SaaS (coperto da altre normative)
• Prodotti già regolamentati (dispositivi medici, veicoli, aviazione)
• Prodotti per la difesa e la sicurezza nazionale

Requisiti Essenziali di Cybersecurity^[2]

Sicurezza by Design

I prodotti devono essere progettati e sviluppati per garantire:

1. Livello di sicurezza appropriato: Basato sui rischi prevedibili
2. Nessuna vulnerabilità nota sfruttabile: Al momento dell'immissione sul mercato
3. Configurazione predefinita sicura: Inclusa la capacità di reset di fabbrica
4. Protezione della riservatezza: Per dati memorizzati, trasmessi e processati
5. Protezione dell'integrità: Contro modifiche non autorizzate
6. Disponibilità: Resiliente contro attacchi di negazione del servizio
7. Superficie di attacco minima: Ridurre i potenziali vettori di attacco
8. Limitazione dell'impatto degli incidenti: Minimizzare le conseguenze delle violazioni

Autenticazione e Controllo Accessi

• Credenziali predefinite forti e uniche o impostate dall'utente al primo utilizzo
• Protezione contro attacchi brute force
• Meccanismi di autenticazione sicuri

Protezione dei Dati

• Archiviazione crittografata per dati sensibili
• Trasmissione sicura dei dati
• Eliminare o anonimizzare i dati quando non più necessari

Requisiti per la Gestione delle Vulnerabilità^[3]

I produttori devono:

1. Identificare le vulnerabilità: Attraverso test e monitoraggio
2. Documentare i componenti: Mantenere la lista dei materiali software (SBOM)
3. Affrontare le vulnerabilità: Fornire aggiornamenti di sicurezza senza ritardi ingiustificati
4. Divulgare le vulnerabilità: Coordinarsi con le parti interessate
5. Aggiornamenti di sicurezza: Aggiornamenti gratuiti per il periodo di supporto definito (minimo 5 anni)

Segnalazione delle Vulnerabilità

Da settembre 2026, i produttori devono segnalare:

Valutazione della Conformità

I prodotti devono esporre la marcatura CE che conferma la conformità.

Sanzioni

• Non conformità: Fino a 15 milioni di € o 2,5% del fatturato globale
• Violazione dei requisiti essenziali: Fino a 10 milioni di € o 2% del fatturato
• Altre violazioni: Fino a 5 milioni di € o 1% del fatturato^[4]

Azioni per gli Sviluppatori

Per produttori di software e hardware:

1. Inventario dei prodotti: Determinare quali sono nel campo di applicazione e la loro categoria
2. Sicurezza by design: Integrare la sicurezza nei processi di sviluppo
3. Gestione delle vulnerabilità: Stabilire procedure di rilevamento e gestione
4. Creazione SBOM: Documentare componenti software e dipendenze
5. Pianificazione del supporto: Definire e comunicare i periodi di supporto
6. Meccanismi di aggiornamento: Costruire sistemi sicuri di distribuzione degli aggiornamenti
7. Preparazione alla conformità: Preparare la documentazione tecnica