Cyber Resilience Act: è il momento di adeguarsi

Il CRA nasce per rispondere a due problemi principali: il basso livello di sicurezza di molti prodotti digitali (vulnerabilità diffuse, aggiornamenti di sicurezza assenti o incoerenti) e la scarsa informazione a disposizione di utenti e aziende per valutare la sicurezza dei prodotti che acquistano. In un contesto in cui un singolo dispositivo compromesso può propagare un attacco a un'intera organizzazione o supply chain, l'UE ha scelto di introdurre requisiti minimi comuni, validi per tutto il mercato interno.

Devono adeguarsi al CRA produttori, importatori e distributori di prodotti con elementi digitali immessi sul mercato dell'Unione Europea. In generale rientrano nel perimetro: chi vende software come prodotto o servizio (inclusi molti modelli SaaS), chi realizza dispositivi connessi o IoT e chi fornisce componenti software o hardware integrabili da terzi. Il CRA si applica sia a contesti B2B sia B2C. Anche le PMI sono coinvolte, pur potendo beneficiare di strumenti di supporto e procedure semplificate previste dal regolamento.

Alcuni prodotti con elementi digitali sono esclusi perché già regolati da normative settoriali più specifiche o stringenti, ad esempio: determinati dispositivi medici regolamentati da norme dedicate, prodotti per il settore automotive, equipaggiamenti per aviazione o ambito marittimo, prodotti sviluppati esclusivamente per difesa o sicurezza nazionale, pezzi di ricambio identici a componenti già conformi. Per questo è importante analizzare con attenzione il proprio catalogo, valutando sia le categorie di prodotto sia le normative già applicabili nel settore.

Il CRA introduce un regime sanzionatorio significativo. Le violazioni più gravi possono comportare sanzioni fino a milioni di euro o a una percentuale del fatturato globale annuo dell'operatore economico. Le autorità nazionali possono inoltre imporre misure correttive come: ritiro o richiamo di prodotti non conformi, divieto di immissione sul mercato, obbligo di notificare vulnerabilità sfruttate o incidenti di sicurezza entro tempi molto stretti.

Il CRA si applica ai prodotti con elementi digitali immessi sul mercato dopo le scadenze previste dal regolamento. Tuttavia, se continui a vendere o aggiornare prodotti esistenti oltre tali date, dovrai comunque considerare la loro conformità. La differenza è tra prodotti legacy ormai fuori dal mercato e prodotti ancora attivamente commercializzati o supportati. Per questo, se hai prodotti legacy ancora in vendita o manutenzione, conviene valutare per tempo se e come portarli a un livello di sicurezza compatibile con il CRA.

Sì, in molti casi. Il CRA non riguarda solo hardware o dispositivi fisici: numerosi servizi SaaS e piattaforme cloud rientrano nel perimetro quando sono offerti come prodotti con elementi digitali sul mercato UE. È necessario valutare il modello di business (licenza, abbonamento, servizio gestito), la modalità con cui il prodotto è reso disponibile agli utenti e il tipo di connessione ai sistemi del cliente. L'analisi del modello di erogazione e del perimetro tecnico è un passaggio chiave per capire se e come il CRA si applica alle tue soluzioni cloud.

Significa integrare la cybersicurezza in tutte le fasi del ciclo di vita del prodotto: analisi del rischio e definizione dei requisiti di sicurezza già in fase di design, sviluppo sicuro con controlli automatizzati (code review, static/dynamic analysis, dependency scanning), gestione delle vulnerabilità lungo tutta la vita del prodotto, pianificazione di aggiornamenti di sicurezza e dell'assistenza minima garantita, monitoraggio in esercizio per rilevare e gestire incidenti. In pratica, si tratta di adottare un vero Secure SDLC supportato da pratiche DevSecOps.

Il CRA non vieta l'utilizzo di componenti di terzi o software open source, ma richiede che vengano gestiti in modo consapevole. Questo implica: avere un inventario aggiornato delle dipendenze (SBOM), monitorare le vulnerabilità note dei componenti utilizzati, definire politiche chiare di aggiornamento, sostituzione e deprecazione, valutare l'impatto dei componenti sull'intera architettura di sicurezza del prodotto. La supply chain software diventa parte integrante della valutazione di conformità.

Il panorama normativo europeo sulla sicurezza sta evolvendo su più fronti: il CRA si concentra sulla sicurezza dei prodotti con elementi digitali (hardware e software), la direttiva NIS2 mira alla resilienza di operatori, infrastrutture e servizi essenziali, l'AI Act regola i sistemi di intelligenza artificiale (in particolare quelli ad alto rischio) per garantire sicurezza e tutela dei diritti fondamentali. Molte organizzazioni potrebbero essere soggette a più di una di queste normative. Vederle come complementari è fondamentale per costruire una strategia di sicurezza coerente lungo tutta la supply chain.