Cyber Resilience Act: cosa cambia nella sicurezza dei prodotti digitali
SBOM, vulnerability handling e segnalazioni diventano parte del ciclo di vita di hardware e software.
Il Regolamento (UE) 2024/2847, noto come Cyber Resilience Act, introduce requisiti di cybersecurity per i prodotti con elementi digitali. Il punto centrale non è soltanto il rilascio iniziale: progettazione, sviluppo e mantenimento devono considerare la sicurezza lungo il ciclo di vita.
Date e perimetro da verificare
Secondo la Commissione europea, il CRA è entrato in vigore il 10 dicembre 2024. Gli obblighi di segnalazione si applicano dall’11 settembre 2026, mentre gli obblighi principali si applicano dall’11 dicembre 2027. L’effettivo perimetro dipende dal prodotto e dal ruolo dell’operatore economico: l’analisi specifica resta indispensabile.
Il regolamento riguarda hardware e software con elementi digitali. Le categorie con rischio particolare possono richiedere procedure di valutazione differenti; non tutti i prodotti seguono quindi lo stesso percorso.
Conoscere i componenti di ogni release
La Software Bill of Materials aiuta a identificare componenti e dipendenze. Per essere operativa deve però restare collegata al prodotto e alla versione effettivamente distribuita. Una SBOM statica, separata dalla pipeline di rilascio, perde rapidamente valore.
Quando emerge una nuova vulnerabilità, il produttore deve poter stabilire quali prodotti e release sono coinvolti. La presenza del componente è solo l’inizio: VEX e altre valutazioni aiutano a documentare se e in quali condizioni è sfruttabile.
Il PSIRT collega tecnica e comunicazione
Un Product Security Incident Response Team coordina ricezione, triage, correzione e comunicazione delle vulnerabilità. Il suo lavoro include i ricercatori esterni, i team di sviluppo, il supporto e i responsabili degli obblighi di segnalazione.
- Canali accessibili per ricevere le segnalazioni.
- Procedure di triage e valutazione dell’impatto.
- Processi di coordinated vulnerability disclosure.
- Dati ed evidenze per le segnalazioni obbligatorie.
DPP e CRA non sono sinonimi
Il Digital Product Passport è associato ad altri quadri, tra cui ESPR e Regolamento batterie, e dipende dalla categoria di prodotto. Non è un requisito automatico del CRA. I dati di prodotto possono avere sinergie tecniche, ma gli obblighi vanno mantenuti distinti.