CRA Ready · Product Security

CRA Ready. La sicurezza entra nel ciclo di vita del prodotto.

Un percorso operativo per produttori di software, dispositivi digitali e IoT: Product Security, PSIRT, SBOM per release, vulnerability handling ed evidenze per il Cyber Resilience Act.

Parliamo della sicurezza dei tuoi prodotti

La sfida

Requisiti e vincoli operativi.

Il CRA sposta l’attenzione dall’azienda al prodotto: componenti, release, vulnerabilità, aggiornamenti e comunicazioni devono restare governati durante il ciclo di vita. Servono processi ripetibili e dati affidabili, non una raccolta di documenti predisposta una sola volta.

Come risponde EMF

EMF affianca i team di prodotto e può operare come PSIRT o a supporto della funzione esistente. Ogni release viene collegata alla propria SBOM e alle valutazioni di sfruttabilità. Le segnalazioni esterne entrano in un processo di disclosure coordinata; gli artefatti tecnici alimentano la documentazione necessaria. Le attività di conformità restano subordinate all’analisi del prodotto e dei ruoli applicabili.

Riferimenti verificati

Calendario di applicazione del CRA.

11 SET 2026

Obblighi di segnalazione

Applicazione degli obblighi di segnalazione di vulnerabilità attivamente sfruttate e incidenti gravi secondo il quadro CRA.

11 DIC 2027

Obblighi principali

Applicazione degli obblighi principali del regolamento, da valutare in base a prodotto, ruolo e categoria.

Fonte: Commissione europea, Cyber Resilience Act . L’analisi del singolo prodotto resta necessaria.

Cosa comprende

Attività incluse nell’offerta.

PSIRT as a Service

Ricezione, triage, coordinamento e comunicazione delle vulnerabilità di prodotto.

SBOM per release

Componenti e dipendenze collegati a prodotto, versione e storia dei rilasci.

Vulnerability monitoring

Monitoraggio continuativo di CVE, advisory e segnalazioni pertinenti ai componenti.

VEX e VDR

Valutazioni di sfruttabilità e report di gestione delle vulnerabilità in formati appropriati.

Coordinated Vulnerability Disclosure

Gestione riservata dei ricercatori, dei tempi di correzione e della comunicazione agli interessati.

Supporto alle segnalazioni

Processi, dati ed evidenze per gli obblighi CRA di segnalazione di vulnerabilità sfruttate e incidenti gravi.

Documentazione tecnica

Informazioni strutturate per dimostrare processi, controlli e gestione del ciclo di vita.

Product Security

Requisiti, threat modeling e verifiche integrati nelle attività di sviluppo e mantenimento.

Il percorso

Fasi di erogazione e controllo continuo.

Mappare prodotti e obblighi

Prodotti con elementi digitali, ruoli, release, fornitori e processi esistenti vengono inquadrati.

Costruire la base tecnica

SBOM, inventari, fonti di vulnerabilità e ownership vengono collegati alle pipeline di prodotto.

Attivare il PSIRT

Canali di ricezione, triage, disclosure, escalation e segnalazioni diventano procedure operative.

Mantenere le evidenze

Release, VEX, VDR e documentazione vengono aggiornati con il prodotto e verificati periodicamente.

Risultati operativi attesi

Indicatori da verificare.

Maggiore capacità di stabilire quali prodotti e release sono interessati da una vulnerabilità.
Processo ripetibile per ricevere, valutare e comunicare le segnalazioni.
Documenti tecnici collegati alle effettive attività di sviluppo e mantenimento.
Preparazione più strutturata agli obblighi CRA applicabili.

Output del servizio

Documenti e registri forniti.

Mappa di prodotti, release e componenti
SBOM e flusso di aggiornamento per release
Procedure PSIRT e coordinated disclosure
VEX, VDR ed evidenze tecniche pertinenti

Il Digital Product Passport non è un requisito automatico del CRA. La soluzione DPP di aziende partner è distinta e viene valutata quando applicabile alla categoria di prodotto, per esempio in relazione a ESPR o al Regolamento batterie.

Il prossimo passo