Quanto siete pronti al Cyber Resilience Act?
Il CRA introduce requisiti di cybersecurity obbligatori per quasi tutti i prodotti hardware e software venduti nell'Unione Europea. L'obbligo di segnalare vulnerabilità attivamente sfruttate e incidenti gravi è attivo dall'11 settembre 2026; tutti gli altri obblighi si applicano dall'11 dicembre 2027. Per le violazioni il regolamento prevede sanzioni amministrative fino a 15 milioni di euro o al 2,5% del fatturato annuo mondiale.
Questionario per auto-valutazione dello stato ad oggi
Pensato per fabbricanti di dispositivi connessi: R&D, product management, qualità. Sì vale 2 punti, In parte 1, No 0. Il risultato si calcola nel tuo browser.
Avete mappato quali dei vostri prodotti rientrano nella definizione di “prodotto con elementi digitali”, cioè hardware o software con una connessione dati diretta o indiretta a un dispositivo o a una rete?
Avete verificato, prodotto per prodotto, se ricadete nella categoria di base, tra i prodotti “importanti” di Classe I o II o tra i “critici”? La classe determina il percorso di valutazione: autovalutazione, standard armonizzati oppure organismo notificato.
Esiste un owner interno della conformità CRA, con un piano e delle scadenze per arrivare pronti a dicembre 2027?
I prodotti escono di fabbrica con una configurazione sicura per default: niente credenziali uguali per tutti gli esemplari, servizi non necessari disattivati, superficie di attacco ridotta al minimo?
Il rilascio avviene senza vulnerabilità note sfruttabili, sulla base di test di sicurezza documentati e di una valutazione dei rischi cyber che fa parte della documentazione di prodotto?
Esiste un meccanismo di aggiornamento sicuro, con verifica di integrità e autenticità del firmware tramite firma digitale? E, dove applicabile, gli aggiornamenti di sicurezza automatici sono attivi per default, con una possibilità di rinuncia semplice per l'utente?
I dati trattati dal prodotto sono protetti in transito e a riposo dove pertinente, con minimizzazione dei dati, registrazione degli eventi di sicurezza (logging) e resilienza di base ad attacchi di negazione del servizio?
Avete una SBOM, la distinta base dei componenti software, per ogni prodotto, in formato leggibile da macchina, che copre almeno le dipendenze di primo livello e viene aggiornata a ogni release?
Avete una politica pubblicata di divulgazione coordinata delle vulnerabilità (CVD), con un canale di contatto per ricevere segnalazioni dall'esterno?
Le vulnerabilità vengono corrette senza indebito ritardo, con security update gratuiti distribuiti in modo sicuro e advisory pubblici per quelle risolte?
Se domani scopriste una vulnerabilità attivamente sfruttata su un vostro prodotto, sapreste rispettare le finestre di segnalazione alle autorità competenti (il CSIRT nazionale ed ENISA): early warning entro 24 ore, notifica entro 72, rapporto finale a seguire? Questo obbligo è attivo dall'11 settembre 2026.
Fate due diligence sui componenti di terze parti che integrate, incluso l'open source: tracciati nella SBOM e monitorati per nuove vulnerabilità?
Il fascicolo tecnico copre quanto richiesto: valutazione dei rischi, descrizione di progetto e sviluppo, processo di gestione delle vulnerabilità, ed è pronto a sostenere la dichiarazione UE di conformità e la marcatura CE?
Avete definito il periodo di supporto di ciascun prodotto, di norma almeno cinque anni, durante il quale garantite gli aggiornamenti di sicurezza, e la data di fine è comunicata all'utente?
Le informazioni all'utente includono il contatto per segnalare vulnerabilità, dove trovare gli aggiornamenti, l'uso previsto e le proprietà di sicurezza essenziali del prodotto?
Se modificate in modo sostanziale un prodotto altrui o lo rivendete col vostro marchio, avete chiaro che agli occhi del CRA diventate voi il fabbricante, con tutti gli obblighi del caso?
Questo strumento è puramente informativo e non costituisce consulenza legale né una valutazione di conformità ai sensi del regolamento (UE) 2024/2847. Le domande semplificano requisiti che nel testo hanno condizioni, eccezioni e casi particolari: il punteggio indica aree di attenzione, non uno stato di conformità.
Le quattro aree del check nascono dagli obblighi del regolamento. Se vuoi capirli a fondo prima di decidere come muoverti, il corso li ripercorre in circa cinquanta minuti: sei moduli brevi, ognuno con uno strumento scaricabile pronto all'uso.
Vai al corso su UdemyIl corso è in lingua inglese. Acquisto e accesso sono gestiti da Udemy.
Vuoi una lettura ragionata del risultato sul tuo prodotto?
Scrivimi: info@maber-solutions.it Queste aree sono quelle coperte dal corso di sicurezza embedded →Cyber Resilience Act: cosa devono sapere i decisori aziendali
Il Cyber Resilience Act, o CRA, è il primo regolamento europeo che rende la cybersecurity un requisito obbligatorio per l'accesso al mercato. In pratica, un prodotto non conforme non potrà più essere venduto nell'Unione Europea. Per chi guida un'azienda che produce o distribuisce dispositivi connessi, non è una questione tecnica da delegare e basta: è un tema di continuità commerciale, di responsabilità legale e di reputazione. Questa pagina riassume l'essenziale in ottica decisionale, e il check qui sopra vi dà in cinque minuti una prima misura di quanto siete pronti.
A chi si applica il CRA
La regola pratica è semplice: se vendete qualcosa che contiene software e che, direttamente o indirettamente, si connette a un dispositivo o a una rete, con ogni probabilità il CRA vi riguarda. Il regolamento parla di "prodotti con elementi digitali", una definizione volutamente ampia che copre l'hardware, il software e i componenti venduti separatamente. Restano fuori pochi settori già regolati da norme proprie, come i dispositivi medici, l'automotive e l'aeronautica. Per la stragrande maggioranza di chi produce apparecchiature elettroniche, gateway, sensori o prodotti connessi, la domanda non è se il CRA si applica, ma quanto lavoro serve per essere conformi.
Le scadenze del CRA da segnare in agenda
Il regolamento è già in vigore e le scadenze del CRA sono fissate. Dall'11 settembre 2026 è attivo l'obbligo di segnalare alle autorità le vulnerabilità attivamente sfruttate e gli incidenti gravi, con finestre molto strette: una prima allerta entro 24 ore. Dall'11 dicembre 2027 si applicano tutti gli altri obblighi, compresi i requisiti essenziali di sicurezza e la marcatura CE che ora include la cybersecurity. La data del 2027 può sembrare lontana, ma per chi ragiona in cicli di prodotto non lo è: classificare il catalogo, documentare la valutazione dei rischi, mettere in piedi i processi di gestione delle vulnerabilità e adeguare la documentazione tecnica sono attività che richiedono mesi, non settimane.
I requisiti del CRA in sintesi
I requisiti del CRA si possono leggere su due piani. Sul piano del prodotto, il regolamento chiede dispositivi consegnati con una configurazione sicura per impostazione predefinita, senza vulnerabilità note sfruttabili al momento del rilascio, con protezione dei dati, superficie di attacco ridotta e aggiornamenti di sicurezza. Sul piano dei processi, chiede al fabbricante di gestire le vulnerabilità lungo tutto il ciclo di vita: un punto di contatto pubblico per le segnalazioni, correzioni distribuite senza indebito ritardo, una distinta dei componenti software e un periodo di assistenza dichiarato, di norma almeno cinque anni. Non basta quindi un prodotto sicuro al momento della vendita: serve un impegno organizzativo che dura quanto il prodotto resta sul mercato.
Le implicazioni del CRA per chi produce dispositivi connessi
Le implicazioni del CRA per un'azienda vanno oltre l'ufficio tecnico. Per chi produce sistemi embedded e dispositivi connessi, la conformità tocca la progettazione, la documentazione, i contratti con i fornitori e il servizio post-vendita. Le sanzioni sono pensate per farsi notare a livello di consiglio di amministrazione: fino a 15 milioni di euro o al 2,5% del fatturato annuo mondiale per la violazione dei requisiti essenziali, oltre alla possibilità per le autorità di imporre il ritiro dei prodotti dal mercato. Ma il rischio non è solo la sanzione: è la responsabilità che ricade sul fabbricante anche per i componenti software di terze parti che integra, ed è il danno di reputazione verso clienti e partner nel momento in cui un prodotto non conforme viene fermato.
Da dove iniziare
Il primo passo concreto è capire dove ci si trova oggi, prodotto per prodotto: quali rientrano nell'ambito, in quale classe di rischio, e quanto dista lo stato attuale dai requisiti. Il check qui sopra è pensato esattamente per questo, come fotografia iniziale e non come consulenza formale. Da lì, il percorso verso la conformità è gestibile, ma va pianificato con anticipo e con le giuste competenze a bordo, interne o attraverso partner specializzati.
Serve un punto di vista sul vostro caso?
Se dovete capire come muovervi sul CRA, quali prodotti sono coinvolti e come pianificare il percorso di conformità, possiamo parlarne. Un confronto iniziale aiuta a trasformare il regolamento in una lista di priorità concrete.
Parliamone: info@maber-solutions.itQuesta pagina ha scopo informativo e divulgativo e non costituisce consulenza legale. I riferimenti normativi possono evolvere: per decisioni vincolanti fate sempre riferimento al testo ufficiale del regolamento e a un parere qualificato.