Cyber Resilience Act (CRA)

Il Cyber Resilience Act (CRA) dell’UE è un regolamento dell’Unione europea che stabilisce requisiti obbligatori di cybersecurity per tutti i prodotti con elementi digitali (sia hardware sia software) venduti sul mercato dell’UE. Mira a garantire che tali prodotti mantengano un elevato livello di sicurezza per l’intero ciclo di vita imponendo ai produttori di:
• integrare la sicurezza in tutte le fasi del ciclo di vita del prodotto, tra cui progettazione, sviluppo, consegna e manutenzione;
• applicare i principi di sicurezza fin dalla progettazione e per impostazione predefinita (secure-by-design e secure-by-default);
• garantire la notifica delle vulnerabilità e la gestione dei rischi di cybersecurity;
• fornire aggiornamenti e patch dopo la consegna;
• fornire documentazione sull’hardening della sicurezza dei prodotti.

Il CRA si applica a tutti i prodotti con elementi digitali, compresi gli hardware (ad es., smartphone, dispositivi IoT, router) e i software (ad es., sistemi operativi, applicazioni, librerie software) connessi, purché possano connettersi direttamente o indirettamente a un dispositivo o a una rete. L’ambito di applicazione esclude determinati prodotti già disciplinati da altre normative, come i dispositivi medici e gli autoveicoli, e anche software open-source sviluppati per scopi non commerciali. La gamma di dispositivi Moxa per la comunicazione industriale rientra nell’ambito del CRA, coprendo categorie chiave quali router industriali sicuri, switch Ethernet, device server seriali e software di gestione della rete.

I fabbricanti devono effettuare una valutazione dei rischi di cybersicurezza prima dell’immissione sul mercato di un prodotto, garantire che il prodotto soddisfi i requisiti essenziali di cybersicurezza e fornire aggiornamenti di sicurezza e gestione delle vulnerabilità lungo l’intero ciclo di vita del prodotto. Devono inoltre predisporre la documentazione tecnica, effettuare la valutazione della conformità, apporre la marcatura CE e segnalare alle autorità competenti le vulnerabilità attivamente sfruttate e gli incidenti gravi.

Le norme armonizzate del CRA sono norme europee elaborate dagli organismi europei di normazione (ESO) riconosciuti (CEN, CENELEC ed ETSI), su specifica richiesta della Commissione europea. Queste norme sono fondamentali per l’attuazione del Cyber Resilience Act (CRA), poiché traducono i requisiti essenziali di cybersecurity stabiliti dal regolamento in specifiche tecniche dettagliate. I lavori di normazione sono in corso e si basano sulle norme internazionali ed europee esistenti. La disponibilità delle norme orizzontali è prevista entro agosto 2026, mentre le norme orizzontali specifiche per la sicurezza saranno pubblicate a ottobre 2027, e quella delle norme verticali entro ottobre 2026. (Fonte: www.cencenelec.eu)

I produttori devono notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi a partire dall’11 settembre 2026, mentre tutti gli altri requisiti del CRA (compresa la conformità prima dell’immissione sul mercato) si applicano dall’11 dicembre 2027.

Le imprese sono soggette a sanzioni significative in caso di mancato rispetto del CRA. Per le violazioni più gravi le sanzioni possono arrivare fino a 15 milioni di euro o al 2,5% del fatturato annuo mondiale totale dell’azienda, a seconda del valore più alto. Per le altre violazioni sono previste sanzioni di importo inferiore.

Il CRA e la direttiva NIS2 mirano entrambi a rafforzare la cybersicurezza in Europa, ma presentano priorità diverse. La direttiva NIS2 pone l’accento sulla sicurezza delle reti e dei sistemi informativi per le infrastrutture critiche e i fornitori di servizi essenziali. Il CRA si concentra invece sulla sicurezza dei prodotti digitali stessi, integrando i requisiti di sicurezza fin dalla fase di progettazione.

Una distinta base software SBOM (Software Bill of Materials) è paragonabile a un elenco degli ingredienti di un software: riporta in modo dettagliato tutti i componenti software e le librerie utilizzate all’interno di un prodotto. Il CRA richiede che i fabbricanti predispongano una SBOM per facilitare la gestione delle vulnerabilità, senza imporne per il momento che venga resa pubblica. La SBOM completa deve essere messa a disposizione degli organismi notificati e delle autorità di vigilanza del mercato su richiesta, al fine di agevolare l’applicazione del regolamento.

L’obbligo di notifica delle vulnerabilità entro 24 ore previsto dal CRA trasforma la gestione delle vulnerabilità da pratica interna a obbligo di legge, richiedendo rapidità nel rilevamento, nella valutazione, nel coordinamento e nella risposta alle minacce informatiche. Se un produttore viene a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente di sicurezza grave che interessa un prodotto con elementi digitali, deve notificarlo entro 24 ore tramite la piattaforma unica di segnalazione del CRA.
Le aziende che, come Moxa, adottano queste pratiche possono adempiere in modo affidabile ai propri obblighi di sicurezza:
• Ingegneria della sicurezza integrata lungo l’intero ciclo di vita del prodotto
• Pratiche di divulgazione coordinata delle vulnerabilità
• Gestione degli incidenti affidata a un PSIRT dedicato ed esperto
• Monitoraggio continuo delle vulnerabilità
• Gestione rigorosa delle SBOM
• Procedure di escalation chiare
Collaborare con fornitori che dispongono di processi consolidati di SDL, gestione delle vulnerabilità, gestione delle SBOM e risposta agli incidenti aiuta i costruttori di macchine a ridurre il rischio di cybersecurity e a semplificare gli obblighi successivi all’immissione sul mercato.