Cosa chiede il Cyber Resilience Act
Il CRA riguarda i prodotti con elementi digitali il cui uso previsto comprende una connessione, diretta o indiretta, a un dispositivo o a una rete. Il fabbricante deve, tra l'altro:
- progettare il prodotto con un livello di cybersicurezza adeguato ai rischi, senza vulnerabilità sfruttabili note al momento della vendita;
- fornire impostazioni sicure di partenza e aggiornamenti di sicurezza per il periodo di assistenza;
- gestire le vulnerabilità per tutto quel periodo e documentare i componenti software;
- segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi.
Le date da segnare
- 11 settembre 2026: si applicano gli obblighi di segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi.
- 20 gennaio 2027: si applica il Regolamento Macchine, con i suoi requisiti sulla protezione contro la corruzione e sui sistemi di comando.
- 11 dicembre 2027: si applicano tutti gli altri obblighi del CRA.
Le segnalazioni hanno scadenze brevi, misurate in ore e giorni: conviene avere un processo pronto prima che serva.
CRA e Regolamento Macchine
Il Regolamento Macchine contiene requisiti propri sulla protezione contro la corruzione e sui sistemi di comando legati alla sicurezza: un attacco o un software manomesso non devono portare a situazioni pericolose. Il CRA guarda invece alla cybersicurezza del prodotto in generale, per tutta la sua vita. Le due norme possono applicarsi alla stessa macchina.
Se compri componenti con elementi digitali, come PLC o router industriali, i loro fabbricanti hanno obblighi propri. Resta da valutare, con il tuo consulente, cosa serve per la macchina che immetti tu.
Cosa fare in pratica
- Fai l'inventario del software e del firmware montati, per modello e per matricola.
- Decidi il periodo di assistenza e come distribuire gli aggiornamenti di sicurezza.
- Prepara un canale per ricevere segnalazioni di vulnerabilità e un processo per notificarle in tempo.
In TARGA ogni matricola ha lo storico delle versioni software, con data e note di rilascio, utile sia per il CRA sia per le modifiche sostanziali.
Domande frequenti
Il Cyber Resilience Act si applica già?
Gli obblighi di segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi si applicano dall'11 settembre 2026. Gli altri obblighi si applicano dall'11 dicembre 2027.
Una macchina senza connessione internet rientra nel CRA?
Il CRA riguarda i prodotti il cui uso previsto comprende una connessione diretta o indiretta a un dispositivo o a una rete, non solo a internet. Una porta di servizio o una rete di fabbrica possono bastare. Va valutato caso per caso.
Se uso PLC già conformi al CRA sono a posto?
Non necessariamente. Il fabbricante del PLC risponde del PLC; chi immette la macchina deve valutare la macchina nel suo insieme, compresi software, reti e accessi remoti che aggiunge.