Legge sulla resilienza informatica (CRA)

Attuazione efficiente dei requisiti CRA con Versio.io

In poche parole Richiedi una demo Inizia la prova gratuita

Che cos’è il Cyber Resilience Act?

Il Cyber Resilience Act (Regolamento (UE) 2024/2847) è la prima normativa a livello dell’Unione europea che stabilisce requisiti obbligatori in materia di sicurezza informatica per i prodotti dotati di elementi digitali. Essa riguarda praticamente tutti i prodotti hardware e software immessi sul mercato dell’Unione europea e che possono essere collegati, direttamente o indirettamente, a un dispositivo o a una rete: dai dispositivi IoT e dai controllori industriali ai firewall, ai sistemi operativi e ai software aziendali.

Mentre la NIS2 e la DORA disciplinano gli operatori del settore IT, la CRA si rivolge ai produttori, agli importatori e ai distributori di prodotti. I produttori devono garantire che i loro prodotti siano sicuri fin dalla progettazione, che le vulnerabilità vengano gestite per l’intero periodo di assistenza e che le vulnerabilità attivamente sfruttate e gli incidenti gravi vengano segnalati. La conformità è attestata dal marchio CE; le violazioni dei requisiti essenziali sono punibili con multe fino a 15 milioni di euro o pari al 2,5% del fatturato annuo globale.

Quali parti del CRA sono rilevanti?

La base giuridicamente vincolante è il regolamento stesso. Per quanto riguarda l'attuazione tecnica e organizzativa, sono determinanti le seguenti parti:

Allegato I, Parte I - Requisiti di sicurezza informatica relativi alle caratteristiche del prodotto, ad esempio: assenza di vulnerabilità note sfruttabili, configurazione sicura per impostazione predefinita, protezione dell’integrità e superfici di attacco limitate.
Allegato I, Parte II - Requisiti relativi alla gestione delle vulnerabilità, ad esempio la distinta dei componenti software (SBOM), la correzione tempestiva, i test periodici, la divulgazione coordinata delle vulnerabilità e la distribuzione sicura degli aggiornamenti.
Articolo 13 - Obblighi dei produttori, tra cui la valutazione dei rischi per la sicurezza informatica, la due diligence relativa ai componenti di terze parti e Open Source e un periodo di assistenza di almeno cinque anni.
Articolo 14 - Obblighi di segnalazione relativi alle vulnerabilità attivamente sfruttate e agli incidenti gravi: allerta tempestiva entro 24 ore, notifica entro 72 ore e relazione finale.
Allegato VII - Contenuto della documentazione tecnica, compresa la valutazione dei rischi, le procedure di gestione delle vulnerabilità, l’SBOM e le informazioni utilizzate per determinare il periodo di supporto.

Sono attualmente in fase di elaborazione norme europee armonizzate che specificano tali requisiti in modo più dettagliato. Fino alla loro pubblicazione, il testo del regolamento rimane il riferimento per la tabella che segue.

Calendario CRA: quali disposizioni si applicano e quando?

10 dicembre 2024 - La CRA è entrata in vigore.
11 giugno 2026 - Si applicano le disposizioni relative alla notifica degli organismi di valutazione della conformità (Capitolo IV).
11 settembre 2026 - Gli obblighi di segnalazione di cui all'articolo 14 si applicano a tutti i prodotti con elementi digitali presenti sul mercato, compresi quelli immessi sul mercato prima di tale data.
11 dicembre 2027 - Tutti gli altri obblighi rimangono pienamente in vigore. A partire da questa data, i nuovi prodotti potranno essere immessi sul mercato dell’UE solo se soddisfano i requisiti della CRA.

Il tuo strumento CRA: Versio.io

La CRA richiede ai produttori di sapere in ogni momento quali componenti sono contenuti in ciascuna versione del prodotto, quali vulnerabilità li riguardano e per quanto tempo sono supportati. Versio.io automatizza proprio questo lavoro di inventario e monitoraggio e fornisce prove a prova di audit per la documentazione tecnica e per le autorità di vigilanza del mercato.

Le sezioni seguenti illustrano quali requisiti CRA sono supportati da Versio.io. I requisiti relativi alla progettazione sicura del prodotto stesso, quali i meccanismi di crittografia o di autenticazione, rimangono di competenza del team di sviluppo del prodotto.

Distinta dei materiali software (SBOM) e inventario dei componenti

CRA: Allegato I, Parte II (1); art. 13, comma 5; Allegato VII, punto 2, lettera b), punto 8

Versio.io rileva automaticamente hardware, sistemi operativi, prodotti software e framework, indicandone le versioni esatte. A partire da questo inventario, è possibile creare una SBOM per ogni versione del prodotto oppure importare le SBOM fornite dai propri fornitori. Ciò offre una panoramica completa e leggibile da un computer di tutti i componenti e delle dipendenze di terze parti: la base per la due diligence e la gestione delle vulnerabilità.

Versio.io: Asset Management delle risorse software e SBOM

Versio.io CMDB

Gestione delle vulnerabilità

CRA: Allegato I, Parte I, punto 2, lettera a); Allegato I, Parte II, punti 2 e 3; art. 13, comma 6

Versio.io confronta costantemente tutte le versioni dei componenti rilevati con un database CVE aggiornato. Le nuove vulnerabilità vengono segnalate immediatamente, indicando i prodotti e le versioni interessati, e Versio.io consiglia a quali versioni passare. Ciò consente di immettere sul mercato prodotti privi di vulnerabilità note e sfruttabili e di risolvere le vulnerabilità senza indugio durante il periodo di assistenza.

Gestione del ciclo di vita dei prodotti e delle vulnerabilità di Versio.io

Periodo di assistenza e gestione dell'end-of-life

CRA: art. 13, commi 8 e 19; allegato II, punto 7; allegato VII, punto 4

Il vostro prodotto deve essere fornito con aggiornamenti di sicurezza per almeno cinque anni. Ciò è possibile solo se i componenti in esso contenuti vengono a loro volta sottoposti a manutenzione. Versio.io conosce le date di end-of-life di migliaia di prodotti e vi avvisa tempestivamente se un componente perde il supporto del produttore prima della fine del vostro periodo di assistenza. Queste informazioni fungono anche da prova documentata ai fini della determinazione del periodo di assistenza.

Gestione dell'end-of-life su Versio.io

Valutazione dei rischi legati alla sicurezza informatica

CRA: art. 13, commi 2-4 e 7; allegato VII, punto 3

La CRA richiede una valutazione dei rischi documentata e aggiornata per tutta la durata del periodo di assistenza. Versio.io raggruppa le versioni obsolete, le vulnerabilità note e le violazioni di configurazione come rischi, le pondera in base alla gravità e ai requisiti di protezione e tiene traccia di tutte le misure correttive in modo da garantire la tracciabilità a fini di audit.

Gestione dei rischi Versio.io

Configurazione e rafforzamento della sicurezza predefiniti

CRA: Allegato I, Parte I, punto 2, lettere b) e j)

Versio.io verifica le configurazioni rispetto alle vostre politiche aziendali e agli standard di sicurezza riconosciuti. Utilizzatelo per verificare sistemi di riferimento, immagini e appliance prima della consegna: i servizi non necessari, le porte aperte e le impostazioni predefinite non sicure vengono individuati prima che il prodotto raggiunga il cliente.

Benchmark sulla governance di Versio.io

Monitoraggio delle Policy di Versio.io

Integrità del software e delle configurazioni

CRA: Allegato I, Parte I, punto 2, lettera f); Allegato I, Parte II, punto 7

Versio.io monitora l'integrità dei file binari e delle configurazioni tramite checksum. Eventuali modifiche non autorizzate a programmi, librerie o file di configurazione – sia nell'ambiente di compilazione e release che nelle installazioni fornite – vengono rilevate immediatamente.

Verifica dell'integrità dei file binari con Versio.io

Monitoraggio delle modifiche e documentazione tecnica

CRA: art. 13, commi 3, 13 e 14; allegato VII, punto 1, lettera b), e punto 2, lettera c)

Ogni modifica apportata alle versioni, ai componenti e alle configurazioni viene rilevata automaticamente e archiviata in modo da garantire la tracciabilità. Ciò consente di dimostrare in qualsiasi momento quale versione del prodotto contenesse quali componenti e quali vulnerabilità fossero note in quel momento – anche a distanza di anni, poiché la documentazione tecnica deve essere conservata per almeno dieci anni.

Monitoraggio delle modifiche su Versio.io

Obblighi di segnalazione e gestione degli incidenti

CRA: art. 14, commi 1-4 e 8; allegato I, parte II, punto 4

Il termine di 24 ore per l’emissione di un avviso preventivo decorre dal momento in cui si viene a conoscenza di una vulnerabilità attivamente sfruttata. Versio.io ti avvisa immediatamente, crea ticket nella tua soluzione ITSM e indica quali prodotti, versioni e installazioni dei clienti sono interessati. L’intera cronologia, dal rilevamento all’aggiornamento di sicurezza, viene documentata in modo conforme ai requisiti di audit e fornisce le informazioni necessarie per la notifica e il rapporto finale al CSIRT e all’ENISA.

Elaborazione degli eventi e avvisi con Versio.io

Informazioni utili anche per gli operatori

Il CRA offre vantaggi anche alle aziende che utilizzano prodotti con componenti digitali: i produttori devono fornire informazioni sul periodo di supporto e, se del caso, sull’SBOM. Versio.io importa queste informazioni, le confronta con il parco installato e monitora le vulnerabilità e le date di end-of-life – un elemento fondamentale per la sicurezza della catena di approvvigionamento, come richiesto dalla NIS2 e dalla DORA.