FAQ Cyber Resilience Act - Waves Engineering

Un prodotto con elementi digitali è definito come “un prodotto software o hardware e le sue soluzioni di trattamento remoto dei dati, inclusi componenti software o hardware che vengono immessi sul mercato separatamente” (articolo 3, paragrafo 1).

Il trattamento remoto dei dati è definito come “elaborazione dei dati a una distanza per la quale il software è progettato e sviluppato dal fabbricante, o sotto la responsabilità del fabbricante, e la cui assenza impedirebbe al prodotto con elementi digitali di svolgere una delle sue funzioni” (articolo 3, paragrafo 2).

Il software è definito come “la parte di un sistema di informazione elettronica che consiste di codice informatico” (articolo 3, paragrafo 4).

L’hardware è definito come “un sistema informativo elettronico fisico, o parti di esso in grado di elaborare, memorizzare o trasmettere dati digitali” (articolo 3, paragrafo 5).

Il sistema informativo elettronico è definito come “un sistema, tra cui apparecchiature elettriche o elettroniche, in grado di elaborare, memorizzare o trasmettere dati digitali” (articolo 3, paragrafo 7).

Un prodotto con elementi digitali può assumere molte forme, ad esempio:

software autonomo che può essere scaricato e installato su un dispositivo, ad esempio un’app mobile scaricabile tramite un app store o un programma che può essere scaricato tramite un sito web;
Software destinato all’integrazione in un sistema di informazione elettronica, quando immessi separatamente sul mercato, ad esempio firmware o software destinati ad essere incorporati in dispositivi hardware;
Software che viene messo sul mercato insieme a un prodotto hardware, sia precaricato sull’hardware o meno, ad esempio i driver che sono necessari per una stampante per funzionare correttamente, il sistema operativo in un computer portatile, o gli strumenti utilizzati per progettare e programmare FPGAs;
Vari tipi di hardware, come più componenti fondamentali (ad es.

circuiti integrati, schede madri; sensori); dispositivi di consumo (ad esempio smartphone, laptop, frigoriferi intelligenti); dispositivi complessi (ad esempio dispositivi IoT industriali, macchinari).

Un prodotto con elementi digitali comprende anche le sue soluzioni di trattamento remoto dei dati.

Come indicato nel considerando 12, i siti web che non supportano la funzionalità di un prodotto con elementi digitali non sono essi stessi prodotti con elementi digitali. I siti web che supportano la funzionalità di un prodotto con elementi digitali possono rientrare nell’ambito di applicazione del CRA nella misura in cui soddisfano la definizione del trattamento remoto dei dati (articolo 3, paragrafo 2).

Allo stesso modo, i servizi, come Software-as-a-Service (SaaS) autonomi (SaaS) o altre soluzioni cloud progettate e sviluppate al di fuori della responsabilità di un fabbricante di un prodotto con elementi digitali non sono essi stessi prodotti con elementi digitali. Se, d’altra parte, tali servizi soddisfano la definizione del trattamento remoto dei dati, rientrano nell’ambito di applicazione del CRA.

Il concetto di trattamento remoto dei dati sarà parte di una guida apposita.

Una connessione fisica è definita come “una connessione tra sistemi informativi elettronici o componenti implementati con mezzi fisici, anche attraverso interfacce elettriche, ottiche o meccaniche, fili o onde radio” (articolo 3, paragrafo 9).

Una connessione logica è definita come “una rappresentazione virtuale di una connessione dati implementata attraverso un’interfaccia software” (articolo 3, paragrafo 8).

Una connessione indiretta è definita come “una connessione a un dispositivo o a una rete, che non avviene direttamente ma piuttosto come parte di un sistema più grande che è direttamente collegabile a tale dispositivo o rete” (articolo 3, paragrafo 10).

In determinate condizioni, tutti i prodotti con elementi digitali integrati o collegati a un sistema di informazione elettronica più ampio possono servire come vettore di attacco per attori dannosi. Di conseguenza, anche l’hardware e il software considerati meno critici possono facilitare il compromesso iniziale di un dispositivo o di una rete, consentendo agli soggetti malintenzionati di ottenere l’accesso privilegiato a un sistema o di muoversi lateralmente attraverso i sistemi. I fabbricanti devono quindi garantire che tutti i prodotti con elementi digitali siano progettati e sviluppati in conformità con i requisiti essenziali di cybersicurezza stabiliti nel presente regolamento. Tale obbligo si riferisce a entrambi i prodotti che possono essere collegati fisicamente tramite interfacce hardware e prodotti che sono collegati logicamente, come tramite socket di rete, pipe, file, interfacce di programmazione delle applicazioni o qualsiasi altro tipo di interfaccia software. Poiché le minacce informatiche possono propagarsi attraverso vari prodotti con elementi digitali prima di raggiungere un determinato obiettivo, ad esempio concatenando più exploit di vulnerabilità, i fabbricanti dovrebbero anche garantire la cybersicurezza dei prodotti con elementi digitali che sono solo indirettamente collegati ad altri dispositivi o reti (considerando 9).

Una connessione fisica può essere diretta, ad esempio, quando un prodotto con elementi digitali si collega tramite un cavo USB (ad esempio una stampante che collega un computer portatile); tramite un cavo Ethernet (ad esempio un PC che si collega a un router); tramite un cavo in fibra ottica (ad esempio un router in fibra ottica che collega la rete del fornitore di servizi Internet) o un cavo di rame (ad esempio un fieldbus industriale come il controller di programmazione di un sensore). come tramite Wi-Fi (ad esempio un terminale punto di vendita (POS) che si collega alla rete di un negozio), Bluetooth (ad esempio un auricolare Bluetooth che si collega a uno smartphone), tecnologia di comunicazione vicino al campo (ad esempio una serratura porta che collega un tag NFC).

Una connessione logica può essere diretta, ad esempio, quando un prodotto con elementi digitali avvia o gestisce la comunicazione con altri dispositivi o reti (ad esempio un browser che stabilisce una sessione HTTPS per accedere a un sito web, o un client di posta elettronica che avvia uno scambio IMAP o SMTP); o può essere indiretto, quando un prodotto con elementi digitali non avvia la comunicazione, ma funziona su un sistema host che lo fa (ad esempio un editor di testo offline o un calcolatore digitale).

I prodotti con elementi digitali possono avere simultaneamente più di una forma di connessione dati ad altri dispositivi o reti.

D’altra parte, un prodotto con elementi digitali non ha una connessione dati diretta o indiretta quando il suo scopo previsto o l’uso ragionevolmente prevedibile non includono

tale connessione ad altri dispositivi o reti. Alcuni esempi di prodotti che non rientrano nell’ambito di applicazione del CRA includono:

una lavastoviglie con firmware incorporato che controlla i cicli di lavastoviglie, ma con nessuna capacità di connessione ad altri dispositivi o reti;
una calcolatrice di base con firmware incorporato che esegue operazioni aritmetiche, ma senza possibilità di connessione ad altri dispositivi o reti;
un giocattolo elettronico con firmware incorporato che suona luce e suono pre-registrati effetti, ma senza alcuna capacità di connettersi ad altri dispositivi o reti;
una macchina da caffè con firmware incorporato che imposta tempi di produzione o resistenza al caffè tramite un pannello di controllo, ma senza possibilità di connettersi ad altri dispositivi o reti
uno spazzolino elettrico con una stazione di ricarica wireless, ma senza possibilità di connettersi ad altri dispositivi o reti.

Nota: Il firmware di cui a questi esempi può tuttavia rientrare nell’ambito di applicazione del CRA quando immesso sul mercato separatamente.

“I prodotti con elementi digitali che sono stati immessi sul mercato prima dell’11 dicembre 2027 sono soggetti ai requisiti del CRA solo se, da tale data, sono soggetti ad una modifica sostanziale” (articolo 69, paragrafo 2).

«In deroga, gli obblighi di cui all’articolo 14 si applicano a tutti i prodotti con elementi digitali che rientrano nell’ambito di applicazione del presente regolamento, anche se immessi sul mercato prima dell’11 dicembre 2027» (articolo 69, paragrafo 3).

Il CRA si applica ai prodotti immessi sul mercato prima dell’11 dicembre 2027 solo se questi prodotti sono sostanzialmente modificati dopo tale data. Si veda anche 7.1 Quando inizia l’applicazione del CRA?

Un fabbricante mette sul mercato una smart TV a metà 2027. Il fabbricante non è tenuto a rispettare il CRA per questo prodotto con elementi digitali. Nel 2028, rilascia un aggiornamento software, che non si qualifica come una modifica sostanziale, per correggere un bug che causa l’arresto anomalo delle applicazioni in esecuzione sulla TV dopo un certo periodo di utilizzo. Il fabbricante non è tenuto a portare la smart TV in conformità con il CRA, poiché l’aggiornamento non costituisce una modifica sostanziale.

Nel 2029, il fabbricante rilascia un aggiornamento software che si qualifica come una modifica sostanziale, ad esempio perché modifica le funzioni originali progettate, consentendo alla smart TV di controllare i sistemi domotici. In tal caso, il fabbricante è tenuto a portare la smart TV in conformità con il CRA. Si veda anche 7.2 Un fabbricante sviluppa un tipo di prodotto prima dell’applicazione del CRA. Può continuare a produrre prodotti identici a quel tipo dopo l’applicazione del CRA?

Tuttavia, una deroga a questa regola generale si applica agli obblighi di segnalazione di cui all’articolo 14. I fabbricanti sono tenuti a notificare le vulnerabilità sfruttate attivamente e gli incidenti gravi che hanno un impatto sulla sicurezza del prodotto con elementi digitali per tutti i prodotti con elementi digitali che rientrano nell’ambito di applicazione del CRA, compresi i prodotti che sono stati immessi sul mercato prima dell’11 dicembre 2027 (articolo 69, paragrafo 3). Per ulteriori informazioni, si veda la sezione 5.3 Un fabbricante deve segnalare vulnerabilità attivamente sfruttate o gravi incidenti per i prodotti immessi sul mercato prima che il CRA si applichi?

I fabbricanti di prodotti che rientrano nel campo di applicazione del regolamento (UE) 2023/1230 del Parlamento europeo e del Consiglio che sono anche prodotti con elementi digitali definiti nel presente regolamento devono rispettare sia i requisiti essenziali di cybersicurezza di cui al presente regolamento sia i requisiti essenziali di salute e sicurezza di cui al regolamento (UE) 2023/1230. I requisiti essenziali di cybersicurezza di cui al presente regolamento e alcuni requisiti essenziali di cui al regolamento (UE) 2023/1230 possono riguardare rischi di cybersicurezza analoghi. Pertanto, il rispetto dei requisiti essenziali di cybersicurezza di cui al presente regolamento potrebbe facilitare il rispetto dei requisiti essenziali che coprono anche alcuni rischi di cybersicurezza come indicato nel regolamento (UE) 2023/1230, e in particolare quelli relativi alla protezione contro l’alterazione e la sicurezza e l’affidabilità dei sistemi di controllo di cui alle sezioni 1.1.9 e 1.2.1 dell’allegato III di tale regolamento. Tali sinergie devono essere dimostrate dal fabbricante, ad esempio applicando, se disponibili, norme armonizzate o altre specifiche tecniche che coprono i requisiti essenziali di cybersicurezza rilevanti a seguito di una valutazione dei rischi che comprenda tali rischi di cybersicurezza. Il fabbricante deve inoltre seguire le procedure applicabili di valutazione della conformità di cui al presente regolamento e al regolamento (UE) 2023/1230. La Commissione e le organizzazioni europee di normalizzazione, nei lavori preparatori a sostegno dell’applicazione del presente regolamento e del regolamento (UE) 2023/1230 e dei relativi processi di normazione, dovrebbero promuovere la coerenza nel modo in cui i rischi di cybersicurezza devono essere valutati e nel modo in cui tali rischi devono essere coperti da norme armonizzate in materia di requisiti essenziali pertinenti. In particolare, la Commissione e le organizzazioni europee di normalizzazione dovrebbero tener conto del presente regolamento nella preparazione e nello sviluppo di norme armonizzate per facilitare l’applicazione del regolamento (UE) 2023/1230 per quanto riguarda in particolare gli aspetti della cybersicurezza relativi alla protezione contro l’alterazione e la sicurezza e l’affidabilità dei sistemi di controllo di cui alle sezioni 1.1.9 e 1.2.1 dell’allegato III del presente regolamento. La Commissione dovrebbe fornire indicazioni per sostenere i fabbricanti soggetti al presente regolamento che sono anche soggetti al regolamento (UE) 2023/1230, in particolare per facilitare la dimostrazione del rispetto dei requisiti essenziali pertinenti previsti dal CRA e dal regolamento (UE) 2023/1230 (considerando 53 del CRA).

Il regolamento macchine (di seguito «MR») si applica dal 20 gennaio 2027. Esso precisa, nel suo allegato III, i requisiti essenziali per la salute e la sicurezza, affrontando anche i rischi per la cybersicurezza che possono avere un impatto sulla sicurezza.

Sia il CRA sia il MR stabiliscono norme per la messa a disposizione sul mercato di determinati prodotti. Mentre il CRA copre prodotti con elementi digitali, il MR riguarda le macchine e i prodotti correlati, soggetti a determinate eccezioni.

Il CRA definisce i requisiti essenziali di cybersicurezza per i prodotti con elementi digitali nell’allegato I. Il MR si prefigge per i macchinari e i relativi prodotti, nel suo allegato III, requisiti essenziali per la salute e la sicurezza, affrontando anche i rischi per la cybersicurezza che possono avere un impatto sulla sicurezza (cioè. Allegato III, sezioni 1.1.9 e 1.2.1).

Un prodotto può essere un prodotto con elementi digitali ai sensi del CRA, nonché macchinari o prodotti correlati ai sensi del MR, allo stesso tempo. In questi casi, può esserci un’interazione, come descritto nel considerando 53 del CRA, tra il CRA e il MR per quanto riguarda i requisiti di cybersicurezza, come accennato in precedenza, e le procedure di valutazione della conformità, come previste rispettivamente dal CRA e dal MR.

Ad esempio: un certo tipo di macchinari ai sensi del MR che può essere utilizzato per esempio per le verdure di pacchetto per i supermercati, può contenere hardware e software per garantire il suo funzionamento. In questo senso, i macchinari per l’imballaggio alimentare possono anche essere un prodotto con elementi digitali ai sensi del CRA.

Come spiegato nel considerando 4 del Regolamento di esecuzione della Commissione (UE) 2025/2392 del 28 novembre 2025 sulla descrizione tecnica delle categorie di prodotti importanti e critici con elementi digitali, il fatto che un prodotto con elementi digitali esegue funzioni diverse o aggiuntive alla sua funzionalità di base non significa in sé che il prodotto con elementi digitali non ha la funzionalità fondamentale di un prodotto importante o critico. Ad esempio, i prodotti che hanno la funzionalità fondamentale dei “sistemi operativi” (un prodotto importante con elementi digitali della Classe I) spesso includono software che esegue funzioni accessorie non incluse nella descrizione tecnica di quella categoria di prodotto, come calcolatrici o semplici editor grafici. I prodotti con elementi digitali spesso incorporano anche componenti che hanno la funzionalità di un altro prodotto importante o critico con elementi digitali, come un sistema operativo che integra funzionalità del browser, o un router che integra funzionalità firewall. Questo, tuttavia, non significa in sé che tali prodotti con elementi digitali non hanno la funzionalità principale di “sistemi operativi” o “routers, modems destinati alla connessione a internet, e switch” (anche prodotti importanti con elementi digitali della Classe I), rispettivamente.

D’altra parte, un prodotto che ha la capacità di eseguire la funzione di una categoria di prodotto importante o critica, ma la cui funzionalità principale è diversa da quella di tale categoria di prodotto non deve essere considerato avere quella funzionalità di base. Ad esempio, un software di orchestrazione di sicurezza, automazione e risposta (SOAR) ha spesso la capacità di eseguire le funzioni di sistemi di gestione di “informazioni di sicurezza e eventi (SIEM). Tuttavia, poiché la funzionalità principale del SOAR è diversa da quella di un SIEM, SOAR software non è generalmente da considerare per avere la funzionalità principale dei sistemi di gestione delle informazioni di sicurezza e degli eventi (SIEM). Allo stesso modo, uno smartphone in genere integra componenti che eseguono le funzioni di diversi prodotti importanti o critici, come un sistema operativo o un gestore di password integrato. Tuttavia, poiché la funzionalità di base di uno smartphone non è quella di un sistema operativo o di un gestore di password, generalmente non è da considerare la funzionalità di base di un sistema operativo o di un gestore di password.

La legislazione sull’armonizzazione dell’Unione relativa ai prodotti messi a disposizione sul mercato interno e basata sul nuovo quadro legislativo (NLF) richiede tipicamente ai fabbricanti di effettuare una valutazione del rischio, sulla base della quale essi devono applicare i relativi requisiti essenziali definiti nella legislazione in questione (cfr. ad esempio la sezione 4.1.1 della Guida Blu). Tali valutazioni di rischio sono una documentazione importante per i fabbricanti per dimostrare (cioè alle autorità di vigilanza del mercato) che hanno implementato requisiti adeguati. I fabbricanti possono effettuare un’unica valutazione del rischio riguardante i requisiti di diversi atti legislativi, o possono effettuare valutazioni individuali dei rischi per ogni legislazione separatamente. Sebbene spetti al fabbricante strutturare le proprie attività di valutazione del rischio, devono essere in grado di dimostrare il rispetto di ogni singola legislazione. In conformità alla definizione di prodotto con elementi digitali (articolo 3, paragrafo 1), la valutazione dei rischi di cybersicurezza del fabbricante deve coprire l’intero prodotto con elementi digitali, compreso il trattamento remoto dei dati quando nell’ambito e tutte le funzioni di supporto che possono formare parte del prodotto con elementi digitali da immettere sul mercato.

Nota: 5 Il nuovo quadro legislativo è costituito dal regolamento (CE) 765/2008 che stabilisce i requisiti per l’accreditamento e la vigilanza del mercato dei prodotti; decisione 768/2008 su un quadro comune per la commercializzazione dei prodotti; e regolamento (UE) 2019/1020 sulla vigilanza del mercato e la conformità dei prodotti

L’articolo 13, paragrafo 2, impone ai fabbricanti di valutare i rischi di cybersicurezza associati ad un prodotto con elementi digitali e di tener conto dell’esito di tale valutazione durante le fasi di pianificazione, progettazione, sviluppo, produzione, consegna e manutenzione del prodotto con elementi digitali al fine di ridurre al minimo i rischi di cybersicurezza, prevenire incidenti e minimizzare il loro impatto, anche in relazione alla salute e alla sicurezza degli utenti. Pertanto, è importante notare che la valutazione dei rischi di cybersicurezza copre non solo le fasi iniziali di identificazione del rischio, analisi del rischio e valutazione del rischio durante le fasi di progettazione e sviluppo, ma anche le misure di trattamento del rischio implementate attraverso le fasi di produzione, consegna e manutenzione. Inoltre, questo obbligo si applica ai fabbricanti di tutti i prodotti con elementi digitali ai sensi del CRA, indipendentemente dal fatto che il prodotto con elementi digitali sia nella categoria “default”, un prodotto importante o critico.

Ai sensi dell’articolo 13, paragrafo 3, la valutazione dei rischi di cybersicurezza indica se e, in tal caso, i requisiti di sicurezza relativi alle proprietà dei prodotti (esclusi nella parte I, punto (2), dell’allegato I) sono applicabili al prodotto rilevante con elementi digitali, e come tali requisiti sono implementati come informati dalla valutazione dei rischi di cybersicurezza. Esso indica anche come il fabbricante ha progettato, progettato, sviluppato, prodotto, consegnato e mantenuto il prodotto con elementi digitali in modo da garantire un adeguato livello di cybersicurezza in base ai rischi (parte I, punto 1), dell’allegato I) e ai requisiti di gestione della vulnerabilità (definiti nella parte II dell’allegato I).

I fabbricanti devono rispettare tutti i requisiti essenziali per la cybersicurezza relativi alla gestione della vulnerabilità (set out nella parte II dell’allegato I) durante il periodo di supporto del prodotto. Tuttavia, per quanto riguarda i requisiti essenziali di cybersicurezza relativi alle proprietà del prodotto (escluso nella parte I dell’allegato I), i fabbricanti devono determinare sulla base della valutazione dei rischi di cybersicurezza che di tali requisiti sono rilevanti per il tipo di prodotto con elementi digitali interessati. Conformemente all’articolo 13, paragrafo 4, quando alcuni requisiti essenziali di cybersicurezza non sono applicabili a un prodotto con elementi digitali, il fabbricante dovrebbe includere una chiara giustificazione nel

valutazione dei rischi di cybersicurezza inclusa nella documentazione tecnica. Questo potrebbe essere il caso in cui un requisito essenziale per la cybersicurezza sia incompatibile con la natura di un prodotto con elementi digitali (si veda il considerando 55), o dove non esistono rischi che richiedono una mitigazione rispetto a tale requisito essenziale.

Ad esempio, un prodotto potrebbe non essere necessario incorporare specifiche misure di mitigazione relative alla protezione dei dati personali se lo scopo previsto del prodotto e l’uso ragionevolmente prevedibile non includono il trattamento di qualsiasi tipo di dati personali. In tali casi, il prodotto potrebbe ancora avere la capacità tecnica di elaborare alcuni tipi di dati personali, ma tale uso non sarebbe incluso nello scopo previsto e l’uso ragionevolmente prevedibile dichiarato dal fabbricante. Se la capacità tecnica del prodotto di trattare i dati personali può portare a significativi rischi di cybersicurezza nel caso di un uso improprio ragionevolmente prevedibile, le informazioni e le istruzioni per l’utente possono avere bisogno di includere queste informazioni, conformemente al punto 5 dell’allegato II del CRA.

Ad esempio, come indicato nel considerando 55, lo scopo previsto di un prodotto con elementi digitali può richiedere al fabbricante di applicare norme di interoperabilità ampiamente riconosciuti, anche se le sue caratteristiche di sicurezza non sono più considerate di stato dell’arte. Analogamente, un altro atto legislativo dell’Unione impone ai fabbricanti di applicare specifici requisiti di interoperabilità. Se questo è il caso, avendo l’effetto che un requisito essenziale di cybersicurezza non è applicabile a un prodotto con elementi digitali, ma il fabbricante ha identificato i rischi di cybersicurezza in relazione a tale requisito essenziale di cybersicurezza, dovrebbe adottare misure per affrontare tali rischi con altri mezzi, ad esempio limitando lo scopo previsto del prodotto agli ambienti affidabili e/o informando gli utenti su tali rischi.

Ai sensi dell’articolo 13, paragrafo 2, la valutazione dei rischi per la cybersicurezza è effettuata al fine di ridurre al minimo tali rischi, prevenire incidenti e ridurre al minimo il loro impatto, anche in relazione alla salute e alla sicurezza degli utenti. Inoltre, l’articolo 13, paragrafo 3, precisa che l’analisi dei rischi per la cybersicurezza deve considerare almeno lo scopo previsto e l’uso ragionevolmente prevedibile, nonché le condizioni di utilizzo del prodotto con elementi digitali, come l’ambiente operativo o i beni da proteggere, tenendo conto della durata del tempo che il prodotto dovrebbe essere utilizzato. Come esempio, i fabbricanti di componenti hardware o software utilizzati da molti altri prodotti a valle possono considerare quando lo scopo previsto e l’uso ragionevolmente prevedibile include l’integrazione di tali componenti. In tali casi, il fabbricante deve garantire che i rischi pertinenti siano debitamente trattati (articolo 13, paragrafo 1 e paragrafo 2), e

comunicare agli utenti istruzioni chiare, comprensibili, intelligibili e leggibili che consentono l’installazione sicura, il funzionamento e l’uso del prodotto con elementi digitali (come previsto dall’articolo 13, paragrafo 8).

L’articolo 3 definisce “destinato” come l’uso per il quale un prodotto con elementi digitali è destinato dal fabbricante, compreso il contesto specifico e le condizioni di utilizzo, come specificato nelle informazioni fornite dal fabbricante nelle istruzioni per l’uso, i materiali e le dichiarazioni promozionali o di vendita, nonché nella documentazione tecnica. Inoltre, «un uso ragionevole prevedibile» è definito all’articolo 3, paragrafo 24, come uso che non è necessariamente lo scopo previsto fornito dal fabbricante nelle istruzioni per l’uso, i materiali e le dichiarazioni promozionali o di vendita, nonché nella documentazione tecnica, ma che è probabile che derivi da comportamenti umani ragionevolmente prevedibili o operazioni tecniche o interazioni.

Se pertinente allo scopo previsto e all’uso ragionevolmente prevedibile, il fabbricante dovrebbe anche considerare come l’integrazione a valle e l’uso finale possono influenzare la valutazione dei rischi di cybersicurezza (cioè il contesto specifico e le condizioni di utilizzo). Inoltre, i fabbricanti devono informare i propri utenti, siano essi integratori, proprietari professionisti o operatori, consumatori o altri, attraverso le informazioni e le istruzioni all’utente su eventuali presupposti o requisiti necessari per l’installazione sicura, il funzionamento e l’uso del prodotto con elementi digitali, ai sensi dell’articolo 13.

Come indicato nella sezione 2.8 della Guida Blu, i fabbricanti devono considerare le condizioni di utilizzo che possono essere ragionevolmente prevedibili prima di mettere un prodotto sul mercato, in particolare quando tale uso potrebbe derivare da un comportamento umano lecito e facilmente prevedibile. Ciò significa che i fabbricanti devono guardare oltre quello che considerano l’uso previsto di un prodotto e porsi nella prospettiva dell’utente medio di un particolare prodotto e prevedere in che modo considererebbero ragionevolmente l’utilizzo del prodotto. Per esempio, come indicato nella sezione 3.1 della Guida Blu, uno strumento progettato e destinato ad essere utilizzato solo da professionisti (come ad esempio un sensore IoT industriale o una rete privata virtuale), potrebbe eventualmente essere utilizzato anche da non professionisti; di conseguenza, la progettazione e le istruzioni di accompagnamento devono prendere in considerazione questa possibilità. Analogamente, le informazioni necessarie per l’installazione sicura devono ancora essere fornite in modo chiaro, comprensibile, intelligibile e leggibile tenendo conto del pubblico che si prevede effettuerà l’installazione, ai sensi dell’articolo 13, paragrafo 18. Se il prodotto può essere facilmente accessibile ed è probabile che sia utilizzato dai consumatori, il fabbricante dovrebbe prendere in considerazione le esigenze e i rischi di tali consumatori, come ad esempio attraverso informazioni e istruzioni appropriate agli utenti, comprese le istruzioni per l’installazione sicura, il funzionamento e l’uso del prodotto con elementi digitali).

Tuttavia, come indicato nella sezione 2.8 della Guida Blu, non tutti i rischi possono essere evitati dalla progettazione del prodotto; pertanto, dovrebbero essere considerate anche le condizioni di distribuzione previste o prevedibili. Se pertinente, la valutazione dei rischi di cybersicurezza dovrebbe tener conto di altre misure che possono essere messe in atto dalla categoria di utenti prevista o ragionevolmente prevedibile (ad esempio professionale). Per esempio, la supervisione e l’assistenza agli utenti interessati devono essere considerate come parte delle condizioni che possono essere ragionevolmente prevedibili per l’installazione e l’utilizzo di prodotti all’interno di determinate impostazioni professionali, come ad esempio un impianto industriale. Come un altro esempio, alcune macchine utensili professionali sono destinate all’uso da parte di lavoratori adeguatamente qualificati e formati sotto la supervisione del loro datore di lavoro; la responsabilità del fabbricante non può essere invocata se tali macchine utensili sono noleggiate da un distributore o da un fornitore terzo di servizi per l’uso da parte di consumatori non qualificati e non addestrati. Inoltre, in alcuni casi può essere ragionevole che il fabbricante consenta attraverso la progettazione del prodotto che l’utente possa modificare le configurazioni del prodotto, rimuovendo le funzionalità di sicurezza o riducendo le misure di sicurezza per garantire la compatibilità con sistemi preesistenti. In tali casi, il fabbricante dovrebbe includere i rischi di cybersicurezza rilevanti nella propria valutazione dei rischi di cybersicurezza, attuare misure specifiche di trattamento che coprono tali rischi, e accompagnare quelle possibilità di utilizzo con informazioni e istruzioni appropriate per l’utente per garantire la distribuzione sicura e che possano essere raggiunti i risultati di sicurezza richiesti. Inoltre, se questa circostanza può portare a significativi rischi per la cybersicurezza, il fabbricante dovrebbe menzionare esplicitamente tali rischi conformemente al punto 5 dell’allegato II del CRA.

Conformemente all’articolo 13, paragrafo 18, il fabbricante dovrebbe fornire informazioni agli utenti per quanto riguarda le condizioni previste per la distribuzione sicura e l’integrazione del prodotto. Da parte loro, l’utente dovrebbe prendere in considerazione le condizioni legali di utilizzo del prodotto definito dal fabbricante, a condizione che questi siano ragionevoli e appropriati allo scopo previsto e ragionevolmente prevedibile uso, in particolare quando si tratta di utenti poco qualificati o vulnerabili. L’articolo 3 definisce «un uso improprio ragionevolemente prevedibile» come l’uso di un prodotto con elementi digitali in modo che non sia conforme al suo scopo previsto, ma che possa derivare dal comportamento umano ragionevolmente prevedibile o dall’interazione con altri sistemi. Per esempio, se le informazioni e le istruzioni all’utente menzionano che il prodotto deve essere distribuito su una rete sicura, la distribuzione su una rete insicuri potrebbe costituire un uso improprio ragionevolmente prevedibile. Allo stesso modo, anche se alcuni utenti potrebbero aver hackerato i loro dispositivi per il divertimento (o per la ricerca di sicurezza), questo uso non è necessariamente in linea con il fabbricante e quindi costituirebbe una forma di uso improprio.

Nota: Come indicato nel considerando 75, gli Stati membri dovrebbero mirare ad affrontare, nella misura possibile, le sfide affrontate dai ricercatori di vulnerabilità, compresa la loro potenziale esposizione alla responsabilità penale, in conformità con il diritto nazionale. Dato che le persone fisiche e giuridiche che ricercano vulnerabilità potrebbero in alcuni Stati membri essere esposte a responsabilità penale e civile, gli Stati membri sono incoraggiati ad adottare linee guida per quanto riguarda la non perseguimento dei ricercatori di sicurezza informatica e l’esenzione dalla responsabilità civile per le loro attività.

Inoltre, i fabbricanti assicurano che i prodotti con elementi digitali siano accompagnati dalle informazioni e dalle istruzioni dell’utente di cui all’allegato II, comprese le circostanze note o prevedibili, relative all’uso del prodotto con elementi digitali secondo il suo scopo previsto o in condizioni di uso improprio ragionevolmente prevedibile, che possono portare a significativi rischi di cybersicurezza. I rischi relativi all’abuso ragionevolmente prevedibile devono essere comunicati anche nelle informazioni e nelle istruzioni all’utente. Per esempio, quando le informazioni e le istruzioni per l’utente menzionano che il prodotto deve essere distribuito su una rete sicura, ciò implica che il fabbricante potrebbe non aver coperto alcuni rischi derivanti dall’uso su reti insicure. Il fabbricante dovrebbe quindi informare l’utente ovunque tale uso abusivo ragionevolmente prevedibile possa ancora portare a significativi rischi di cybersicurezza.

Come indicato nella Guida Blu, le norme armonizzate non sostituiscono requisiti essenziali giuridicamente vincolanti. Una specificazione tecnica contenuta in una norma armonizzata non è un’alternativa ad un requisito essenziale o ad un altro requisito giuridico rilevante, ma solo un possibile mezzo tecnico per soddisfarlo. Nella legislazione relativa all’armonizzazione dei rischi, ciò significa in particolare che i fabbricanti, anche quando utilizzano norme armonizzate, i cui riferimenti sono pubblicati nella Gazzetta ufficiale dell’Unione europea (di seguito «GU»), rimangono pienamente responsabili della valutazione di tutti i rischi del loro prodotto al fine di determinare quali requisiti essenziali (o altri) sono rilevanti. Dopo tale valutazione, un fabbricante può quindi scegliere di applicare specifiche tecniche fornite in norme armonizzate i cui riferimenti sono pubblicati nella GU per attuare «misure di riduzione dei rischi» specificate da norme armonizzate. Nella legislazione relativa all’armonizzazione dei rischi, i cui riferimenti sono pubblicati nella GU forniscono più comunemente alcuni mezzi per ridurre o rimuovere i rischi, mentre i fabbricanti rimangono pienamente responsabili della valutazione del rischio per identificare i rischi rilevanti e per identificare i requisiti essenziali pertinenti, al fine di selezionare le norme armonizzate adeguate, i cui riferimenti sono pubblicati nella GU o in altre specifiche.

Così, anche quando il fabbricante utilizza una norma armonizzata (dove il suo riferimento è pubblicato nella GU e che mira a coprire alcuni rischi) per soddisfare i requisiti essenziali, la valutazione dei rischi di cybersicurezza deve essere effettuata e il fabbricante deve verificare se la norma armonizzata copre tutti i rischi del prodotto. Conformemente all’articolo 27, quando un fabbricante applica correttamente una norma armonizzata il cui riferimento è pubblicato nella GUEU che copre tutti i rischi relativi al prodotto con elementi digitali, il prodotto beneficia della presunzione di conformità.

Nota: Come indicato nella nota 179 della Guida Blu.

Come indicato all’articolo 27, paragrafo 1, del CRA e alla sezione 4.1.2.2 della Guida Blu, quando una norma armonizzata copre solo una parte dei requisiti essenziali identificati come pertinenti dai fabbricanti o solo alcuni loro aspetti, essi devono inoltre utilizzare altre specifiche tecniche pertinenti o sviluppare soluzioni in conformità con l’ingegneria generale o le conoscenze ingegneristiche e scientifiche consolidate al fine di soddisfare le requisiti essenziali del CRA. Analogamente, quando i fabbricanti scelgono di non applicare tutte le disposizioni fornite in una norma armonizzata, e che normalmente fornirebbero presunzione di conformità, hanno bisogno, sulla base della propria valutazione dei rischi di cybersicurezza, di indicare nella loro documentazione tecnica come sia conseguita la conformità oppure perché determinati requisiti essenziali non siano pertinenti per il prodotto.

La richiesta di normazione del CRA richiede lo sviluppo di una serie di norme armonizzate destinate a fornire informazioni orizzontali o specifiche sui prodotti ai fabbricanti per sostenere la loro conformità al CRA. Si veda anche la sezione 6.10: «Quando saranno disponibili le norme armonizzate a supporto della conformità al CRA?»

L’articolo 13, paragrafo 12 e l’articolo 31 richiedono al fabbricante di redigere una documentazione tecnica contenente informazioni per dimostrare la conformità del prodotto ai requisiti applicabili, indipendentemente dalla procedura di valutazione della conformità. Questa documentazione può essere parte della documentazione del sistema di qualità in cui il fabbricante sceglie una procedura di valutazione della conformità basata su un sistema di qualità, in linea con l’articolo 32. Questo è il caso della conformità basata sulla piena garanzia di qualità basata sul modulo H (parte IV dell’allegato VIII del CRA). La documentazione tecnica deve essere disponibile quando il prodotto è immesso sul mercato, qualunque sia la sua origine geografica o la sua posizione. Ai sensi dell’articolo 13, paragrafo 4, quando immette sul mercato un prodotto con elementi digitali, il fabbricante include la valutazione dei rischi di cybersicurezza nella documentazione tecnica richiesta ai sensi dell’articolo 31 e dell’allegato VII. Dopo l’immissione sul mercato il fabbricante documenta sistematicamente, in modo proporzionato alla natura e ai rischi per la cybersicurezza, rilevanti aspetti di cybersicurezza relativi ai prodotti con elementi digitali, comprese le vulnerabilità di cui diventano consapevoli e le informazioni pertinenti fornite da terzi, e deve, se del caso, aggiornare la valutazione dei rischi di cybersicurezza dei prodotti. In particolare, nell’ambito del requisito di gestione della vulnerabilità nell’allegato I, parte 2, paragrafo 3, il fabbricante deve aggiornare la valutazione del rischio dopo l’applicazione di prove e riesami periodici, laddove le informazioni pertinenti relative alla cybersicurezza del prodotto emergono da tali test e recensioni.

Secondo la sezione 4.3 della Guida Blu, nel caso in cui un prodotto sia stato oggetto di riprogettazioni e rivalutazioni della conformità, la documentazione tecnica deve riflettere tutte le versioni del prodotto; descrivendo le modifiche apportate, come possono essere identificate le varie versioni del prodotto e le informazioni sulle varie valutazioni di conformità.

Ai sensi dell’articolo 53, ove necessario valutare la conformità dei prodotti con elementi digitali e i processi messi in atto dai loro fabbricanti con i requisiti essenziali di cybersicurezza di cui all’allegato I, le autorità di vigilanza del mercato, su richiesta motivata, sono autorizzate l’accesso ai dati, in una lingua facilmente comprensibile da loro, necessari per valutare la progettazione, lo sviluppo, la produzione e la vulnerabilità di tali prodotti, compresa la relativa documentazione interna del relativo operatore economico.

Il CRA stabilisce una serie di requisiti essenziali di cybersicurezza relativi alle proprietà dei prodotti con elementi digitali. Tali requisiti sono orientati agli obiettivi, tecnologicamente neutri e si applicano orizzontalmente a tutti i prodotti con elementi digitali.

La specifica implementazione tecnica dei requisiti essenziali dipende dalla valutazione dei rischi di cybersicurezza che ogni fabbricante è tenuto a prendere in considerazione durante le fasi di pianificazione, progettazione, sviluppo, produzione, consegna e manutenzione del prodotto con elementi digitali, ai sensi dell’articolo 13. Per ulteriori informazioni sulla valutazione dei rischi, si veda la sezione 4.1 approccio basato sul rischio e valutazione dei rischi.

Il fabbricante è tenuto a precisare nella sua documentazione tecnica i mezzi utilizzati per garantire che il prodotto sia conforme ai requisiti essenziali di cybersicurezza, comprese le istanze in cui alcuni requisiti essenziali di cybersicurezza non sono applicabili al prodotto con elementi digitali, ai sensi dell’articolo 13, paragrafo 4.

Per facilitare la valutazione della conformità ai requisiti essenziali, la Commissione ha adottato una richiesta di normazione rivolta a CEN, CENELEC e ETSI (Organizzazione europea di normalizzazione), chiedendo lo sviluppo di norme armonizzate nei settori tecnici coperti dal CRA.

Il richiesta di normazione relativa al CRA chiede, tra l’altro, lo sviluppo di norme armonizzate orizzontali che coprono i requisiti essenziali relativi al prodotto di cui all’allegato I, parte I del CRA, al fine di sostenere:

(i) lo sviluppo di ulteriori norme armonizzate verticali granulari per prodotti specifici o tipi di prodotto; e

(ii) sostenere i fabbricanti nella definizione e nell’attuazione dei requisiti di sicurezza applicabili ai rispettivi prodotti, in particolare per i prodotti non coperti da norme verticali esistenti o previste. Per ulteriori informazioni, si veda anche la sezione 6.10 Quando saranno pronte le norme armonizzate a sostegno della conformità al CRA?

Va notato che l’uso di norme armonizzate è volontario. I fabbricanti possono dimostrare la conformità ai requisiti essenziali tramite altri mezzi tecnici e sono tenuti a documentarli nella loro documentazione tecnica.

Sulla base della valutazione dei rischi di cybersicurezza di cui all’articolo 13, paragrafo 2, e, se applicabile, i prodotti con elementi digitali devono essere messi a disposizione sul mercato senza vulnerabilità note sfruttabili (allegato I, requisito essenziale 2, lettera a)).

«vulnerabilità» significa debolezza, suscettibilità o difetto di un prodotto con elementi digitali che possono essere sfruttati da una minaccia informatica (articolo 3, paragrafo 40)

«vulnerabilità sfruttabile» significa una vulnerabilità che ha il potenziale di essere efficacemente utilizzata da un avversario in condizioni operative pratiche (articolo 3, paragrafo 41)

Il CRA non richiede ai fabbricanti di garantire che un prodotto sia libero da tutte le vulnerabilità.

Il CRA richiede ai fabbricanti, al momento dell’immissione sul mercato, di garantire che, sulla base della loro valutazione dei rischi di cybersicurezza e, se del caso, il prodotto non contenga le vulnerabilità sfruttabili note.

Infatti, non tutte le vulnerabilità sono sfruttabili in condizioni operative pratiche. Alcune vulnerabilità possono essere sfruttate solo in condizioni teoriche (ad esempio in un laboratorio o in una simulazione) e/o non in condizioni che si verificherebbero nell’ambiente operativo di un dato prodotto con elementi digitali. Se una vulnerabilità è sfruttabile deve essere affrontata caso per caso, a seconda delle specifiche condizioni operative e tecniche, tra cui, ad esempio, la misura in cui il codice vulnerabile viene richiamato o caricato quando il prodotto è in uso; il livello e il tipo di accesso richiesto per effettuare lo sfruttamento; se i controlli di compensazione sono già in atto per mitigare lo sfruttamento.

Ad esempio, uno smartphone può avere una vulnerabilità che consentirebbe ad un aggressore di bypassare la sicurezza (ad esempio saltare i controlli delle password); ma al fine di raggiungere questo obiettivo, l’attaccante ha bisogno di accesso fisico al dispositivo e manomissione fisica invasiva (ad esempio utilizzando un laser per causare un glitch) per utilizzare l’exploit. Sulla base della sua valutazione del rischio, il fabbricante può concludere che questo non sarebbe considerato una vulnerabilità sfruttabile perché non poteva ragionevolmente essere sfruttata in condizioni operative pratiche.

I prodotti con elementi digitali possono essere immessi sul mercato e entrare nella catena di distribuzione diverso tempo prima che raggiungano il loro utente finale. Questo è spesso il caso, ad esempio, quando un prodotto viene inviato al canale di distribuzione di un fabbricante; o viene offerto per la vendita on-line o attraverso altri mezzi di vendita a distanza e viene trasferito ai fornitori di servizi di logistica per la consegna, raggiungendo l’utente finale giorni o mesi dopo l’immissione sul mercato. Ad esempio, un computer portatile può rimanere sullo scaffale di un negozio di elettronica per qualche tempo prima di raggiungere il suo utente.

Nel periodo tra l’immissione sul mercato e la transazione all’utente finale previsto, le vulnerabilità sfruttabili conosciute che interessano quel prodotto possono essere scoperte. Tuttavia, l’obbligo di fornire, sulla base della valutazione del rischio, prodotti privi di vulnerabilità sfruttabili note si applica al momento dell’immissione sul mercato (articolo 13, paragrafo 1). Poiché il prodotto è già stato messo sul mercato, i fabbricanti non sono pertanto tenuti a correggere le vulnerabilità appena scoperte mentre i loro prodotti non hanno ancora raggiunto il loro utente.

Tuttavia, poiché il CRA stabilisce anche i requisiti di gestione delle vulnerabilità che si applicano durante il periodo di supporto del prodotto, i fabbricanti devono, in relazione ai rischi posti ai prodotti con elementi digitali, affrontare e correggere le vulnerabilità senza indugio, conformemente all’allegato I, parte II, punto (2). Ad esempio, dato i rischi posti dalle vulnerabilità sfruttabili appena scoperte, il fabbricante del computer portatile stabilisce che un aggiornamento di sicurezza è necessario per affrontare tali vulnerabilità. Il fabbricante può essere tenuto a fornire un aggiornamento di sicurezza per il computer portatile, non appena viene messo in funzione dal suo utente.

Sulla base della valutazione dei rischi di cybersicurezza di cui all’articolo 13, paragrafo 2, e se applicabile, i prodotti con elementi digitali devono essere messi a disposizione sul mercato con una configurazione sicura per impostazione predefinita, a meno che non diversamente concordato tra fabbricante e utente commerciale in relazione ad un prodotto su misura con elementi digitali, compresa la possibilità di reimpostare il prodotto al suo stato originale (allegato I, parte I, punto 2, lettera b).

I fabbricanti sono tenuti a mettere i prodotti con elementi digitali sul mercato con una configurazione sicura per impostazione predefinita, alla luce dello scopo previsto del prodotto e dell’uso ragionevolmente prevedibile, e sulla base della valutazione dei rischi di cybersicurezza del fabbricante.

Quando i fabbricanti immettono sul mercato un componente per l’integrazione in un altro prodotto con elementi digitali, non mantengono il controllo su come il fabbricante di integrazione regola la configurazione del componente. L’obbligo di garantire una configurazione di default sicura, quindi, si applica solo al componente quando viene immesso sul mercato separatamente, e non a come viene configurato o implementato in seguito integrando i fabbricanti.

Ad esempio, il fabbricante di una libreria crittografica può essere tenuto, sulla base della sua valutazione del rischio, a immettere tale libreria sul mercato con algoritmi insicuri o deprecati disabilitati per impostazione predefinita, o la validazione del certificato abilitata per impostazione predefinita. Il fabbricante integrante può decidere di modificare alcune di queste impostazioni quando si sviluppa il proprio prodotto con elementi digitali. Il fabbricante della libreria crittografica è responsabile solo della configurazione con cui la libreria viene consegnata e non per le successive modifiche apportate dal suo integratore.

Allo stesso modo, il fabbricante di un microcontroller con uno stack di rete integrato può essere tenuto, sulla base della sua valutazione del rischio, di posizionare il microcontrollore sul mercato con le interfacce di rete disabilitate per impostazione predefinita. Il fabbricante integrante può quindi decidere di consentire loro di soddisfare lo scopo previsto del proprio prodotto. Il fabbricante del microcontroller è responsabile solo della configurazione con cui il microcontrollore viene consegnato e non per le successive modifiche apportate dal suo integratore.

Per ulteriori informazioni sulle eccezioni alla configurazione di sicurezza per impostazione predefinita, si veda la sezione 4.2.5: Quando è un prodotto “su misura”? Quale documentazione è richiesta in questi casi?

Infine, è possibile che questo requisito essenziale non sia applicabile ad alcuni prodotti con elementi digitali. Entry 4.1.3 Un fabbricante deve attuare tutti i requisiti essenziali? fornisce ulteriori indicazioni su questo.

I fabbricanti dovrebbero rendere i loro prodotti con elementi digitali disponibili sul mercato con una configurazione sicura per impostazione predefinita e fornire aggiornamenti di sicurezza agli utenti gratuitamente. I fabbricanti dovrebbero essere in grado di deviare solo dai requisiti essenziali di cybersicurezza in relazione ai prodotti su misura che sono dotati di un particolare scopo per un particolare utente aziendale e dove sia il fabbricante che l’utente hanno esplicitamente concordato un diverso insieme di termini contrattuali (considerando 64).

Il CRA stabilisce che i fabbricanti possono deviare da due requisiti essenziali (cioè, sicuri per configurazione predefinita al punto (2.b) dell’allegato I, parte I e fornire aggiornamenti di sicurezza agli utenti gratuitamente al punto (8) dell’allegato I, parte II) in relazione ai prodotti su misura che sono dotati di uno scopo particolare per un determinato utente aziendale e in cui sia il fabbricante che l’utente hanno esplicitamente concordato un diverso insieme di termini contrattuali, come indicato nei punti summenzionati dell’allegato I, parte I.

Questo potrebbe essere il caso, ad esempio, per hardware o software su misura progettati per soddisfare le esigenze di un utente aziendale specifico, o prodotti che sono sviluppati per l’integrazione in ambienti altamente controllati di un cliente specifico (ad esempio reti chiuse o ambienti air-gapped) e sono soggetti a specifici termini contrattuali.

Un prodotto non è fatto su misura, d’altra parte, quando subisce piccole personalizzazioni prima di essere venduto a un cliente, senza specifiche serie di termini contrattuali o accordi. Questo è il caso, ad esempio, per una piattaforma di gestione delle relazioni con i clienti (CRM) venduta a più aziende, anche se il fabbricante consente alcune personalizzazioni minori; o piattaforme che utilizzano plugin o API da personalizzare, ma sono fondamentalmente lo stesso prodotto per ogni cliente.

Ai sensi dell’articolo 31, il fabbricante dovrebbe includere nella sua documentazione tecnica tutti i dati o i dettagli rilevanti per dimostrare che il suo prodotto è conforme ai requisiti essenziali di cybersicurezza, comprese le prove appropriate per dimostrare che il prodotto è su misura.

I fabbricanti di prodotti con elementi digitali devono […] in relazione ai rischi posti a prodotti con elementi digitali, indirizzo e vulnerabilità corrette senza indugio, anche fornendo aggiornamenti di sicurezza (allegato I, parte II, punto 2).

Il CRA non richiede ai fabbricanti di fornire una patch per tutte le vulnerabilità che vengono scoperte durante il periodo di supporto di un prodotto. Quando si scopre una vulnerabilità, i fabbricanti dovrebbero determinare la sua rilevanza per il loro prodotto, e valutare il rischio risultante, nel quadro della valutazione del rischio del fabbricante. Sulla base del rischio che la vulnerabilità pone, i fabbricanti devono garantire che i rimedi siano messi in atto senza indugio. Il CRA non prescrive quindi che i fabbricanti devono fornire una patch per tutte le vulnerabilità che vengono scoperte durante il periodo di supporto di un prodotto.

A seconda del rischio, i rimedi possono assumere forme diverse, tra cui, ma non solo, patch immediate, consulenze su soluzioni di lavoro da integrare successivamente con aggiornamenti software, aggiornamenti ai manuali utente, guida di configurazione per disabilitare le caratteristiche interessate.

Ad esempio, un fabbricante di un hub domotico trova una vulnerabilità nel suo prodotto che consente agli aggressori remoti di eseguire codice arbitrario sull’hub; la valutazione del rischio del fabbricante mostra che c’è un alto rischio di compromesso, in quanto l’aggressore potrebbe controllare altri dispositivi collegati. Ad esempio, il fabbricante può prevedere di fornire una patch immediata e una guida adeguata ai suoi utenti.

D’altra parte, un fabbricante di un router Wi-Fi trova una vulnerabilità del buffer overflow in una delle librerie software contenute nel firmware del router; la valutazione del rischio del fabbricante, tuttavia, mostra che la vulnerabilità non può essere sfruttata, in quanto le funzioni della libreria non sono mai chiamate nel firmware. Il fabbricante può essere previsto, ad esempio, per documentare la vulnerabilità, ma può decidere di non risolverlo con un aggiornamento dedicato. Il fabbricante può anche essere previsto, ad esempio, di rimuovere la libreria inutilizzata nel suo prossimo rilascio regolare del firmware.

Infine, un fabbricante di una stampante laser per ufficio scopre che la scheda madre della stampante ha un’interfaccia di debug che rimane abilitata. Mentre la vulnerabilità potrebbe teoricamente essere sfruttata per bypassare l’autenticazione e iniettare codice dannoso, sfruttando la vulnerabilità richiede l’accesso fisico alla stampante, rompendo il suo sigillo antimanomissione, smontando componenti interni e saldatura alla scheda madre. La valutazione del rischio del fabbricante mostra che la vulnerabilità presenta un rischio molto basso e non ha sfruttabilità nel suo ambiente operativo. Il fabbricante può essere previsto, ad esempio, per documentare la vulnerabilità, aggiornare la sua documentazione tecnica e fornire raccomandazioni adeguate ai suoi utenti.

Se un fabbricante ha immesso sul mercato versioni sostanzialmente modificate di un prodotto software, il fabbricante può garantire il rispetto del requisito essenziale di cybersicurezza di cui alla parte II, punto (2), dell’allegato I solo per la versione che ha ultimato sul mercato, a condizione che gli utenti delle versioni precedentemente collocate sul mercato abbiano accesso alla versione ultima posta sul mercato gratuitamente e non incidano costi aggiuntivi per regolare l’ambiente hardware e software in cui utilizzano la versione originale.

Il considerando 40 spiega in dettaglio la disposizione dell’articolo 13.10, precisando che i fabbricanti non sono tenuti ad affrontare e correggere le vulnerabilità per tutte le versioni di un prodotto software, se si soddisfano determinati criteri.

Nello specifico, “tenendo conto della natura iterativa dello sviluppo del software, i fabbricanti che hanno immesso sul mercato versioni successive di un prodotto software sul mercato a seguito di una successiva modifica sostanziale di tale prodotto dovrebbero essere tenuti a fornire aggiornamenti di sicurezza per il periodo di supporto solo per la versione del prodotto software che hanno ultimato immesso sul mercato. Essi dovrebbero essere in grado di farlo solo se gli utenti delle relative versioni precedenti del prodotto hanno accesso alla versione più recente del prodotto immessa sul mercato gratuitamente e non debbano sostenere costi aggiuntivi per regolare l’hardware o l’ambiente software in cui operano il prodotto. Questo potrebbe, ad esempio, essere il caso in cui un aggiornamento del sistema operativo desktop non richieda nuovo hardware, come un’unità di elaborazione centrale più veloce o più memoria. Tuttavia, il fabbricante dovrebbe continuare a rispettare, per il periodo di supporto, gli altri requisiti di vulnerabilità, come ad esempio avere una politica sulla divulgazione coordinata delle vulnerabilità o misure in atto per facilitare la condivisione di informazioni sulle potenziali vulnerabilità per tutte le versioni successive sostanzialmente modificate del prodotto software immesso sul mercato. I fabbricanti dovrebbero essere in grado di fornire aggiornamenti di sicurezza o funzionalità minori che non costituiscono una modifica sostanziale solo per l’ultima versione o la sottoversione di un prodotto software che non è stato sostanzialmente modificato. Allo stesso tempo, qualora un prodotto hardware, come uno smartphone, non è compatibile con l’ultima versione del sistema operativo originariamente fornita con il prodotto, il fabbricante dovrebbe continuare a fornire aggiornamenti di sicurezza almeno per l’ultima versione compatibile del sistema operativo per il periodo di supporto” (considerando 40).

Una delle misure più importanti per gli utenti di prendere al fine di proteggere i loro prodotti con elementi digitali da attacchi informatici è quello di installare gli ultimi aggiornamenti di sicurezza disponibili al più presto possibile. I fabbricanti devono quindi progettare i loro prodotti e mettere in atto processi per garantire che i prodotti con elementi digitali includono funzioni che consentono la notifica, la distribuzione, il download e l’installazione di aggiornamenti di sicurezza automaticamente, in particolare nel caso dei prodotti di consumo. Essi dovrebbero anche fornire la possibilità di approvare il download e l’installazione degli aggiornamenti di sicurezza come un passo finale. Gli utenti dovrebbero mantenere la capacità di disattivare gli aggiornamenti automatici, con un meccanismo chiaro e facile da usare, supportato da chiare istruzioni su come gli utenti possono optare. I requisiti relativi agli aggiornamenti automatici indicati in allegato al presente regolamento non sono applicabili ai prodotti con elementi digitali destinati principalmente ad essere integrati come componenti in altri prodotti. Non si applicano anche a prodotti con elementi digitali per i quali gli utenti non si aspetterebbero ragionevolmente aggiornamenti automatici, compresi i prodotti con elementi digitali destinati ad essere utilizzati nelle reti ICT professionali, e soprattutto in ambienti critici e industriali in cui un aggiornamento automatico potrebbe causare interferenze con le operazioni. Indipendentemente dal fatto che un prodotto con elementi digitali sia progettato per ricevere aggiornamenti automatici o meno, il suo fabbricante dovrebbe informare gli utenti sulle vulnerabilità e rendere gli aggiornamenti di sicurezza disponibili senza indugio (considerando 56)

I prodotti con elementi digitali sono messi a disposizione sul mercato solo quando:

a) soddisfano i requisiti essenziali di cybersicurezza di cui alla parte I dell’allegato I, purché siano installati, mantenuti, utilizzati per il loro scopo o in condizioni ragionevolmente prevedibili, e, se del caso, siano stati installati i necessari aggiornamenti di sicurezza; e

(b) i processi messi in atto dal fabbricante rispettano i requisiti essenziali di cybersicurezza stabiliti nella parte II dell’allegato I.

Sulla base della valutazione dei rischi di cybersicurezza di cui all’articolo 13, paragrafo 2, e se applicabile, i prodotti con elementi digitali devono: (c) garantire che le vulnerabilità possano essere affrontate attraverso gli aggiornamenti di sicurezza, compresi, se del caso, gli aggiornamenti di sicurezza automatici che vengono installati in un arco temporale appropriato abilitato come impostazione predefinita, con un meccanismo chiaro e facile da usare, attraverso la notifica degli aggiornamenti disponibili agli utenti, e la possibilità di rinviarli temporaneamente, come previsto dall’allegato I, parte I, punto 2, lettera c).

I fabbricanti di prodotti con elementi digitali devono: (7) fornire meccanismi per distribuire in modo sicuro gli aggiornamenti per i prodotti con elementi digitali per garantire che le vulnerabilità siano fissate o mitigate in modo tempestivo e, se applicabile per gli aggiornamenti di sicurezza, in modo automatico (allegato I, parte II, punto (7)).

I fabbricanti di prodotti con elementi digitali devono: (8) garantire che, qualora gli aggiornamenti di sicurezza siano disponibili per affrontare i problemi di sicurezza identificati, vengano diffusi senza indugio e, se non diversamente concordati tra un fabbricante e un utente commerciale in relazione ad un prodotto su misura con elementi digitali, gratuiti, accompagnati da messaggi di consulenza che forniscono agli utenti le informazioni pertinenti, anche su eventuali azioni da intraprendere. (Allegato I, parte II, punto (8)).

Il CRA stabilisce una serie di meccanismi che richiedono ai fabbricanti di garantire che gli aggiornamenti di sicurezza vengano diffusi senza indugio, che tali aggiornamenti vengano installati automaticamente ove possibile, e che gli utenti di prodotti con elementi digitali siano tenuti debitamente informati. Il CRA riconosce anche che gli aggiornamenti automatici non sono sempre applicabili, e gli utenti dovrebbero anche avere la possibilità di rinviare l’installazione di tali aggiornamenti.

Il fabbricante non è responsabile in base al CRA se l’utente non installa aggiornamenti di sicurezza, ad esempio quando gli aggiornamenti non sono installati, perché gli aggiornamenti automatici non sono applicabili o perché l’utente non li installa.

I fabbricanti di prodotti con elementi digitali devono: (2) in relazione ai rischi posti a prodotti con elementi digitali, indirizzi e vulnerabilità corrette senza indugio, anche fornendo aggiornamenti di sicurezza; laddove tecnicamente fattibile, nuovi aggiornamenti di sicurezza devono essere forniti separatamente dagli aggiornamenti di funzionalità (allegato I, parte II, punto 2).

Per migliorare la trasparenza dei processi di gestione delle vulnerabilità e per garantire che gli utenti non siano tenuti a installare nuovi aggiornamenti di funzionalità al solo fine di ricevere gli ultimi aggiornamenti di sicurezza, i fabbricanti dovrebbero garantire, laddove tecnicamente fattibile, che i nuovi aggiornamenti di sicurezza siano forniti separatamente dagli aggiornamenti di funzionalità (considerando 57).

Il CRA stabilisce che i fabbricanti dovrebbero, se tecnicamente fattibile, fornire nuovi aggiornamenti di sicurezza separatamente dagli aggiornamenti di funzionalità, al fine di garantire che gli aggiornamenti possano essere consegnati in modo tempestivo e che gli utenti non sono tenuti a installare aggiornamenti di funzionalità per poter ricevere gli ultimi aggiornamenti di sicurezza.

I fabbricanti che rilasciano un aggiornamento di sicurezza per affrontare una vulnerabilità non sono di bundle che l’aggiornamento con altri aggiornamenti di funzionalità. Ad esempio, un dispositivo domestico intelligente ha una vulnerabilità nel processo di convalida del certificato SSL che consente a un aggressore di eseguire un attacco man-in-the-middle. Per risolvere la vulnerabilità, è sufficiente per il fabbricante di aggiornare la procedura di convalida del certificato SSL. Il fabbricante dovrebbe fornire quell’aggiornamento separatamente, senza bundling la correzione di sicurezza con altri aggiornamenti relativi alle funzionalità.

Tuttavia, dove è necessario un aggiornamento di funzionalità per fornire un aggiornamento di sicurezza, i requisiti essenziali non impediscono al fabbricante di fornire un aggiornamento che combina sia la sicurezza che le modifiche di funzionalità. Ad esempio, un lettore PDF ha una vulnerabilità contenuta in un parser formato file obsoleto e che innesca overflow buffer. La correzione richiede la sostituzione del parser formato file con un nuovo parser più sicuro che supporta un comportamento leggermente diverso (ad esempio il controllo del formato più rigoroso), e che può portare a alcuni cambiamenti di funzionalità, perché alcuni file che hanno lavorato prima possono essere rifiutati. Poiché non sarebbe tecnicamente fattibile, il fabbricante non è tenuto a garantire una separazione tra questi tipi di modifiche software.

Allo stesso modo, in determinate situazioni, l’aggiornamento della funzionalità può corrispondere all’aggiornamento della sicurezza. Ad esempio, un prodotto con elementi digitali accede alla stessa funzione tramite diverse interfacce (ad esempio interfaccia web, interfaccia app mobile, interfaccia di riga di comando, endpoint API). Se una di queste interfacce contiene una vulnerabilità, il fabbricante può determinare che è necessario disabilitare quell’interfaccia vulnerabile – fornendo così un aggiornamento di funzionalità che è anche un aggiornamento di sicurezza.

Gli obblighi di gestione delle vulnerabilità stabiliti nel presente regolamento, che i fabbricanti devono rispettare quando immettono un prodotto con elementi digitali sul mercato e per il periodo di supporto, si applicano ai prodotti con elementi digitali nella loro interezza, compresi tutti i componenti integrati. Se, nell’esercizio di dovuta diligenza, il fabbricante del prodotto con elementi digitali identifica una vulnerabilità in un componente, incluso in un componente libero e open source, deve informare la persona o l’entità che produce o mantiene il componente, correggere e porre rimedio alla vulnerabilità, e, se del caso, fornire alla persona o all’entità la correzione di sicurezza applicata (considerando 34).

I fabbricanti devono rispettare gli obblighi di gestione delle vulnerabilità per la durata del periodo di supporto, per i loro prodotti nel loro insieme, tra cui la gestione delle vulnerabilità che interessano i loro prodotti che sono contenuti in componenti integrati. Si veda anche la sezione 4.3.1: I fabbricanti sono tenuti a correggere tutte le vulnerabilità che vengono scoperte durante il periodo di supporto?

Se il fabbricante di un prodotto ha integrato un componente che è stato immesso sul mercato dopo che il CRA diventa applicabile (cioè il componente è di per sé un prodotto soggetto al CRA), il fabbricante può fare affidamento sulle azioni che il fabbricante del componente è tenuto a intraprendere per rispettare i propri obblighi di gestione delle vulnerabilità. Ad esempio, il fabbricante del componente può essere tenuto a sviluppare un aggiornamento di sicurezza per correggere una vulnerabilità nel componente. Il fabbricante integrante è ancora tenuto ad adempiere ai suoi obblighi di gestione delle vulnerabilità per il suo prodotto, ad esempio mantenendo gli utenti informati, fornendo misure di mitigazione, aggiornando la documentazione; ma i suoi obblighi di gestione delle vulnerabilità sono facilitati dagli obblighi corrispondenti del fabbricante del componente.

Se il fabbricante ha integrato un componente che non è stato immesso sul mercato (o che è stato immesso sul mercato prima dell’applicazione del CRA), la persona o l’entità che ha sviluppato il componente non è soggetta agli obblighi di gestione delle vulnerabilità rispetto al CRA. Il fabbricante integrante è tuttavia tenuto a garantire che il suo prodotto sia nel suo complesso conforme ai requisiti di gestione della vulnerabilità. Se la persona o l’entità che ha sviluppato il componente non supporta il fabbricante nell’affrontare e correggere le vulnerabilità, il fabbricante integrante dovrebbe affrontare la vulnerabilità tramite altri mezzi, ad esempio disabilitando le funzioni compromesse; spegnendo il componente interessato; sviluppando da sé una patch (ad esempio, quando il componente è open source).

Ai sensi dell’articolo 13, paragrafo 6, quando il fabbricante integrante sviluppa una patch per un componente, deve condividerla con la persona o l’entità che mantiene il componente.

Quando immettono sul mercato un prodotto con elementi digitali, i fabbricanti devono assicurarsi che sia stato progettato, sviluppato e prodotto in conformità con i requisiti essenziali di cybersicurezza di cui alla parte I dell’allegato I (articolo 13, paragrafo 1)

Ai fini del rispetto del paragrafo 1, i fabbricanti esercitano la debita diligenza quando si integrano componenti provenienti da terzi in modo che tali componenti non compromettano la cybersicurezza del prodotto con elementi digitali, anche quando si integrano componenti di software libero e open source che non sono stati resi disponibili sul mercato nel corso di un’attività commerciale (articolo 13, paragrafo 5)

Quando si integrano componenti provenienti da terze parti in prodotti con elementi digitali durante la fase di progettazione e sviluppo, i fabbricanti dovrebbero, al fine di garantire che i prodotti siano progettati, sviluppati e prodotti in conformità con i requisiti essenziali di cybersicurezza stabiliti nel presente regolamento, esercitare la dovuta diligenza rispetto a tali componenti, compresi componenti software libero e open source che non sono stati resi disponibili sul mercato. Il livello appropriato di dovuta diligenza dipende dalla natura e dal livello di rischio di cybersicurezza associato a un dato componente, e deve, a tal fine, tener conto di una o più delle seguenti azioni: verificare, come applicabile, che il fabbricante di un componente abbia dimostrato la conformità al presente regolamento, anche controllando se il componente già reca la marcatura CE; verificare che un componente riceva aggiornamenti regolari di sicurezza, ad esempio controllando la cronologia degli aggiornamenti di sicurezza; verificare che un componente sia privo di vulnerabilità registrate nel database europeo di vulnerabilità stabilito ai sensi dell’articolo 12, paragrafo 2 della direttiva (UE) 2022/2555 o di altri database di vulnerabilità pubblicamente accessibili; o effettuare ulteriori test di sicurezza […] (considerando 34)

Immediatamente dopo il periodo transitorio per l’applicazione del presente regolamento, un fabbricante di un prodotto con elementi digitali che integra uno o più componenti provenienti da terzi che sono anche soggetti al presente regolamento potrebbe non essere in grado di verificare, nell’ambito del suo obbligo di dovuta diligenza, che i fabbricanti di tali componenti abbiano dimostrato la conformità al presente regolamento controllando, ad esempio, se i componenti già recano la marcatura CE. Questo può essere il caso in cui i componenti sono stati integrati prima che il presente regolamento diventi applicabile ai fabbricanti di tali componenti. In tal caso, un fabbricante che integra tali componenti dovrebbe esercitare la dovuta diligenza attraverso altri mezzi (considerando 35)

Al fine di garantire che il loro prodotto con elementi digitali soddisfi i requisiti essenziali del CRA, i fabbricanti devono esercitare la dovuta diligenza quando integrano componenti di terze parti nei loro prodotti.

I fabbricanti possono integrare diversi tipi di componenti, compresi quelli che sono privi di marcatura CE (ad esempio componenti liberi e open source che non rientrano nell’ambito di applicazione del CRA, componenti immessi sul mercato prima che il CRA si applichi, o componenti che non sono stati immessi sul mercato), ma devono assicurarsi che tali componenti non compromettano la cybersicurezza dei loro prodotti con elementi digitali.

Quando si integrano componenti che recano la marcatura CE, i fabbricanti sono in grado di fare affidamento sulla dichiarazione di conformità dell’UE del componente e sulla documentazione di accompagnamento per dimostrare la conformità del proprio prodotto al CRA.

Il livello appropriato di dovuta diligenza dipende dalla natura e dal livello del rischio di cybersicurezza di un dato componente – si veda anche la sezione 4.4.2 Qual è il livello appropriato di dovuta diligenza?

Il livello appropriato di dovuta diligenza dipende dalla natura e dal livello del rischio di cybersicurezza di un dato componente ed è finalizzato a garantire che i componenti che sono integrati non compromettano la cybersicurezza del prodotto del fabbricante con elementi digitali. La valutazione del rischio del prodotto con elementi digitali informa anche il livello appropriato di dovuta diligenza. Se un componente o un prodotto è associato a più rischi, le azioni che un fabbricante dovrebbe mettere in atto durante l’esercizio della dovuta diligenza dovrebbero essere più estese che per un componente o un prodotto associato a meno rischi. In linea con il considerando 34, esempi di una o più azioni che i fabbricanti possono intraprendere includono:

verificare se il componente rechi già la marcatura CE;
verificare che un componente riceva aggiornamenti regolari di sicurezza, come ad esempio controllando la sua cronologia degli aggiornamenti di sicurezza;
verificare nella banca dati europea di vulnerabilità stabilita ai sensi dell’articolo 12, paragrafo 2 della direttiva (UE) 2022/2555 o altri database di vulnerabilità pubblicamente accessibili, le vulnerabilità applicabili a un componente e la progettazione, lo sviluppo e la produzione del prodotto con elementi digitali che integrano il componente in modo tale che queste vulnerabilità non compromettano la cybersicurezza del prodotto con elementi digitali;
eseguire ulteriori test di sicurezza, come test di fuzz, test di penetrazione, analisi del firmware, analisi del canale laterale, esercizi di red-team, analisi del traffico di rete, spoofing del sensore.

Ulteriori esempi di azioni che i fabbricanti possono intraprendere includono:

l’analisi della composizione del software sui componenti;
il sandboxing o l’isolamento di componenti altamente critici;
quando disponibile, la revisione del SBOM di tale componente;
il controllo del periodo di supporto del componente;
la verifica che lo scopo previsto del componente sia adatto all’uso previsto dal fabbricante che lo integra;
valutare la postura di sicurezza del fabbricante del componente.

I fabbricanti determinano il periodo di supporto in modo che rifletta la durata del tempo durante il quale il prodotto dovrebbe essere in uso, tenendo conto, in particolare, delle ragionevoli aspettative degli utenti, della natura del prodotto, compreso il suo scopo previsto, nonché del relativo diritto dell’Unione che determina la durata dei prodotti con elementi digitali. Nel determinare il periodo di supporto, i fabbricanti possono anche tener conto dei periodi di supporto dei prodotti con elementi digitali che offrono funzionalità analoghe immesse sul mercato da altri fabbricanti, della disponibilità dell’ambiente operativo, dei periodi di supporto dei componenti integrati che forniscono funzioni di base e provengono da terzi, nonché delle linee guida pertinenti fornite dal gruppo di cooperazione amministrativa dedicato (ADCO) stabilito ai sensi dell’articolo 52 e della Commissione. Le questioni da prendere in considerazione al fine di determinare il periodo di supporto sono considerate in modo da garantire la proporzionalità (articolo 13, paragrafo 8, secondo comma).

I fabbricanti sono tenuti a determinare il periodo di supporto in modo che rifletta la durata del tempo durante il quale si prevede di essere in uso, tenendo conto, in particolare:

la natura del prodotto, compreso il suo scopo previsto;
un altro atto legislativo dell’Unione che determina la durata dei prodotti con elementi digitali.

Altri fattori rilevanti che i fabbricanti possono prendere in considerazione includono:

il periodo di supporto di prodotti simili immessi sul mercato da altri fabbricati;
la disponibilità dell’ambiente operativo;
il periodo di supporto dei componenti integrati di terze parti che forniscono funzioni di base;
la guida pertinente fornita dal CRA ADCO.

Tutti questi fattori devono essere presi in considerazione in modo da garantire la proporzionalità nella determinazione del periodo di supporto.

Pertanto, i fabbricanti non sono tenuti a impostare semplicemente i periodi di supporto che corrispondono al tempo di utilizzo previsto (a meno che il tempo di utilizzo previsto sia inferiore a cinque anni, come discusso nella voce 4.5.2 Esiste un periodo di supporto minimo?).

Ai sensi dell’articolo 13, paragrafo 8, un fabbricante dovrebbe includere nella sua documentazione tecnica le informazioni che sono state prese in considerazione per determinare il periodo di supporto di un prodotto con elementi digitali.

Fatto salvo il secondo comma, il periodo di supporto è di almeno cinque anni. Se il prodotto con elementi digitali è destinato ad essere utilizzato per meno di cinque anni, il periodo di supporto corrisponde al tempo di utilizzo previsto (articolo 13, paragrafo 8, terzo comma).

Il periodo di supporto per il quale il fabbricante garantisce l’effettiva gestione delle vulnerabilità non dovrebbe essere inferiore a cinque anni, a meno che la durata del prodotto con elementi digitali sia inferiore a cinque anni, in tal caso il fabbricante dovrebbe garantire la gestione della vulnerabilità per quella vita. Se il tempo in cui il prodotto con elementi digitali è ragionevolmente previsto per essere in uso è più lungo di cinque anni, come spesso accade per componenti hardware come schede madri o microprocessori, dispositivi di rete come router, modem o switch, così come software, come sistemi operativi o strumenti di videoediting, i fabbricanti dovrebbero quindi garantire periodi di supporto più lunghi. In particolare, i prodotti con elementi digitali destinati all’uso in ambienti industriali, come i sistemi di controllo industriale, sono spesso in uso per periodi di tempo notevolmente più lunghi. Un fabbricante dovrebbe essere in grado di definire un periodo di supporto inferiore a cinque anni soltanto quando

Ciò è giustificato dalla natura del prodotto con elementi digitali interessato. Quando tale prodotto è destinato a essere utilizzato per meno di cinque anni, il periodo di supporto dovrebbe corrispondere al tempo di utilizzo previsto. Per esempio, la durata di un’applicazione di tracciamento dei contatti destinata all’uso durante una pandemia potrebbe essere limitata alla durata della pandemia. Inoltre, alcune applicazioni software possono per natura essere rese disponibili solo sulla base di un modello di abbonamento, in particolare quando l’applicazione non è disponibile per l’utente e di conseguenza non è più in uso una volta che l’abbonamento scade (considerando 60)

Il periodo di supporto deve essere fissato ad almeno cinque anni, ma tale durata non è sufficiente quando i prodotti con elementi digitali sono ragionevolmente previsti per essere in uso per più di cinque anni. In tali circostanze, i fabbricanti dovrebbero prendere in considerazione tutti i fattori rilevanti (cfr. voce 4.5.1 Quali criteri dovrebbero prendere in considerazione il fabbricante quando si determina il periodo di supporto del prodotto?) che possono comportare la necessità di fornire un periodo di supporto più lungo di cinque anni.

Un periodo di supporto di meno di cinque anni è giustificato solo in situazioni in cui la durata del prodotto con elementi digitali è inferiore a cinque anni. In questi casi, il periodo di supporto corrisponde al tempo di utilizzo previsto, senza tener conto degli altri criteri di cui all’articolo 13, paragrafo 8. Questo è il caso per i prodotti che soddisfano uno scopo molto specifico (ad esempio un’app di contatto che deve essere utilizzata durante una pandemia), ma anche per alcune applicazioni software che possono, per natura, essere rese disponibili solo sulla base di un modello di abbonamento, in particolare quando l’applicazione non è disponibile per l’utente una volta che l’abbonamento scade. Ad esempio, alcuni software antivirus aziendali funzionano solo per gli utenti con un abbonamento attivo, in quanto gli utenti si affidano alla disponibilità di definizioni antivirus aggiornate, e non è più accessibile quando tale abbonamento scade. Allo stesso modo, determinati software liberi e open source che vengono messo sul mercato possono essere monetizzati dal relativo fabbricante solo attraverso la vendita di servizi di supporto a pagamento offerti su base di abbonamento. Pertanto, proprio perché libero e open source, il software può rimanere in uso dopo che il suo utente smette di pagare per i servizi di supporto; in tale circostanza, il fabbricante è tenuto a garantire un periodo di supporto pari alla durata dell’abbonamento attivo.

Il CRA non specifica come un fabbricante sia a conoscenza di una vulnerabilità attivamente sfruttata o di un grave incidente, ma piuttosto impone l’obbligo di notifica ai sensi dell’articolo 14 una volta che ne viene a conoscenza.

I paragrafi qui sotto forniscono alcuni esempi su come un fabbricante può diventare a conoscenza di tali vulnerabilità o incidenti, attraverso una varietà di attività e canali. Va notato che ciò non implica che il fabbricante sia tenuto a svolgere tali attività o a monitorare tali canali per rispettare gli obblighi di segnalazione.

Nota: Tuttavia, l’allegato I, parte II richiede al fabbricante di avere, tra l’altro, un unico punto di contatto in cui le vulnerabilità possono essere segnalate, per mettere in atto e far rispettare una politica coordinata di divulgazione delle vulnerabilità e adottare misure per facilitare la condivisione delle informazioni sulle potenziali vulnerabilità.

Ad esempio, un fabbricante può diventare consapevole perché un cliente o un’organizzazione partner lo informano di attività o compromessi insoliti, fornendo al fabbricante prove affidabili che una vulnerabilità attivamente sfruttata è contenuta nel suo prodotto (o il fabbricante raccoglie prove affidabili che confermano la sua esistenza).

Un fabbricante può anche diventare a conoscenza tramite segnalazioni di threat intelligence, ad esempio, i ricercatori di sicurezza o le imprese di cybersicurezza pubblicano rapporti che dettagliano una vulnerabilità zero-day (cioè una vulnerabilità per la quale non è ancora disponibile una patch o un aggiornamento della sicurezza) nel prodotto del fabbricante utilizzato in attacchi mirati. Le agenzie di cybersicurezza governative possono anche informare il fabbricante, avendo rilevato lo sfruttamento di una vulnerabilità attraverso i loro sistemi di monitoraggio. Gli hacker etici possono anche segnalare una vulnerabilità che viene già sfruttata in contesti reali.

Inoltre, il fabbricante può anche diventare consapevole tramite monitoraggio interno, attività di scansione o telemetria. Ad esempio, il sistema di telemetria del fabbricante o un honeypot (cioè un meccanismo di sicurezza utilizzato per attirare i criminali informatici lontano da obiettivi legittimi) indica lo sfruttamento di una vulnerabilità precedentemente sconosciuta nel prodotto del fabbricante, o il team di sicurezza del fabbricante monitora i forum del dark web e trova prove che gli hacker hanno sfruttato con successo una vulnerabilità nel prodotto del fabbricante.

«vulnerabilità sfruttata in modo attivo» significa una vulnerabilità per la quale c’è una prova affidabile che un soggetto malintenzionato l’ha sfruttata in un sistema senza permesso del proprietario del sistema (articolo 3, paragrafo 42)

Le vulnerabilità attivamente sfruttate riguardano casi in cui un fabbricante stabilisce che una violazione della sicurezza che interessa i suoi utenti o qualsiasi altra persona fisica o giuridica ha provocato un soggetto malintenzionato abbia sfruttato un difetto in uno dei prodotti con elementi digitali resi disponibili sul mercato dal fabbricante. Esempi di tali vulnerabilità potrebbero essere debolezze nelle funzioni di identificazione e autenticazione di un prodotto. Vulnerabilità che vengono scoperte senza intenti dannosi nell’ambito di attività svolte in buona fede di prova, indagine, correzione o divulgazione per promuovere la sicurezza del proprietario del sistema e dei suoi utenti non devono essere soggette a notifica obbligatoria (considerando 68)

Le vulnerabilità per le quali una patch o un aggiornamento di sicurezza non sono ancora disponibili (le cosiddette “vulnerabilità zero-day”) sono soggette all’obbligo di segnalazione conformemente all’articolo 14, quando il fabbricante ha prove affidabili che un soggetto malintenzionato ha sfruttato tale vulnerabilità.

Ad esempio, una vulnerabilità zero-day scoperta da hacker etici, per cui non vi è alcuna prova di sfruttamento dannoso precedente, e che viene comunicata al fabbricante del prodotto come parte del suo programma di bug-bounty (si veda il considerando 76) non è una vulnerabilità sfruttata attivamente soggetta a segnalazione obbligatoria. Allo stesso modo, una vulnerabilità zero-day scoperta da un laboratorio di valutazione della cybersicurezza che esegue test per conto del fabbricante, e per cui non c’è alcuna prova di sfruttamento dannoso precedente, non è una vulnerabilità sfruttata attivamente soggetta a segnalazione obbligatoria. I fabbricanti possono ancora notificare tali vulnerabilità su base volontaria, conformemente all’articolo 15.

In deroga al paragrafo 2 del presente articolo, gli obblighi di cui all’articolo 14 si applicano a tutti i prodotti con elementi digitali che rientrano nel campo di applicazione del presente regolamento che sono stati immessi sul mercato prima dell’11 dicembre 2027 (articolo 69, paragrafo 3).

Gli obblighi di segnalazione iniziano ad applicarsi a partire dall’11 settembre 2026. I fabbricanti sono tenuti a rispettare l’articolo 14, e in particolare l’obbligo di notificare vulnerabilità attivamente sfruttate e gravi incidenti che hanno un impatto sulla sicurezza del prodotto per tutti i prodotti con elementi digitali rientranti nell’ambito di applicazione del CRA, compresi i prodotti che sono stati immessi sul mercato prima dell’11 dicembre 2027.

Se il prodotto è stato messo sul mercato prima dell’11 dicembre 2027, i fabbricanti potrebbero non essere in grado di indagare tali vulnerabilità, ad esempio perché lo strumento di scansione o l’esecuzione di vecchie versioni del software potrebbe non esistere più, gli ambienti di compilazione per il vecchio codice possono essere impossibili da ricreare, le dipendenze possono essere non disponibili o incompatibili con i sistemi moderni, il personale con la conoscenza di vecchie basi di codice potrebbe non essere più disponibile. Per tali prodotti, i fabbricanti sono tenuti a notificare la vulnerabilità o l’incidente, ma non sono tenuti dal CRA a rispettare altri obblighi, ad esempio in relazione alla gestione della vulnerabilità.

Inoltre, l’obbligo di notifica si applica quando si diventa consapevoli dopo l’entrata in applicazione dei requisiti di segnalazione (si veda anche la sezione 5.1 Come può un fabbricante diventare consapevole di una vulnerabilità attivamente sfruttata o di un grave incidente?).

Tuttavia, l’articolo 14 richiede al fabbricante di informare gli utenti colpiti del prodotto con elementi digitali, e, se del caso, tutti gli utenti, di tali vulnerabilità o incidenti. Se il fabbricante decide di non informare gli utenti del prodotto con elementi digitali in modo tempestivo, i CSIRT che ricevono la notifica possono fornire tali informazioni agli utenti quando considerati proporzionati e necessari per prevenire o mitigare l’impatto di tale vulnerabilità o incidente.

«Prodotto con elementi digitali» significa un prodotto software o hardware e le sue soluzioni di trattamento remoto dei dati, compresi i componenti software o hardware che vengono immessi sul mercato separatamente (articolo 3, paragrafo 10)

Il fabbricante deve notificare qualsiasi vulnerabilità attivamente sfruttata contenuta nel prodotto con elementi digitali di cui è a conoscenza (articolo 14, paragrafo 1)

I fabbricanti devono notificare le vulnerabilità sfruttate attivamente per garantire che i CSIRT designati come coordinatori e ENISA, abbiano un’adeguata panoramica di tali vulnerabilità e siano forniti delle informazioni necessarie per assolvere i loro compiti come indicato nella direttiva (UE) 2022/2555 e aumentare il livello complessivo di cybersicurezza di entità essenziali e importanti di cui all’articolo 3 di tale direttiva, nonché per garantire l’efficace funzionamento delle autorità di vigilanza del mercato. Poiché la maggior parte dei prodotti con elementi digitali sono commercializzati in tutto il mercato interno, qualsiasi vulnerabilità sfruttata in un prodotto con elementi digitali dovrebbe essere considerata una minaccia per il funzionamento del mercato interno (considerando 66)

I fabbricanti sono tenuti a notificare qualsiasi vulnerabilità attivamente sfruttata contenuta nel proprio prodotto con elementi digitali. Dove il prodotto con elementi digitali contiene una vulnerabilità attivamente sfruttata derivante da un componente integrato, il fabbricante del prodotto con elementi digitali è tenuto a notificare tale vulnerabilità. Il fabbricante del componente integrato è inoltre tenuto a notificarlo, se tale componente è stato immesso sul mercato.

Se il fabbricante di un prodotto con elementi digitali è consapevole che un componente integrato contiene una vulnerabilità, ma che la vulnerabilità non può essere sfruttata nel suo prodotto con elementi digitali, che la vulnerabilità non è attivamente sfruttata, e quindi non è soggetta a segnalazione obbligatoria. I fabbricanti possono ancora notificare tale vulnerabilità su base volontaria, conformemente all’articolo 15, e sono tenuti a segnalare la vulnerabilità alla persona o all’entità che produce o mantiene il componente, conformemente all’articolo 13, paragrafo 6.

Ciò consente ai CSIRT di ricevere la notifica ed ENISA di avere una panoramica del paesaggio di sicurezza nel mercato interno e di valutare il livello di criticità e di penetrazione del mercato delle vulnerabilità attivamente sfruttate.

Il modulo A, definito nella parte I dell’allegato VIII, è una procedura di valutazione della conformità in cui il fabbricante verifica che il prodotto con elementi digitali sia conforme ai requisiti essenziali del CRA e dichiara la conformità alla sua esclusiva responsabilità.

Nessun organismo notificato partecipa a questa procedura.

Le seguenti categorie di prodotti sono autorizzate ad utilizzare il modulo A:

Tutti i prodotti con elementi digitali che non hanno la funzionalità di base di una categoria di prodotti importanti o critici («categoria di default»).
Prodotti importanti con elementi digitali della classe I, se una norma armonizzata è stata applicata ai sensi dell’articolo 32, paragrafo 2;
Prodotti importanti con elementi digitali di classe I o II, se sono software libero e open source a condizione che la documentazione tecnica sia resa disponibile al pubblico, conformemente all’articolo 32, paragrafo 5.

Il fabbricante deve svolgere le seguenti attività:

Implementare le misure necessarie di mitigazione della cybersicurezza nel prodotto a seguito della valutazione del rischio descritta nella sezione 4.1 approccio basato sul rischio e valutazione dei rischi.
Verificare (tramite prove o altri meccanismi) che il prodotto sia conforme ai pertinenti requisiti essenziali del CRA. Ove applicabile, si veda anche la sezione 6.5 Quale metodologia di valutazione deve applicare un fabbricante?
Elaborare la documentazione tecnica. Si veda anche la sezione 6.6 Che cos’è la documentazione tecnica?
Una volta che il fabbricante è in grado di dimostrare che il prodotto con elementi digitali sia conforme ai requisiti essenziali del CRA, apporre la marcatura CE (si veda la sezione 6.7 Qual è la marcatura CE?), redige e firma una dichiarazione di conformità (si veda la sezione 6.8 Qual è la dichiarazione di conformità?).
Assicurarsi che la produzione delle diverse unità del prodotto con elementi digitali non alteri il rispetto dei requisiti essenziali del CRA.

Il modulo B+C, indicato nelle parti II e III dell’allegato VIII, è una procedura di valutazione della conformità in cui il fabbricante verifica che il prodotto con elementi digitali sia conforme ai requisiti essenziali del CRA, un organismo notificato esamina la progettazione e lo sviluppo del prodotto e il fabbricante ne dichiara la conformità.

Il fabbricante può intraprendere una procedura di valutazione della conformità basata sul modulo B+C per tutte le categorie di prodotti coperti dal CRA. I moduli B+C o H sono obbligatori nei seguenti casi:

Prodotti importanti con elementi digitali di classe I se una norma armonizzata non è stata applicata, conformemente all’articolo 32, paragrafo 2.
Prodotti importanti della classe II.
Prodotti critici, salvo che l’uso di un sistema europeo di certificazione della cybersicurezza sia reso obbligatorio in futuro conformemente all’articolo 8, paragrafo 1.

Un organismo notificato partecipa a questa procedura ed esamina l’intero prodotto e tutti i requisiti essenziali rilevanti nei termini descritti di seguito.

Il fabbricante e l’organismo notificato devono svolgere le seguenti attività:

Il fabbricante attua le necessarie misure di mitigazione della cybersicurezza nel prodotto a seguito della valutazione del rischio descritta nella sezione 4.1 approccio basato sul rischio e valutazione dei rischi.
Il fabbricante testa il prodotto al fine di verificare che sia conforme ai requisiti essenziali rilevanti del CRA. Per ulteriori informazioni, si veda la sezione 6.5 Quale metodologia di valutazione deve applicare un fabbricante?
Il fabbricante elabora la documentazione tecnica. Per ulteriori informazioni, si veda la sezione 6.6: Qual è la documentazione tecnica?
L’organismo notificato valuta la progettazione del prodotto sulla base della documentazione tecnica e di uno o più campioni. Oltre alla valutazione documentale, esegue le prove necessarie direttamente o tramite un laboratorio esterno; il fabbricante può dover partecipare a tali prove. Se conclude che il prodotto è conforme al CRA, rilascia un certificato di esame UE del tipo valido per il periodo da esso stabilito.

Nota: Conformemente all’articolo 32, paragrafo 5, i fabbricanti mantengono la possibilità di utilizzare il modulo A anche nel caso di un prodotto importante con elementi digitali di classe I o II se il loro prodotto si qualifica come software libero e open source e la documentazione tecnica è resa disponibile al pubblico.

Una volta che il fabbricante ottiene il certificato di tipo UE, appone la marcatura CE (si veda la sezione 6.7 Qual è la marcatura CE?), redige e firma una dichiarazione di conformità (cfr. sezione 6.8 Qual è la dichiarazione di conformità?).
Il fabbricante assicura che la produzione delle diverse unità del prodotto non altera il rispetto dei requisiti essenziali del CRA, come previsto al punto 2 del modulo C. La fase di produzione non viene valutata dall’organismo notificato. In altre parole, il fabbricante non può giustificare che un prodotto il cui progetto è conforme al CRA non sia, nella pratica, conforme a causa di un difetto del processo di produzione.

Le modifiche sostanziali del prodotto richiedono una nuova valutazione da parte dello stesso o di un organismo notificato diverso, che potrebbe portare a una potenziale revisione del certificato di tipo UE rilasciato. Altre modifiche che non pregiudicano il rispetto dei requisiti del CRA non sono soggette a rivalutazione da parte dell’organismo notificato. Inoltre, conformemente al punto 8 del modulo B, l’organismo notificato deve effettuare controlli periodici per garantire che i processi di gestione delle vulnerabilità siano attuati correttamente.

Le informazioni sui certificati di tipo UE e le loro revisioni devono essere condivise con altri organismi notificati e con le autorità di notifica, secondo il punto 9 del modulo B.

Il modulo H, definito nella parte IV dell’allegato VIII, è una procedura di valutazione della conformità in cui il fabbricante implementa un sistema di controllo di qualità completo che garantisce che i prodotti soggetti a questo sistema rispettino i requisiti essenziali del CRA sia nelle fasi di progettazione che di produzione. Un organismo notificato valuta le prestazioni complessive del sistema di controllo della qualità, compresi i test periodici e i controlli. Il fabbricante dichiara il rispetto dei requisiti del CRA prima di mettere i prodotti sul mercato.

Solo un organismo notificato partecipa a questa procedura ed esamina l’intero sistema di controllo della qualità nei termini descritti di seguito.

Questo modulo potrebbe essere particolarmente considerato dai fabbricanti che immettono sul mercato numerosi tipi di prodotto o prodotti soggetti a frequenti aggiornamenti, in quanto razionalizza le relative procedure di valutazione della conformità per ogni prodotto nuovo o sostanzialmente modificato.

Il fabbricante e l’organismo notificato devono svolgere le seguenti attività:

Il fabbricante implementa un sistema di controllo di qualità completo che copre un determinato insieme di prodotti e tutte le fasi di produzione rilevanti, dalla progettazione alla produzione. Il sistema può essere basato su norme internazionali (ad esempio, serie ISO 9000 che copre le specificità del CRA). Il fatto che il fabbricante sia certificato secondo la norma ISO 9000 non lo autorizza automaticamente a svolgere attività di valutazione della conformità nell’ambito del modulo H, in quanto è necessario il coinvolgimento di un organismo notificato secondo il CRA.
L’organismo notificato valuta il sistema di controllo della qualità nel suo complesso, tra cui:

tra gli altri, la progettazione tecnica dei prodotti coperti, le norme o le specifiche da applicare (in particolare, come è garantito il rispetto dei requisiti essenziali del CRA), i test da eseguire e il monitoraggio del sistema complessivo. L’organismo notificato valuta l’intero processo di fabbricazione.

Il fabbricante, sulla base del sistema di controllo della qualità, attua le misure necessarie di mitigazione della cybersicurezza nel prodotto a seguito della valutazione del rischio descritta nella sezione 4.1 Che cosa prescrive il CRA per la valutazione dei rischi di cybersicurezza del fabbricante?.
Il fabbricante, sulla base del sistema di controllo della qualità, verifica che il prodotto sia conforme ai requisiti essenziali pertinenti del CRA. Per ulteriori informazioni, si veda la sezione 6.5 Quale metodologia di valutazione deve applicare un fabbricante?
Il fabbricante, sulla base del sistema di controllo della qualità, elabora la documentazione tecnica. Per ulteriori informazioni, si veda la sezione 6.6 Qual è la documentazione tecnica?
Il fabbricante appone la marcatura CE (si veda la sezione 6.7 Che cos’è la marcatura CE?) insieme al numero NANDO dell’organismo notificato, redige e firma una dichiarazione di conformità (cfr. sezione 6.8 Qual è la dichiarazione di conformità?).
Il fabbricante, sulla base del sistema di controllo della qualità, assicura che la produzione delle diverse unità del prodotto non altera il rispetto dei requisiti essenziali del CRA.

Il fabbricante può estendere la portata del sistema di qualità descritto a prodotti nuovi o sostanzialmente modificati. Il sistema di qualità deve essere aggiornato al fine di documentare correttamente il nuovo campo di applicazione, e potrebbe essere necessario applicare nuove norme o eseguire nuove prove. Tuttavia, questa estensione è soggetta a una nuova valutazione da parte dello stesso organismo notificato che ha eseguito la valutazione originale. In ogni caso, e come indicato sopra, il modulo H fornisce un quadro più versatile e flessibile rispetto al modulo B+C. Pertanto, l’inclusione di nuovi prodotti costituisce una maggiore semplificazione del processo, dal momento che l’organismo notificato dovrà solo valutare le eventuali nuove norme o prove applicabili ai nuovi prodotti.

La richiesta di normazione della Commissione (M/606) rivolta a CEN, CENELEC e ETSI prevede lo sviluppo di una serie di norme armonizzate per sostenere la conformità al CRA,

distinguere tra norme orizzontali (indipendenti dal prodotto) e norme verticali (specifiche per prodotto).

Le norme orizzontali sono destinate a fornire un quadro generico coerente, una metodologia e una tassonomia per sostenere lo sviluppo di ulteriori norme armonizzate verticali granulari per prodotti specifici o tipi di prodotto, nonché per sostenere i fabbricanti nella definizione e nell’attuazione dei requisiti di sicurezza applicabili ai rispettivi prodotti. La Commissione ha chiesto lo sviluppo di 15 norme orizzontali, che le organizzazioni europee di normalizzazione (ESO) hanno raggruppato in 3 filoni:

Una norma europea armonizzata sulla progettazione, lo sviluppo e la produzione di prodotti con elementi digitali in modo tale da garantire un adeguato livello di cybersicurezza basato sui rischi, da adottare dall’ESO entro il 30 agosto 2026;
Una norma europea armonizzata che riguarda i requisiti essenziali di cybersicurezza relativi alle proprietà dei prodotti con elementi digitali, come indicato nella parte I dell’allegato I, da adottare dall’ESO entro il 30 ottobre 2027;
Una norma europea armonizzata sulla gestione delle vulnerabilità per i prodotti con elementi digitali, da adottare dall’ESO entro il 30 agosto 2026.

Le norme verticali sono concepite per essere specifiche per prodotto e per coprire una serie specifica di rischi adeguati ad uno scopo specifico e ad un uso ragionevolmente prevedibile. La Commissione ha chiesto lo sviluppo di 26 norme verticali (che gli ESO stanno affrontando attraverso 31 risultati distinti) da adottare dall’ESO entro il 30 ottobre 2026. Le norme verticali in fase di sviluppo coprono le categorie di prodotti importanti e critici con elementi digitali definiti negli allegati III e IV del CRA.

Conformemente all’articolo 27, paragrafo 6, quando una norma europea armonizzata è adottata dall’ESO, la Commissione la valuta conformemente al regolamento (UE) n. 1025/2012 al fine di pubblicare il suo riferimento nella Gazzetta ufficiale dell’Unione europea.

Ai fini del rispetto del paragrafo 1, i fabbricanti esercitano la dovuta diligenza quando si integrano componenti provenienti da terzi in modo che tali componenti non compromettano la cybersicurezza del prodotto con elementi digitali, anche quando si integrano componenti di software libero e open source che non sono stati resi disponibili sul mercato nel corso di un’attività commerciale (articolo 13, paragrafo 5).

Immediatamente dopo il periodo transitorio per l’applicazione del presente regolamento, un fabbricante di un prodotto con elementi digitali che integra uno o più componenti provenienti da terzi che sono anche soggetti al presente regolamento potrebbe non essere in grado di verificare, nell’ambito del suo obbligo di dovuta diligenza, che i fabbricanti di tali componenti abbiano dimostrato la conformità al presente regolamento verificando, ad esempio, se i componenti hanno già la marcatura CE. Questo può essere il caso in cui i componenti sono stati integrati prima che il presente regolamento diventi applicabile ai fabbricanti di tali componenti. In tal caso, un fabbricante che integra tali componenti dovrebbe esercitare la dovuta diligenza attraverso altri mezzi (considerando 35).

Come spiegato nelle voci 4.4.1 Che cosa prescrive il CRA quando si integrano i componenti? e 4.4.3 Al fine di esercitare la dovuta diligenza, un fabbricante dovrebbe integrare solo componenti che recano la marcatura CE?, un fabbricante può integrare componenti che sono privi di marcatura CE, ma è necessario esercitare la dovuta diligenza per garantire che tali componenti non compromettano la cybersicurezza del suo prodotto con elementi digitali.

Durante il periodo di transizione prima dell’applicazione del CRA, i fabbricanti non saranno in grado di verificare se i componenti di terze parti sono conformi al CRA. Questo non impedisce ai fabbricanti di integrare tali componenti, e dovrebbero esercitare la dovuta diligenza attraverso altri mezzi (si veda anche la sezione 4.4.2 Qual è il livello appropriato di dovuta diligenza?).

Il CRA, spiegato
domanda per domanda.

Trova una risposta

Nessuna corrispondenza

Una guida per orientarsi.
Non un parere legale.

Attribuzione e riuso

Il CRA, spiegatodomanda per domanda.

Trova una risposta

1.1 Quando rientra nell’ambito di applicazione del regolamento sulla ciberresilienza un prodotto con elementi digitali? +

1.2 Che cos’è un prodotto con elementi digitali? Il software autonomo e il firmware sono prodotti con elementi digitali? +

1.3 Che cos’è una connessione dati logica o fisica, diretta o indiretta, a un dispositivo o a una rete? +

1.4 Il CRA si applica ai prodotti con elementi digitali immessi sul mercato prima dell’11 dicembre 2027? +

1.5 I prodotti fabbricati esclusivamente per uso proprio rientrano nell’ambito di applicazione del CRA? +

1.6 I fabbricanti possono rilasciare versioni non conformi di software per il test? +

1.7 I fabbricanti possono mantenere archivi software accessibili al pubblico? +

1.8 I prodotti destinati a essere utilizzati per finalità di sicurezza nazionale o di difesa sono esclusi dal CRA? +

1.9 Esistono prodotti con elementi digitali disciplinati da altre normative dell’Unione che sono esentati dal CRA? +

2.1.1 Regolamento (UE) 2018/1139 sulle regole comuni nel settore dell'aviazione civile I prodotti rientranti nell’ambito di applicazione del regolamento (UE) 2018/1139 sono anch’essi coperti dal CRA? +

2.2.1 Direttiva 2014/90/UE sull'equipaggiamento marittimo I prodotti rientranti nell’ambito di applicazione della direttiva (UE) 2014/90 sono anch’essi coperti dal CRA? +

2.3.1 Direttiva sulla responsabilità da prodotto difettoso (UE) 2024/2853 Qual è l’interazione tra il CRA e la Direttiva sulla responsabilità da prodotto difettoso? +

2.4.1 Regolamento macchine (regolamento (UE) 2023/1230) Qual è l’interazione tra il CRA e il Regolamento Macchine? +

2.4.2 Regolamento macchine (regolamento (UE) 2023/1230) Un prodotto deve soddisfare sia i requisiti di cybersicurezza del CRA sia quelli del Regolamento Macchine? +

2.4.3 Regolamento macchine (regolamento (UE) 2023/1230) Un fabbricante deve assicurare la valutazione della conformità di un prodotto secondo le procedure previste sia dal CRA sia dal Regolamento Macchine? +

2.5.1 Regolamento relativo alla sicurezza generale dei prodotti (UE) 2023/988 Qual è l’interazione tra il CRA e il Regolamento relativo alla sicurezza generale dei prodotti? +

2.5.2 Regolamento relativo alla sicurezza generale dei prodotti (UE) 2023/988 Un prodotto con elementi digitali deve rispettare sia i requisiti del CRA sia quelli del regolamento relativo alla sicurezza generale dei prodotti? +

2.6.1 Direttiva sulle apparecchiature radio 2014/53/UE e il Regolamento Delegato della Commissione (UE) 2022/30 Qual è l’interazione tra il CRA e la direttiva sulle apparecchiature radio? +

2.7.1 Regolamento sullo spazio europeo dei dati sanitari (regolamento (UE) 2025/327) Qual è l’interazione tra il CRA e il regolamento sullo spazio europeo dei dati sanitari? +

2.7.2 Regolamento sullo spazio europeo dei dati sanitari (regolamento (UE) 2025/327) Un prodotto deve soddisfare sia i requisiti del CRA sia quelli del regolamento sullo spazio europeo dei dati sanitari? +

2.7.3 Regolamento sullo spazio europeo dei dati sanitari (regolamento (UE) 2025/327) Un fabbricante deve assicurare la valutazione della conformità di un prodotto secondo le procedure previste sia dal CRA sia dal regolamento sullo spazio europeo dei dati sanitari? +

2.7.4 Regolamento sullo spazio europeo dei dati sanitari (regolamento (UE) 2025/327) Il fabbricante deve redigere dichiarazioni UE di conformità separate per ciascun atto legislativo dell’Unione? +

2.8.1 Regolamento generale sulla protezione dei dati (regolamento (UE) 2016/679) Qual è l’interazione tra il CRA e il Regolamento generale sulla protezione dei dati? +

2.9.1 Regolamento sui dati (regolamento (UE) 2023/2854) Qual è l’interazione tra il CRA e il Regolamento sui dati? +

2.9.2 Regolamento sui dati (regolamento (UE) 2023/2854) In che modo i requisiti per i prodotti con elementi digitali ai sensi del CRA tengono conto degli obblighi di rendere disponibili i dati agli utenti o a terzi ai sensi del Regolamento sui dati? +

2.9.3 Regolamento sui dati (regolamento (UE) 2023/2854) Un fabbricante deve riprogettare i propri prodotti per soddisfare i requisiti del Regolamento sui dati e del CRA? +

3.1 Cosa determina se un prodotto con elementi digitali è un prodotto importante o critico? +

3.2 L’integrazione di un prodotto importante o critico con elementi digitali in un altro prodotto con elementi digitali rende questo prodotto importante o critico? +

3.3 La classificazione di un prodotto come importante o critico incide sulla valutazione dei rischi del fabbricante? +

3.4 La presenza di più funzioni esclude che un prodotto abbia la funzionalità principale di un prodotto importante o critico? +

4.1.1 Approccio basato sul rischio e valutazione dei rischi Che cosa prescrive il CRA per la valutazione dei rischi di cybersicurezza del fabbricante? +

4.1.2 Approccio basato sul rischio e valutazione dei rischi Il CRA impone una specifica metodologia di valutazione dei rischi? +

4.1.3 Approccio basato sul rischio e valutazione dei rischi Un fabbricante deve attuare tutti i requisiti essenziali? +

4.1.4 Approccio basato sul rischio e valutazione dei rischi Quali sono lo scopo previsto e l’uso ragionevolmente prevedibile, e come influiscono sulla valutazione dei rischi di cybersicurezza? +

4.1.5 Approccio basato sul rischio e valutazione dei rischi Qual è un uso improprio ragionevolmente prevedibile, e come influisce sulla valutazione dei rischi di cybersicurezza? +

4.1.6 Approccio basato sul rischio e valutazione dei rischi In che modo la durata prevista di utilizzo del prodotto incide sulla valutazione dei rischi di cybersicurezza del fabbricante? +

4.1.7 Approccio basato sul rischio e valutazione dei rischi Qual è il rapporto tra le norme armonizzate e la valutazione dei rischi di cybersicurezza del fabbricante? +

4.1.8 Approccio basato sul rischio e valutazione dei rischi Che cosa deve includere il fabbricante, riguardo alla valutazione dei rischi di cybersicurezza, nella documentazione tecnica da tenere a disposizione delle autorità di vigilanza del mercato? +

4.2.1 Requisiti essenziali legati al prodotto (allegato I, parte I) Quali misure tecniche deve adottare un fabbricante? +

4.2.2 Requisiti essenziali legati al prodotto (allegato I, parte I) Come può un fabbricante garantire che un prodotto sia privo di vulnerabilità sfruttabili note? +

4.2.3 Requisiti essenziali legati al prodotto (allegato I, parte I) Come devono i fabbricanti gestire le vulnerabilità sfruttabili note scoperte dopo l’immissione sul mercato di un prodotto ma prima che raggiunga l’utente finale? +

4.2.4 Requisiti essenziali legati al prodotto (allegato I, parte I) Come opera il requisito di configurazione sicura per impostazione predefinita? +

4.2.5 Requisiti essenziali legati al prodotto (allegato I, parte I) Quando un prodotto è considerato «su misura»? Quale documentazione è richiesta in tali casi? +

4.3.1 Obblighi di gestione delle vulnerabilità (allegato I, parte II) I fabbricanti devono correggere tutte le vulnerabilità scoperte durante il periodo di supporto? +

4.3.2 Obblighi di gestione delle vulnerabilità (allegato I, parte II) Il fabbricante deve affrontare e correggere le vulnerabilità di tutte le versioni di un prodotto software? +

4.3.3 Obblighi di gestione delle vulnerabilità (allegato I, parte II) Il fabbricante è responsabile dell’installazione degli aggiornamenti di sicurezza da parte degli utenti del prodotto? +

4.3.4 Obblighi di gestione delle vulnerabilità (allegato I, parte II) Il fabbricante deve richiamare il prodotto se non può risolvere una vulnerabilità? +

4.3.5 Obblighi di gestione delle vulnerabilità (allegato I, parte II) Come devono i fabbricanti separare gli aggiornamenti di sicurezza dagli aggiornamenti funzionali, in particolare quando un aggiornamento persegue entrambe le finalità? +

4.3.6 Obblighi di gestione delle vulnerabilità (allegato I, parte II) Come devono essere affrontate e corrette le vulnerabilità dei componenti integrati? +

4.3.7 Obblighi di gestione delle vulnerabilità (allegato I, parte II) In che modo la fine del periodo di supporto di un componente integrato incide sulla conformità del prodotto al CRA? +

4.4.1 Requisiti di dovuta diligenza per l'integrazione dei componenti Che cosa prescrive il CRA quando si integrano componenti? +

4.4.2 Requisiti di dovuta diligenza per l'integrazione dei componenti Qual è il livello appropriato di dovuta diligenza? +

4.4.3 Requisiti di dovuta diligenza per l'integrazione dei componenti Per esercitare la dovuta diligenza, un fabbricante deve integrare esclusivamente componenti recanti la marcatura CE? +

4.4.4 Requisiti di dovuta diligenza per l'integrazione dei componenti Come devono i fabbricanti esercitare la dovuta diligenza riguardo ai componenti open source non soggetti al CRA? +

4.5.1 Periodo di supporto Quali criteri deve considerare il fabbricante nel determinare il periodo di supporto di un prodotto? +

4.5.2 Periodo di supporto C’è un periodo di supporto minimo? +

4.5.3 Periodo di supporto Può un fabbricante continuare a vendere prodotti senza un periodo di supporto? +

5.1 Come può un fabbricante venire a conoscenza di una vulnerabilità sfruttata attivamente o di un incidente grave? +

5.2 Un fabbricante deve segnalare vulnerabilità zero-day? +

5.3 Un fabbricante deve segnalare vulnerabilità sfruttate attivamente o incidenti gravi relativi a prodotti immessi sul mercato prima dell’applicazione del CRA? +

5.4 Se un componente di terzi contiene una vulnerabilità sfruttata attivamente, tutti i fabbricanti che lo integrano devono notificarla? +

6.1 Cos’è il modulo A? Come funziona? Quali attività di valutazione della conformità sono previste per l’autovalutazione? +

6.2 Cos’è il modulo B+C? Come funziona? +

6.3 Cos’è il modulo H? Come funziona? +

6.4 I fabbricanti devono garantire la conformità dei tipi di prodotto esistenti? +

6.5 Quale metodologia di valutazione deve applicare un fabbricante? +

6.6 Qual è la documentazione tecnica? +

6.7 Cosa rappresenta la marcatura CE? +

6.8 Cosa rappresenta la dichiarazione di conformità? +

6.9 Quali sono gli organismi notificati? +

6.10 Quando saranno disponibili le norme armonizzate a supporto della conformità al CRA? +

7.1 Da quando sarà obbligatoria l’applicazione del CRA? +

7.2 Un fabbricante sviluppa un tipo di prodotto prima dell’applicazione del CRA. Può continuare a produrre prodotti identici a quel tipo dopo l’applicazione del CRA? +

7.3 Un fabbricante può immettere sul mercato prodotti con elementi digitali sviluppati durante il periodo di transizione che integrano componenti privi di marcatura CE? +

7.4 Un fabbricante può integrare componenti che sono prodotti importanti o critici con elementi digitali non conformi a norme armonizzate? +

7.5 I distributori devono rendere conformi i prodotti con elementi digitali immessi sul mercato prima dell’11 dicembre 2027? +

Nessuna corrispondenza

Una guida per orientarsi.Non un parere legale.

Il CRA, spiegato
domanda per domanda.

Una guida per orientarsi.
Non un parere legale.