Question 1

Quando rientra nell’ambito di applicazione del regolamento sulla ciberresilienza un prodotto con elementi digitali?

Accepted Answer

Il CRA si applica ai “prodotti con elementi digitali messi a disposizione sul mercato, il cui scopo previsto o uso ragionevolmente prevedibile comprende una connessione dati logica o fisica, diretta o indiretta, a un dispositivo o a una rete” (articolo 2, paragrafo 1), ad eccezione di prodotti con elementi digitali che sono esentati dal suo ambito, come indicato nell’articolo 2, paragrafi 2, 3 e 4. Tre elementi cumulativi aiutano a capire se un prodotto con elementi digitali è soggetto al CRA: Se soddisfa la definizione di un prodotto con elementi digitali (si veda anche la sezione 1.2: Che cosa è un prodotto con elementi digitali? Sono software stand-alone o prodotti firmware con elementi digitali?); Se è reso disponibile sul mercato; Se il suo scopo previsto o l’uso ragionevolmente prevedibile includono una connessione dati logica o fisica, diretta o indiretta a un dispositivo o rete (si vedano anche le sezioni 1.3 Che cosa è una connessione diretta o indiretta logica o fisica di dati a un dispositivo o una rete? e 4.1.4 Che cosa sono lo scopo previsto e l’uso ragionevolmente prevedibile, e come influiscono sulla valutazione dei rischi di cybersicurezza?). ↗ Copia link alla risposta

Question 2

Che cos’è un prodotto con elementi digitali? Il software autonomo e il firmware sono prodotti con elementi digitali?

Accepted Answer

Un prodotto con elementi digitali è definito come “un prodotto software o hardware e le sue soluzioni di trattamento remoto dei dati, inclusi componenti software o hardware che vengono immessi sul mercato separatamente” (articolo 3, paragrafo 1). Il trattamento remoto dei dati è definito come “elaborazione dei dati a una distanza per la quale il software è progettato e sviluppato dal fabbricante, o sotto la responsabilità del fabbricante, e la cui assenza impedirebbe al prodotto con elementi digitali di svolgere una delle sue funzioni” (articolo 3, paragrafo 2). Il software è definito come “la parte di un sistema di informazione elettronica che consiste di codice informatico” (articolo 3, paragrafo 4). L’hardware è definito come “un sistema informativo elettronico fisico, o parti di esso in grado di elaborare, memorizzare o trasmettere dati digitali” (articolo 3, paragrafo 5). Il sistema informativo elettronico è definito come “un sistema, tra cui apparecchiature elettriche o elettroniche, in grado di elaborare, memorizzare o trasmettere dati digitali” (articolo 3, paragrafo 7). Un prodotto con elementi digitali può assumere molte forme, ad esempio: software autonomo che può essere scaricato e installato su un dispositivo, ad esempio un’app mobile scaricabile tramite un app store o un programma che può essere scaricato tramite un sito web; Software destinato all’integrazione in un sistema di informazione elettronica, quando immessi separatamente sul mercato, ad esempio firmware o software destinati ad essere incorporati in dispositivi hardware; Software che viene messo sul mercato insieme a un prodotto hardware, sia precaricato sull’hardware o meno, ad esempio i driver che sono necessari per una stampante per funzionare correttamente, il sistema operativo in un computer portatile, o gli strumenti utilizzati per progettare e programmare FPGAs; Vari tipi di hardware, come più componenti fondamentali (ad es. circuiti integrati, schede madri; sensori); dispositivi di consumo (ad esempio smartphone, laptop, frigoriferi intelligenti); dispositivi complessi (ad esempio dispositivi IoT industriali, macchinari). Un prodotto con elementi digitali comprende anche le sue soluzioni di trattamento remoto dei dati. Come indicato nel considerando 12, i siti web che non supportano la funzionalità di un prodotto con elementi digitali non sono essi stessi prodotti con elementi digitali. I siti web che supportano la funzionalità di un prodotto con elementi digitali possono rientrare nell’ambito di applicazione del CRA nella misura in cui soddisfano la definizione del trattamento remoto dei dati (articolo 3, paragrafo 2). Allo stesso modo, i servizi, come Software-as-a-Service (SaaS) autonomi (SaaS) o altre soluzioni cloud progettate e sviluppate al di fuori della responsabilità di un fabbricante di un prodotto con elementi digitali non sono essi stessi prodotti con elementi digitali. Se, d’altra parte, tali servizi soddisfano la definizione del trattamento remoto dei dati, rientrano nell’ambito di applicazione del CRA. Il concetto di trattamento remoto dei dati sarà parte di una guida apposita. ↗ Copia link alla risposta

Question 3

Che cos’è una connessione dati logica o fisica, diretta o indiretta, a un dispositivo o a una rete?

Accepted Answer

Una connessione fisica è definita come “una connessione tra sistemi informativi elettronici o componenti implementati con mezzi fisici, anche attraverso interfacce elettriche, ottiche o meccaniche, fili o onde radio” (articolo 3, paragrafo 9). Una connessione logica è definita come “una rappresentazione virtuale di una connessione dati implementata attraverso un’interfaccia software” (articolo 3, paragrafo 8). Una connessione indiretta è definita come “una connessione a un dispositivo o a una rete, che non avviene direttamente ma piuttosto come parte di un sistema più grande che è direttamente collegabile a tale dispositivo o rete” (articolo 3, paragrafo 10). In determinate condizioni, tutti i prodotti con elementi digitali integrati o collegati a un sistema di informazione elettronica più ampio possono servire come vettore di attacco per attori dannosi. Di conseguenza, anche l’hardware e il software considerati meno critici possono facilitare il compromesso iniziale di un dispositivo o di una rete, consentendo agli soggetti malintenzionati di ottenere l’accesso privilegiato a un sistema o di muoversi lateralmente attraverso i sistemi. I fabbricanti devono quindi garantire che tutti i prodotti con elementi digitali siano progettati e sviluppati in conformità con i requisiti essenziali di cybersicurezza stabiliti nel presente regolamento. Tale obbligo si riferisce a entrambi i prodotti che possono essere collegati fisicamente tramite interfacce hardware e prodotti che sono collegati logicamente, come tramite socket di rete, pipe, file, interfacce di programmazione delle applicazioni o qualsiasi altro tipo di interfaccia software. Poiché le minacce informatiche possono propagarsi attraverso vari prodotti con elementi digitali prima di raggiungere un determinato obiettivo, ad esempio concatenando più exploit di vulnerabilità, i fabbricanti dovrebbero anche garantire la cybersicurezza dei prodotti con elementi digitali che sono solo indirettamente collegati ad altri dispositivi o reti (considerando 9). Una connessione fisica può essere diretta, ad esempio, quando un prodotto con elementi digitali si collega tramite un cavo USB (ad esempio una stampante che collega un computer portatile); tramite un cavo Ethernet (ad esempio un PC che si collega a un router); tramite un cavo in fibra ottica (ad esempio un router in fibra ottica che collega la rete del fornitore di servizi Internet) o un cavo di rame (ad esempio un fieldbus industriale come il controller di programmazione di un sensore). come tramite Wi-Fi (ad esempio un terminale punto di vendita (POS) che si collega alla rete di un negozio), Bluetooth (ad esempio un auricolare Bluetooth che si collega a uno smartphone), tecnologia di comunicazione vicino al campo (ad esempio una serratura porta che collega un tag NFC). Una connessione logica può essere diretta, ad esempio, quando un prodotto con elementi digitali avvia o gestisce la comunicazione con altri dispositivi o reti (ad esempio un browser che stabilisce una sessione HTTPS per accedere a un sito web, o un client di posta elettronica che avvia uno scambio IMAP o SMTP); o può essere indiretto, quando un prodotto con elementi digitali non avvia la comunicazione, ma funziona su un sistema host che lo fa (ad esempio un editor di testo offline o un calcolatore digitale). I prodotti con elementi digitali possono avere simultaneamente più di una forma di connessione dati ad altri dispositivi o reti. D’altra parte, un prodotto con elementi digitali non ha una connessione dati diretta o indiretta quando il suo scopo previsto o l’uso ragionevolmente prevedibile non includono tale connessione ad altri dispositivi o reti. Alcuni esempi di prodotti che non rientrano nell’ambito di applicazione del CRA includono: una lavastoviglie con firmware incorporato che controlla i cicli di lavastoviglie, ma con nessuna capacità di connessione ad altri dispositivi o reti; una calcolatrice di base con firmware incorporato che esegue operazioni aritmetiche, ma senza possibilità di connessione ad altri dispositivi o reti; un giocattolo elettronico con firmware incorporato che suona luce e suono pre-registrati effetti, ma senza alcuna capacità di connettersi ad altri dispositivi o reti; una macchina da caffè con firmware incorporato che imposta tempi di produzione o resistenza al caffè tramite un pannello di controllo, ma senza possibilità di connettersi ad altri dispositivi o reti uno spazzolino elettrico con una stazione di ricarica wireless, ma senza possibilità di connettersi ad altri dispositivi o reti. Nota: Il firmware di cui a questi esempi può tuttavia rientrare nell’ambito di applicazione del CRA quando immesso sul mercato separatamente. ↗ Copia link alla risposta

Question 4

Il CRA si applica ai prodotti con elementi digitali immessi sul mercato prima dell’11 dicembre 2027?

Accepted Answer

“I prodotti con elementi digitali che sono stati immessi sul mercato prima dell’11 dicembre 2027 sono soggetti ai requisiti del CRA solo se, da tale data, sono soggetti ad una modifica sostanziale” (articolo 69, paragrafo 2). «In deroga, gli obblighi di cui all’articolo 14 si applicano a tutti i prodotti con elementi digitali che rientrano nell’ambito di applicazione del presente regolamento, anche se immessi sul mercato prima dell’11 dicembre 2027» (articolo 69, paragrafo 3). Il CRA si applica ai prodotti immessi sul mercato prima dell’11 dicembre 2027 solo se questi prodotti sono sostanzialmente modificati dopo tale data. Si veda anche 7.1 Quando inizia l’applicazione del CRA? Un fabbricante mette sul mercato una smart TV a metà 2027. Il fabbricante non è tenuto a rispettare il CRA per questo prodotto con elementi digitali. Nel 2028, rilascia un aggiornamento software, che non si qualifica come una modifica sostanziale, per correggere un bug che causa l’arresto anomalo delle applicazioni in esecuzione sulla TV dopo un certo periodo di utilizzo. Il fabbricante non è tenuto a portare la smart TV in conformità con il CRA, poiché l’aggiornamento non costituisce una modifica sostanziale. Nel 2029, il fabbricante rilascia un aggiornamento software che si qualifica come una modifica sostanziale, ad esempio perché modifica le funzioni originali progettate, consentendo alla smart TV di controllare i sistemi domotici. In tal caso, il fabbricante è tenuto a portare la smart TV in conformità con il CRA. Si veda anche 7.2 Un fabbricante sviluppa un tipo di prodotto prima dell’applicazione del CRA. Può continuare a produrre prodotti identici a quel tipo dopo l’applicazione del CRA? Tuttavia, una deroga a questa regola generale si applica agli obblighi di segnalazione di cui all’articolo 14. I fabbricanti sono tenuti a notificare le vulnerabilità sfruttate attivamente e gli incidenti gravi che hanno un impatto sulla sicurezza del prodotto con elementi digitali per tutti i prodotti con elementi digitali che rientrano nell’ambito di applicazione del CRA, compresi i prodotti che sono stati immessi sul mercato prima dell’11 dicembre 2027 (articolo 69, paragrafo 3). Per ulteriori informazioni, si veda la sezione 5.3 Un fabbricante deve segnalare vulnerabilità attivamente sfruttate o gravi incidenti per i prodotti immessi sul mercato prima che il CRA si applichi? ↗ Copia link alla risposta

Question 5

I prodotti fabbricati esclusivamente per uso proprio rientrano nell’ambito di applicazione del CRA?

Accepted Answer

Si considera che l’immissione sul mercato non ha luogo quando un prodotto è fabbricato per il proprio uso (La “Guida Blu” sull’attuazione delle norme UE sui prodotti 2022, sezione 2.3). Il CRA si applica quando un prodotto con elementi digitali viene immesso sul mercato (e le successive messe a disposizione di tale prodotto). La Guida Blu sull’attuazione delle norme europee sui prodotti 2022 (di seguito «Guida Blu») chiarisce che l’immissione sul mercato non è considerata effettuata quando un prodotto è fabbricato per il proprio uso. Ad esempio, gli strumenti di sviluppo e di configurazione sviluppati dal fabbricante di un prodotto con elementi digitali per il proprio uso non sono nell’ambito del CRA, a meno che non siano immessi sul mercato come prodotti separati. Note: • «Guida Blu» sull’attuazione delle norme europee sui prodotti 2022 (2022/C 247/01), https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ:C:2022:247:FULL • Questo non è il caso in cui la legislazione sull’armonizzazione dell’Unione copra i prodotti fabbricati per uso proprio nel suo ambito. Il CRA, tuttavia, non copre i prodotti fabbricati per uso proprio nel suo ambito. ↗ Copia link alla risposta

Question 6

I fabbricanti possono rilasciare versioni non conformi di software per il test?

Accepted Answer

“Gli Stati membri non impediscono la messa a disposizione sul mercato di software incompiuto che non sia conforme al presente regolamento, a condizione che il software sia reso disponibile solo per un periodo limitato richiesto a fini di collaudo con un’indicazione visibile che segnala chiaramente che non è conforme al presente regolamento e che non sarà disponibile sul mercato per scopi diversi dai test” (articolo 4, paragrafo 3). I fabbricanti possono rilasciare software non conformi a fini di collaudo, come le versioni alfa, le versioni beta o le versioni release candidate, a condizione che tale software sia reso disponibile solo per il tempo necessario per testarlo e raccogliere feedback e che sia accompagnato da un’indicazione visibile che segnala la sua non conformità. Il considerando 37 del CRA precisa inoltre che «i fabbricanti devono garantire che il software messo a disposizione in tali condizioni venga rilasciato solo a seguito di una valutazione del rischio e che sia conforme ai requisiti di sicurezza relativi alle proprietà dei prodotti con elementi digitali stabiliti dal regolamento. I fabbricanti dovrebbero anche implementare i requisiti di gestione della vulnerabilità nella misura possibile. I fabbricanti non dovrebbero costringere gli utenti a aggiornare alle versioni rilasciate solo per scopi di test». ↗ Copia link alla risposta

Question 7

I fabbricanti possono mantenere archivi software accessibili al pubblico?

Accepted Answer

“I fabbricanti possono mantenere gli archivi del software pubblico che migliorano l’accesso dell’utente alle versioni storiche. In tali casi, gli utenti sono chiaramente informati in modo facilmente accessibile sui rischi associati all’utilizzo di software non supportato» (articolo 13, paragrafo 11). I fabbricanti sono autorizzati a mantenere archivi di software pubblici per le versioni storiche dei loro prodotti con elementi digitali che non sono più resi disponibili sul mercato. Gli utenti dovrebbero essere chiaramente informati dei rischi che possono derivare dall’utilizzo di software che non è più supportato. ↗ Copia link alla risposta

Question 8

I prodotti destinati a essere utilizzati per finalità di sicurezza nazionale o di difesa sono esclusi dal CRA?

Accepted Answer

Il CRA “non si applica ai prodotti con elementi digitali sviluppati o modificati esclusivamente a fini di sicurezza o di difesa nazionale o ai prodotti specificamente progettati per elaborare informazioni classificate” (articolo 2.7). Se un prodotto con elementi digitali non è specificamente ed esclusivamente sviluppato o modificato per scopi di sicurezza o di difesa nazionale, o non specificamente progettato per elaborare informazioni classificate, rientra nell’ambito di applicazione del CRA. I cosiddetti prodotti “dual-use” che hanno applicazioni civili e di difesa sono quindi soggetti al CRA quando messi a disposizione sul mercato, a meno che non siano modificati esclusivamente per scopi di sicurezza o di difesa nazionali. Gli Stati membri possono sottoporre prodotti con elementi digitali che rientrano nel campo d’applicazione del CRA ad ulteriori requisiti di cybersicurezza per il loro approvvigionamento o uso a fini specifici, a condizione che tali requisiti siano coerenti con gli obblighi degli Stati membri stabiliti dal diritto dell’Unione e che siano necessari e proporzionati per il raggiungimento di tali scopi, come previsto dall’articolo 5, paragrafo 1. ↗ Copia link alla risposta

Question 9

Esistono prodotti con elementi digitali disciplinati da altre normative dell’Unione che sono esentati dal CRA?

Accepted Answer

Il CRA non si applica ai prodotti con elementi digitali: a cui si applicano il regolamento (UE) 2017/745 sui dispositivi medici e il regolamento (UE) 2017/746 relativo ai dispositivi medico-diagnostici in vitro; a cui si applica il regolamento (UE) 2019/2144 sui requisiti di omologazione per veicoli a motore e i loro rimorchi e sistemi, componenti e unità tecniche separate destinate a tali veicoli, per quanto riguarda la loro sicurezza generale e la protezione degli occupanti dei veicoli e degli utenti stradali vulnerabili; certificati conformemente al regolamento (UE) 2018/1139 recante norme comuni nel settore dell’aviazione civile e che istituisce un’Agenzia dell’Unione europea per la sicurezza aerea; cfr. anche la sezione 2.1 Regolamento (UE) 2018/1139 sulle norme comuni nel settore dell’aviazione civile. Il CRA non si applica neppure alle attrezzature che rientrano nell’ambito di applicazione della direttiva 2014/90/UE sull’equipaggiamento marittimo; si veda anche la sezione 2.2 Direttiva 2014/90/UE sull’equipaggiamento marittimo. Il regolamento delegato (UE) 2025/1535 esclude inoltre dall’applicazione del CRA i prodotti con elementi digitali che rientrano nell’ambito di applicazione del regolamento (UE) n. 168/2013 relativo all’omologazione e alla vigilanza del mercato dei veicoli a motore a due o tre ruote e dei quadricicli, ad eccezione dei veicoli della categoria L1e progettati per essere azionati a pedali. ↗ Copia link alla risposta

Question 10

I prodotti rientranti nell’ambito di applicazione del regolamento (UE) 2018/1139 sono anch’essi coperti dal CRA?

Accepted Answer

Sia il CRA che il Regolamento (UE) 2018/1139 (noto anche come “regolamento di base EASA”) stabiliscono regole per l’immissione sul mercato dei prodotti. Il CRA si applica ai prodotti con elementi digitali, mentre il Regolamento di base EASA si applica ai prodotti, alle parti e alle attrezzature aeronautiche (compreso il software). Il Regolamento di base EASA stabilisce i requisiti essenziali, compresi quelli per la protezione contro le minacce alla sicurezza delle informazioni, e impone la certificazione EASA degli aeromobili civili e dei relativi prodotti in conformità al Regolamento di esecuzione (UE) 748/2012, parte 21. Dal 2020, l’Agenzia europea per la sicurezza dell’aviazione (EASA) ha esplicitamente integrato gli aspetti della sicurezza dell’informazione nelle sue regole di certificazione modificando diverse specifiche di certificazione ed emettendo nuove indicazioni. Su tale base, l’articolo 2, paragrafo 3 del CRA esenta i prodotti certificati ai sensi del regolamento (UE) 2018/1139 dalla sua applicabilità. Tuttavia, i prodotti che rientrano nell’ambito di applicazione del regolamento (UE) 2018/1139 ma che non sono certificati secondo tale regolamento, come i droni nella categoria aperta (la maggior parte delle attività di droni per il tempo libero e le attività commerciali a basso rischio), possono rientrare nell’ambito di applicazione del CRA (se sono prodotti con elementi digitali e sono messi a disposizione sul mercato). Inoltre, quando i componenti sono destinati all’integrazione in prodotti certificati ai sensi del Regolamento (UE) 2018/1139 ma tali componenti non sono certificati ai sensi del Regolamento, tali componenti possono rientrare nell’ambito di applicazione del CRA (se sono prodotti con elementi digitali e resi disponibili sul mercato). ↗ Copia link alla risposta

Question 11

I prodotti rientranti nell’ambito di applicazione della direttiva (UE) 2014/90 sono anch’essi coperti dal CRA?

Accepted Answer

Il CRA e la direttiva 2014/90/UE stabiliscono entrambi norme per la messa a disposizione sul mercato di determinati prodotti: rispettivamente, i prodotti con elementi digitali e l’equipaggiamento marittimo. Secondo l’articolo 2, paragrafo 4, il CRA non si applica alle attrezzature che rientrano nel campo di applicazione della direttiva (UE) 2014/90. Le attrezzature che rientrano nel campo di applicazione della direttiva (UE) 2014/90 sono elencate nell’allegato del regolamento di esecuzione della Commissione (UE) 2025/1533 per quanto riguarda i requisiti di progettazione, costruzione e prestazioni e le norme di prova per l’equipaggiamento marittimo. Tuttavia, quando i componenti sono destinati all’integrazione in attrezzature nell’ambito della direttiva (UE) 2014/90 ma tali componenti non rientrano nell’ambito di applicazione di tale direttiva, tali componenti possono rientrare nell’ambito di applicazione del CRA (se sono prodotti con elementi digitali e resi disponibili sul mercato). ↗ Copia link alla risposta

Question 12

Qual è l’interazione tra il CRA e la Direttiva sulla responsabilità da prodotto difettoso?

Accepted Answer

Il CRA e la Direttiva sulla responsabilità da prodotto difettoso (PLD) sono di natura diversa e, mentre si completano l’un l’altro, non vi è sovrapposizione giuridica. Il PLD definisce le regole di responsabilità per i prodotti difettosi in modo che le persone infortunate possano richiedere un risarcimento quando un danno è stato causato da prodotti difettosi. Stabilisce il principio che il fabbricante di un prodotto è responsabile per i danni causati da un difetto nel proprio prodotto indipendentemente da colpa o negligenza (responsabilità oggettiva). La difettosità del prodotto è valutata in base al fatto che il prodotto ha fornito la sicurezza che si può aspettare, o che è richiesto in base al diritto dell’Unione o nazionale. La difettività deve essere valutata tenendo conto di tutte le circostanze, compresi i requisiti di cybersicurezza. Ad esempio, il CRA prevede obblighi specifici per i fabbricanti per quanto riguarda gli aggiornamenti di sicurezza per i prodotti con elementi digitali (allegato I). Sebbene il PLD non imponga alcun obbligo sostanziale per i fabbricanti di aggiornare o migliorare il prodotto, ai sensi della PLD il fabbricante rimane responsabile per eventuali difetti introdotti attraverso un aggiornamento o l’aggiornamento del prodotto dopo che è stato messo sul mercato. oppure per eventuali difetti che sorgono dopo che il prodotto è stato immesso sul mercato a causa della mancanza di un aggiornamento o aggiornamento. ↗ Copia link alla risposta

Question 13

Qual è l’interazione tra il CRA e il Regolamento Macchine?

Accepted Answer

I fabbricanti di prodotti che rientrano nel campo di applicazione del regolamento (UE) 2023/1230 del Parlamento europeo e del Consiglio che sono anche prodotti con elementi digitali definiti nel presente regolamento devono rispettare sia i requisiti essenziali di cybersicurezza di cui al presente regolamento sia i requisiti essenziali di salute e sicurezza di cui al regolamento (UE) 2023/1230. I requisiti essenziali di cybersicurezza di cui al presente regolamento e alcuni requisiti essenziali di cui al regolamento (UE) 2023/1230 possono riguardare rischi di cybersicurezza analoghi. Pertanto, il rispetto dei requisiti essenziali di cybersicurezza di cui al presente regolamento potrebbe facilitare il rispetto dei requisiti essenziali che coprono anche alcuni rischi di cybersicurezza come indicato nel regolamento (UE) 2023/1230, e in particolare quelli relativi alla protezione contro l’alterazione e la sicurezza e l’affidabilità dei sistemi di controllo di cui alle sezioni 1.1.9 e 1.2.1 dell’allegato III di tale regolamento. Tali sinergie devono essere dimostrate dal fabbricante, ad esempio applicando, se disponibili, norme armonizzate o altre specifiche tecniche che coprono i requisiti essenziali di cybersicurezza rilevanti a seguito di una valutazione dei rischi che comprenda tali rischi di cybersicurezza. Il fabbricante deve inoltre seguire le procedure applicabili di valutazione della conformità di cui al presente regolamento e al regolamento (UE) 2023/1230. La Commissione e le organizzazioni europee di normalizzazione, nei lavori preparatori a sostegno dell’applicazione del presente regolamento e del regolamento (UE) 2023/1230 e dei relativi processi di normazione, dovrebbero promuovere la coerenza nel modo in cui i rischi di cybersicurezza devono essere valutati e nel modo in cui tali rischi devono essere coperti da norme armonizzate in materia di requisiti essenziali pertinenti. In particolare, la Commissione e le organizzazioni europee di normalizzazione dovrebbero tener conto del presente regolamento nella preparazione e nello sviluppo di norme armonizzate per facilitare l’applicazione del regolamento (UE) 2023/1230 per quanto riguarda in particolare gli aspetti della cybersicurezza relativi alla protezione contro l’alterazione e la sicurezza e l’affidabilità dei sistemi di controllo di cui alle sezioni 1.1.9 e 1.2.1 dell’allegato III del presente regolamento. La Commissione dovrebbe fornire indicazioni per sostenere i fabbricanti soggetti al presente regolamento che sono anche soggetti al regolamento (UE) 2023/1230, in particolare per facilitare la dimostrazione del rispetto dei requisiti essenziali pertinenti previsti dal CRA e dal regolamento (UE) 2023/1230 (considerando 53 del CRA). Il regolamento macchine (di seguito «MR») si applica dal 20 gennaio 2027. Esso precisa, nel suo allegato III, i requisiti essenziali per la salute e la sicurezza, affrontando anche i rischi per la cybersicurezza che possono avere un impatto sulla sicurezza. Sia il CRA sia il MR stabiliscono norme per la messa a disposizione sul mercato di determinati prodotti. Mentre il CRA copre prodotti con elementi digitali, il MR riguarda le macchine e i prodotti correlati, soggetti a determinate eccezioni. Il CRA definisce i requisiti essenziali di cybersicurezza per i prodotti con elementi digitali nell’allegato I. Il MR si prefigge per i macchinari e i relativi prodotti, nel suo allegato III, requisiti essenziali per la salute e la sicurezza, affrontando anche i rischi per la cybersicurezza che possono avere un impatto sulla sicurezza (cioè. Allegato III, sezioni 1.1.9 e 1.2.1). Un prodotto può essere un prodotto con elementi digitali ai sensi del CRA, nonché macchinari o prodotti correlati ai sensi del MR, allo stesso tempo. In questi casi, può esserci un’interazione, come descritto nel considerando 53 del CRA, tra il CRA e il MR per quanto riguarda i requisiti di cybersicurezza, come accennato in precedenza, e le procedure di valutazione della conformità, come previste rispettivamente dal CRA e dal MR. Ad esempio: un certo tipo di macchinari ai sensi del MR che può essere utilizzato per esempio per le verdure di pacchetto per i supermercati, può contenere hardware e software per garantire il suo funzionamento. In questo senso, i macchinari per l’imballaggio alimentare possono anche essere un prodotto con elementi digitali ai sensi del CRA. ↗ Copia link alla risposta

Question 14

Un prodotto deve soddisfare sia i requisiti di cybersicurezza del CRA sia quelli del Regolamento Macchine?

Accepted Answer

Un prodotto con elementi digitali ai sensi del CRA può essere anche un macchinario o un prodotto correlato, ai sensi del MR, allo stesso tempo. In tali casi, tale prodotto dovrà rispettare i requisiti di cybersicurezza del CRA così come quelli del MR. I requisiti di cybersicurezza stabiliti nel CRA e nel MR sono di tale natura che il rispetto dei requisiti di cybersicurezza di uno solo dei Regolamenti non può essere considerato automaticamente anche pienamente soddisfare quelli dell’altro Regolamento. Tuttavia, poiché i requisiti di cybersicurezza stabiliti nel CRA e nel MR possono per alcuni aspetti affrontare rischi simili, il rispetto del CRA potrebbe facilitare il rispetto dei requisiti stabiliti nel MR. Tuttavia, i fabbricanti di prodotti che rientrano nell’ambito di applicazione del CRA e del MR dovranno dimostrare tali potenziali sinergie sulla base di una valutazione del rischio e, ad esempio, affidandosi, se disponibile, a norme armonizzate o ad altre specifiche tecniche pertinenti. ↗ Copia link alla risposta

Question 15

Un fabbricante deve assicurare la valutazione della conformità di un prodotto secondo le procedure previste sia dal CRA sia dal Regolamento Macchine?

Accepted Answer

Sia il CRA sia il MR prevedono procedure di valutazione della conformità per i prodotti pertinenti con elementi digitali (nell’articolo 32 del CRA) e macchine e prodotti correlati (nell’articolo 25 del MR). Per un prodotto con elementi digitali, ai sensi del CRA, che è anche una macchina o un prodotto correlato, ai sensi del MR, i fabbricanti dovranno garantire la valutazione della conformità attraverso le procedure indicate individualmente sia nel CRA sia nel MR. Le procedure di valutazione della conformità previste dal CRA e dal MR sono tali che la valutazione della conformità effettuata secondo la procedura prevista da uno dei due atti non può essere automaticamente considerata sufficiente anche per soddisfare la procedura prevista dall’altro atto (cfr. anche il considerando 53 del CRA). ↗ Copia link alla risposta

Question 16

Qual è l’interazione tra il CRA e il Regolamento relativo alla sicurezza generale dei prodotti?

Accepted Answer

Il CRA e il Regolamento relativo alla sicurezza generale dei prodotti (di seguito «GPSR») stabiliscono entrambi norme per la messa a disposizione sul mercato dei prodotti, ma hanno una diversa portata in termini di prodotti e aspetti a cui si applicano e i requisiti che essi stabiliscono. In termini di prodotti nell’ambito dei regolamenti, mentre il CRA si applica solo ai prodotti con elementi digitali, il GPSR si applica a tutti i prodotti di consumo nella misura in cui non vi siano disposizioni specifiche con lo stesso obiettivo previsto dal diritto dell’Unione che regolano la sicurezza dei prodotti interessati. In termini di requisiti stabiliti dai regolamenti, il CRA prevede requisiti di cybersicurezza, mentre il GPSR fornisce requisiti di sicurezza per i prodotti. ↗ Copia link alla risposta

Question 17

Un prodotto con elementi digitali deve rispettare sia i requisiti del CRA sia quelli del regolamento relativo alla sicurezza generale dei prodotti?

Accepted Answer

Un prodotto con elementi digitali potrebbe dover soddisfare sia i requisiti del CRA che del GPSR. Quando un prodotto con elementi digitali pone anche altri rischi al di là dei rischi di cybersicurezza che sono coperti dal CRA, tali altri rischi possono essere regolati da altre leggi UE come il GPSR. Fintanto che non esiste una regolamentazione specifica del prodotto che regola gli altri rischi del prodotto con elementi digitali in questione, il GPSR si applica agli aspetti di sicurezza di tali rischi (articolo 11 CRA). ↗ Copia link alla risposta

Question 18

Qual è l’interazione tra il CRA e la direttiva sulle apparecchiature radio?

Accepted Answer

Il CRA si applica alle categorie di apparecchiature radio rientranti nell’ambito di applicazione del regolamento delegato (UE) 2022/30, adottato ai sensi della direttiva 2014/53/UE sulle apparecchiature radio (di seguito «regolamento delegato RED»). Il CRA copre i requisiti essenziali della RED sulla cybersicurezza, che sono stati resi applicabili tramite il regolamento delegato RED a decorrere dal 1° agosto 2025 e si applicano alle categorie di apparecchiature radio coperte dal regolamento delegato RED se immesse sul mercato o dopo il 1° agosto 2025. Le norme tecniche sono state richieste ai fini del regolamento delegato RED e sono citate nella Gazzetta ufficiale dell’Unione europea, a sostegno dei corrispondenti requisiti essenziali della RED (serie EN 18031). Per garantire la chiarezza giuridica, la Commissione mira ad abrogare il regolamento delegato RED a decorrere dall’11 dicembre 2027. In tal caso, le categorie di apparecchiature radio specificate nel regolamento delegato RED, se immesse sul mercato tra il 1° agosto 2025 e il 10 dicembre 2027, saranno soggette ai requisiti essenziali della RED sulla cybersicurezza, che sono stati resi applicabili tramite il regolamento delegato RED. Al contrario, se questi prodotti sono immessi sul mercato l’11 dicembre 2027, o più tardi, una volta che il CRA diventa applicabile, tali prodotti saranno soggetti ai requisiti essenziali del CRA. L’abrogazione del regolamento delegato RED, con effetto dall’11 dicembre 2027, non influenzerà la sorveglianza e il controllo del mercato dell’Unione, ai sensi della Direttiva sulle apparecchiature radio 2014/53/UE, della conformità delle apparecchiature radio ai requisiti essenziali del RED sulla cybersicurezza, se tale apparecchio radio è stato o è immesso sul mercato UE tra il 1° agosto 2025 e il 10 dicembre 2027, ed è stato soggetto a tali requisiti essenziali. ↗ Copia link alla risposta

Question 19

Qual è l’interazione tra il CRA e il regolamento sullo spazio europeo dei dati sanitari?

Accepted Answer

Il CRA e il regolamento sullo spazio europeo dei dati sanitari (EHDS) stabiliscono entrambi norme per la messa a disposizione sul mercato dei prodotti: il CRA prevede requisiti essenziali di cybersicurezza per i prodotti con elementi digitali, mentre il Regolamento EHDS fornisce, tra l’altro, requisiti essenziali, tra cui requisiti di interoperabilità e registrazione, e ulteriori obblighi da rispettare per i sistemi di cartelle cliniche elettroniche (EHR). Un prodotto può essere un prodotto con un elemento digitale ai sensi del CRA e un sistema EHR ai sensi del Regolamento EHDS allo stesso tempo. Un computer o un software che è stato commercializzato e acquistato da un ospedale progettato per memorizzare e visualizzare i riassunti dei pazienti durante la fornitura di servizi sanitari potrebbe essere un prodotto con elementi digitali ai sensi del CRA che è anche un sistema EHR, ai sensi del Regolamento EHDS. ↗ Copia link alla risposta

Question 20

Un prodotto deve soddisfare sia i requisiti del CRA sia quelli del regolamento sullo spazio europeo dei dati sanitari?

Accepted Answer

Un prodotto può essere un prodotto con elementi digitali ai sensi del CRA e un sistema EHR ai sensi del Regolamento EHDS allo stesso tempo. In tali casi, un prodotto dovrà rispettare i requisiti stabiliti sia nel CRA sia nel regolamento EHDS (considerando 112 del regolamento EHDS). I requisiti di cybersicurezza stabiliti nel CRA e nel Regolamento EHDS sono di natura tale che il rispetto dei requisiti del CRA o del Regolamento EHDS da solo non soddisferà pienamente quelli dell’altro Regolamento. Tuttavia, l’articolo 13, paragrafo 4, del CRA prevede che per i prodotti con elementi digitali che sono anche sistemi EHR, la valutazione dei rischi di cybersicurezza richiesta dal CRA può essere parte della valutazione del rischio richiesta dal Regolamento EHDS. ↗ Copia link alla risposta

Question 21

Un fabbricante deve assicurare la valutazione della conformità di un prodotto secondo le procedure previste sia dal CRA sia dal regolamento sullo spazio europeo dei dati sanitari?

Accepted Answer

Sia il CRA sia il regolamento EHDS prevedono procedure di valutazione della conformità per i prodotti pertinenti. Nel caso del CRA ciò si applica ai prodotti con elementi digitali, mentre nel quadro del Regolamento EHDS si applica ai componenti software armonizzati dei sistemi EHR (come definito dall’articolo 25, paragrafo 1, del Regolamento EHDS). Tuttavia, questo non significa che i fabbricanti devono garantire la valutazione della conformità della cybersicurezza di un prodotto attraverso le procedure previste dal CRA e dal regolamento EHDS nei casi in cui un prodotto è un prodotto con elementi digitali ai sensi del CRA e EHR ai sensi del Regolamento EHDS allo stesso tempo. L’articolo 32, paragrafo 5 bis, del CRA, introdotto dal regolamento EHDS, prevede che in tali casi la procedura di valutazione della conformità del regolamento EHDS dovrebbe applicarsi invece della procedura del CRA. ↗ Copia link alla risposta

Question 22

Il fabbricante deve redigere dichiarazioni UE di conformità separate per ciascun atto legislativo dell’Unione?

Accepted Answer

Per quanto riguarda l’elaborazione della dichiarazione di conformità dell’UE da parte del fabbricante, l’articolo 39, paragrafo 2, del regolamento EHDS prevede una sola dichiarazione di conformità dell’UE da redigere nei confronti di tutti gli atti giuridici dell’Unione applicabili al sistema EHR. Tale dichiarazione di conformità dell’UE contiene tutte le informazioni necessarie per l’identificazione degli atti giuridici dell’Unione ai quali si riferisce. Il CRA prevede la medesima soluzione per i prodotti con elementi digitali all’articolo 28, paragrafo 3. ↗ Copia link alla risposta

Question 23

Qual è l’interazione tra il CRA e il Regolamento generale sulla protezione dei dati?

Accepted Answer

Il CRA e il Regolamento generale sulla protezione dei dati (di seguito «GDPR») sono di natura diversa e non vi è sovrapposizione giuridica. Il CRA stabilisce gli obblighi per gli operatori economici che rendono disponibili prodotti con elementi digitali sul mercato mentre il GDPR prevede norme, compresi gli obblighi, per le persone fisiche e giuridiche che agiscono come titolari o responsabili del trattamento dei dati personali. Anche se di natura diversa, queste normative possono integrarsi a vicenda. Il CRA prevede requisiti di cybersicurezza per i prodotti con elementi digitali che possono contribuire alla protezione dei dati personali delle persone fisiche. Tra questi rientrano, tra l’altro, la riservatezza e l’integrità dei dati personali nonché la minimizzazione dei dati, una configurazione sicura per impostazione predefinita, così come i requisiti relativi alla gestione delle vulnerabilità e alla minimizzazione dell’impatto di incidenti significativi (allegato I). Analogamente, il GDPR prevede requisiti per le attività di trattamento dei dati personali, come la minimizzazione dei dati e l’integrità dei dati e i principi di riservatezza (art. 5 GDPR), l’obbligo per la protezione dei dati per design (art. 25 GDPR), la sicurezza dei dati (art. 32 GDPR), e la notifica delle violazioni dei dati personali (art. 33 GDPR), che possono contribuire alla cybersicurezza dei prodotti con elementi digitali. Tuttavia, la conformità di un prodotto con elementi digitali ai requisiti del CRA non ha alcun impatto formale sugli strumenti utilizzati dai titolari o dai responsabili del GDPR per dimostrare la conformità del trattamento dei dati personali con il GDPR (come per mezzo di codici di condotta (art. 40 GDPR) o sistemi di certificazione (art. 42 GDPR)). ↗ Copia link alla risposta

Question 24

Qual è l’interazione tra il CRA e il Regolamento sui dati?

Accepted Answer

Il CRA e il regolamento sui dati (di seguito «DA») sono essenzialmente di natura diversa, poiché il CRA stabilisce le regole per l’immissione sul mercato dei prodotti con elementi digitali, mentre il DA disciplina per (tra le altre cose) la messa a disposizione dei dati di prodotto e dei relativi servizi dati ad altre entità. Tuttavia, in alcuni casi, i requisiti del CRA e del DA possono essere applicabili a prodotti simili. In alcuni casi, un prodotto con elementi digitali ai sensi del CRA può anche essere un prodotto collegato o un servizio correlato ai sensi del DA. Ad esempio, gli elettrodomestici che contengono hardware e software e possono essere collegati a Internet per la loro funzionalità, come ad esempio un frigorifero intelligente, possono anche raccogliere dati relativi al loro utilizzo ed essere in grado di comunicare i dati del prodotto tramite Internet. In questo senso, il frigorifero intelligente può essere un prodotto con elementi digitali ai sensi del CRA e un prodotto collegato ai sensi del DA allo stesso tempo. ↗ Copia link alla risposta

Question 25

In che modo i requisiti per i prodotti con elementi digitali ai sensi del CRA tengono conto degli obblighi di rendere disponibili i dati agli utenti o a terzi ai sensi del Regolamento sui dati?

Accepted Answer

Il CRA determina, tra l’altro, che i prodotti con elementi digitali devono essere messi a disposizione sul mercato solo quando soddisfano determinati requisiti di cybersicurezza (articolo 6). I fabbricanti devono assicurarsi che quando immettono prodotti con elementi digitali sul mercato, siano progettati, sviluppati e prodotti in conformità a tali requisiti (articolo 13). I fabbricanti dovranno effettuare una valutazione del rischio che comprende un’analisi dei rischi per la cybersicurezza basata sull’obiettivo previsto e sull’uso ragionevolmente prevedibile del prodotto. Se un prodotto con elementi digitali ai sensi del CRA può anche essere soggetto ai requisiti del DA per mettere i dati a disposizione degli utenti o di terzi (articoli 4 e 5 DA), il fabbricante dovrà garantire che i requisiti rilevanti ai sensi del DA siano considerati anche nell’ambito della valutazione del rischio. I fabbricanti devono tenere a mente che, mentre il DA obbliga l’accesso ai dati relativi ai prodotti e ai relativi servizi agli utenti e a terzi, stabilisce anche misure per i titolari di dati di limitare o rifiutare la condivisione dei dati in alcuni casi (ad esempio, utilizzando i cosiddetti “segreti commerciali” e “sicurezza e sicurezza” (articoli 4(8) e 5(11), e 4(2), DA rispettivamente). ↗ Copia link alla risposta

Question 26

Un fabbricante deve riprogettare i propri prodotti per soddisfare i requisiti del Regolamento sui dati e del CRA?

Accepted Answer

In base al DA, non vi è alcun obbligo di prodotto rigoroso di riprogettazione. Piuttosto, i fabbricanti rimangono liberi di progettare prodotti come ritengono opportuno, fintanto che gli obblighi relativi a rendere i dati disponibili sono rispettati. Mentre il CRA diventerà pienamente applicabile entro l’11 dicembre 2027, i prodotti con elementi digitali immessi sul mercato prima di tale data sono soggetti solo ai requisiti di cybersicurezza del CRA se, a partire da tale data, sono soggetti a una modifica sostanziale (articolo 69, paragrafo 2 del CRA). Gli obblighi di segnalazione, ad esempio per le vulnerabilità attivamente sfruttate, si applicano a tutti i prodotti con elementi digitali (articolo 14). Si veda anche 1.4 Il CRA si applica ai prodotti con elementi digitali immessi sul mercato prima dell’11 dicembre 2027? ↗ Copia link alla risposta

Question 27

Cosa determina se un prodotto con elementi digitali è un prodotto importante o critico?

Accepted Answer

Ai sensi dell’articolo 7, paragrafo 1 e dell’articolo 8, paragrafo 1, un fabbricante dovrebbe esaminare la funzionalità del suo prodotto con elementi digitali per determinare se tale prodotto è un prodotto importante o critico con elementi digitali ed è quindi soggetto alle corrispondenti procedure di valutazione della conformità. Le descrizioni tecniche delle categorie di prodotti importanti e critici con elementi digitali sono definite nel Regolamento di attuazione della Commissione (UE) 2025/2392 del 28 novembre 2025 sulla descrizione tecnica delle categorie di prodotti importanti e critici con elementi digitali. ↗ Copia link alla risposta

Question 28

L’integrazione di un prodotto importante o critico con elementi digitali in un altro prodotto con elementi digitali rende questo prodotto importante o critico?

Accepted Answer

Come specificato all’articolo 7, paragrafo 1, l’integrazione di un prodotto importante o critico con elementi digitali in un altro prodotto con elementi digitali non rende automaticamente tale prodotto soggetto alle procedure di valutazione della conformità applicabili a prodotti importanti e critici. Ad esempio, l’integrazione di un browser incorporato come componente di un’app di notizie da utilizzare negli smartphone non rende di per sé l’app di notizie soggetta alla procedura di valutazione della conformità applicabile a prodotti con elementi digitali che hanno la funzionalità principale di «browser autonomi e incorporati». Allo stesso modo, l’integrazione di un elemento sicuro in un computer portatile non assoggetta di per sé il computer portatile alla procedura di valutazione della conformità applicabile a prodotti con elementi digitali che hanno la funzionalità di base di “smartcards e dispositivi simili, compresi gli elementi sicuri”. Come indicato nel paragrafo 3.1 Che cosa determina se un prodotto con elementi digitali è un prodotto importante o critico?, la funzionalità fondamentale del prodotto con elementi digitali in cui altri componenti sono integrati determina se quel prodotto è un prodotto importante o critico con elementi digitali. ↗ Copia link alla risposta

Question 29

La classificazione di un prodotto come importante o critico incide sulla valutazione dei rischi del fabbricante?

Accepted Answer

Conformemente ai paragrafi da 1 a 3 dell’articolo 13, il CRA stabilisce che i fabbricanti di prodotti con elementi digitali devono applicare i requisiti essenziali di cybersicurezza in modo proporzionale ai rischi del prodotto con elementi digitali, in base allo scopo previsto e all’uso ragionevolmente prevedibile, nonché alle condizioni di utilizzo del prodotto con elementi digitali, tenendo conto della durata del tempo previsto per l’utilizzo del prodotto. Indipendentemente dal fatto che il prodotto con elementi digitali sia considerato un prodotto importante o critico con elementi digitali, i fabbricanti devono effettuare una valutazione completa del rischio di cybersicurezza e indicare come i requisiti essenziali di cybersicurezza vengono implementati come informati dalla valutazione del rischio, inclusi i loro test e la loro garanzia. Ad esempio, un fabbricante intende immettere sul mercato due diverse versioni di una VPN. Conformemente alla sua valutazione dei rischi, il fabbricante determina che una delle due VPN presenta rischi più sostanziali, ad esempio perché tale VPN è destinata ad essere implementata in un ambiente di infrastruttura critica, mentre l’altra VPN presenta meno rischi, ad esempio perché è destinata solo all’uso in un ambiente residenziale. Di conseguenza, il fabbricante dovrebbe implementare i requisiti essenziali per entrambi i prodotti in modo da garantire che i rispettivi rischi siano mitigati di conseguenza. ↗ Copia link alla risposta

Question 30

La presenza di più funzioni esclude che un prodotto abbia la funzionalità principale di un prodotto importante o critico?

Accepted Answer

Come spiegato nel considerando 4 del Regolamento di esecuzione della Commissione (UE) 2025/2392 del 28 novembre 2025 sulla descrizione tecnica delle categorie di prodotti importanti e critici con elementi digitali, il fatto che un prodotto con elementi digitali esegue funzioni diverse o aggiuntive alla sua funzionalità di base non significa in sé che il prodotto con elementi digitali non ha la funzionalità fondamentale di un prodotto importante o critico. Ad esempio, i prodotti che hanno la funzionalità fondamentale dei “sistemi operativi” (un prodotto importante con elementi digitali della Classe I) spesso includono software che esegue funzioni accessorie non incluse nella descrizione tecnica di quella categoria di prodotto, come calcolatrici o semplici editor grafici. I prodotti con elementi digitali spesso incorporano anche componenti che hanno la funzionalità di un altro prodotto importante o critico con elementi digitali, come un sistema operativo che integra funzionalità del browser, o un router che integra funzionalità firewall. Questo, tuttavia, non significa in sé che tali prodotti con elementi digitali non hanno la funzionalità principale di “sistemi operativi” o “routers, modems destinati alla connessione a internet, e switch” (anche prodotti importanti con elementi digitali della Classe I), rispettivamente. D’altra parte, un prodotto che ha la capacità di eseguire la funzione di una categoria di prodotto importante o critica, ma la cui funzionalità principale è diversa da quella di tale categoria di prodotto non deve essere considerato avere quella funzionalità di base. Ad esempio, un software di orchestrazione di sicurezza, automazione e risposta (SOAR) ha spesso la capacità di eseguire le funzioni di sistemi di gestione di “informazioni di sicurezza e eventi (SIEM). Tuttavia, poiché la funzionalità principale del SOAR è diversa da quella di un SIEM, SOAR software non è generalmente da considerare per avere la funzionalità principale dei sistemi di gestione delle informazioni di sicurezza e degli eventi (SIEM). Allo stesso modo, uno smartphone in genere integra componenti che eseguono le funzioni di diversi prodotti importanti o critici, come un sistema operativo o un gestore di password integrato. Tuttavia, poiché la funzionalità di base di uno smartphone non è quella di un sistema operativo o di un gestore di password, generalmente non è da considerare la funzionalità di base di un sistema operativo o di un gestore di password. ↗ Copia link alla risposta

Question 31

Che cosa prescrive il CRA per la valutazione dei rischi di cybersicurezza del fabbricante?

Accepted Answer

La legislazione sull’armonizzazione dell’Unione relativa ai prodotti messi a disposizione sul mercato interno e basata sul nuovo quadro legislativo (NLF) richiede tipicamente ai fabbricanti di effettuare una valutazione del rischio, sulla base della quale essi devono applicare i relativi requisiti essenziali definiti nella legislazione in questione (cfr. ad esempio la sezione 4.1.1 della Guida Blu). Tali valutazioni di rischio sono una documentazione importante per i fabbricanti per dimostrare (cioè alle autorità di vigilanza del mercato) che hanno implementato requisiti adeguati. I fabbricanti possono effettuare un’unica valutazione del rischio riguardante i requisiti di diversi atti legislativi, o possono effettuare valutazioni individuali dei rischi per ogni legislazione separatamente. Sebbene spetti al fabbricante strutturare le proprie attività di valutazione del rischio, devono essere in grado di dimostrare il rispetto di ogni singola legislazione. In conformità alla definizione di prodotto con elementi digitali (articolo 3, paragrafo 1), la valutazione dei rischi di cybersicurezza del fabbricante deve coprire l’intero prodotto con elementi digitali, compreso il trattamento remoto dei dati quando nell’ambito e tutte le funzioni di supporto che possono formare parte del prodotto con elementi digitali da immettere sul mercato. Nota: 5 Il nuovo quadro legislativo è costituito dal regolamento (CE) 765/2008 che stabilisce i requisiti per l’accreditamento e la vigilanza del mercato dei prodotti; decisione 768/2008 su un quadro comune per la commercializzazione dei prodotti; e regolamento (UE) 2019/1020 sulla vigilanza del mercato e la conformità dei prodotti L’articolo 13, paragrafo 2, impone ai fabbricanti di valutare i rischi di cybersicurezza associati ad un prodotto con elementi digitali e di tener conto dell’esito di tale valutazione durante le fasi di pianificazione, progettazione, sviluppo, produzione, consegna e manutenzione del prodotto con elementi digitali al fine di ridurre al minimo i rischi di cybersicurezza, prevenire incidenti e minimizzare il loro impatto, anche in relazione alla salute e alla sicurezza degli utenti. Pertanto, è importante notare che la valutazione dei rischi di cybersicurezza copre non solo le fasi iniziali di identificazione del rischio, analisi del rischio e valutazione del rischio durante le fasi di progettazione e sviluppo, ma anche le misure di trattamento del rischio implementate attraverso le fasi di produzione, consegna e manutenzione. Inoltre, questo obbligo si applica ai fabbricanti di tutti i prodotti con elementi digitali ai sensi del CRA, indipendentemente dal fatto che il prodotto con elementi digitali sia nella categoria “default”, un prodotto importante o critico. Ai sensi dell’articolo 13, paragrafo 3, la valutazione dei rischi di cybersicurezza indica se e, in tal caso, i requisiti di sicurezza relativi alle proprietà dei prodotti (esclusi nella parte I, punto (2), dell’allegato I) sono applicabili al prodotto rilevante con elementi digitali, e come tali requisiti sono implementati come informati dalla valutazione dei rischi di cybersicurezza. Esso indica anche come il fabbricante ha progettato, sviluppato, prodotto, consegnato e mantenuto il prodotto con elementi digitali in modo da garantire un adeguato livello di cybersicurezza in base ai rischi (parte I, punto 1), dell’allegato I) e ai requisiti di gestione della vulnerabilità (definiti nella parte II dell’allegato I). ↗ Copia link alla risposta

Question 32

Il CRA impone una specifica metodologia di valutazione dei rischi?

Accepted Answer

Il CRA non richiede una specifica metodologia di valutazione del rischio per la cybersicurezza. I fabbricanti possono decidere la metodologia utilizzata per identificare e trattare i rischi rilevanti. I fabbricanti devono affrontare tutti i rischi rilevanti derivanti dalla valutazione dei rischi di cybersicurezza, e la metodologia di valutazione del rischio dovrebbe quindi sostenere i fabbricanti nel documentare che ciò è stato fatto (secondo l’articolo 13, paragrafo 3), consentendo alle autorità di vigilanza del mercato di verificare come i rischi sono stati identificati, valutati e mitigati. Quando si modellano scenari di minaccia, i fabbricanti dovrebbero garantire l’uso di una metodologia di modellazione della minaccia che rispecchia adeguatamente le minacce e i rischi derivanti associati allo scopo previsto del prodotto e l’uso ragionevolmente prevedibile. Ad esempio, mentre i prodotti destinati all’uso in infrastrutture critiche possono essere tenuti a trattare i rischi relativi agli attori dello stato nazionale e alle minacce persistenti avanzate, i prodotti destinati all’uso del consumatore privato hanno in genere un profilo di rischio più basso e possono utilizzare un modello di minaccia diverso. In questo modo, i fabbricanti possono coprire tutti i rischi rilevanti per un prodotto nella loro valutazione del rischio. ↗ Copia link alla risposta

Question 33

Un fabbricante deve attuare tutti i requisiti essenziali?

Accepted Answer

I fabbricanti devono rispettare tutti i requisiti essenziali per la cybersicurezza relativi alla gestione della vulnerabilità (set out nella parte II dell’allegato I) durante il periodo di supporto del prodotto. Tuttavia, per quanto riguarda i requisiti essenziali di cybersicurezza relativi alle proprietà del prodotto (escluso nella parte I dell’allegato I), i fabbricanti devono determinare sulla base della valutazione dei rischi di cybersicurezza che di tali requisiti sono rilevanti per il tipo di prodotto con elementi digitali interessati. Conformemente all’articolo 13, paragrafo 4, quando alcuni requisiti essenziali di cybersicurezza non sono applicabili a un prodotto con elementi digitali, il fabbricante dovrebbe includere una chiara giustificazione nel valutazione dei rischi di cybersicurezza inclusa nella documentazione tecnica. Questo potrebbe essere il caso in cui un requisito essenziale per la cybersicurezza sia incompatibile con la natura di un prodotto con elementi digitali (si veda il considerando 55), o dove non esistono rischi che richiedono una mitigazione rispetto a tale requisito essenziale. Ad esempio, un prodotto potrebbe non essere necessario incorporare specifiche misure di mitigazione relative alla protezione dei dati personali se lo scopo previsto del prodotto e l’uso ragionevolmente prevedibile non includono il trattamento di qualsiasi tipo di dati personali. In tali casi, il prodotto potrebbe ancora avere la capacità tecnica di elaborare alcuni tipi di dati personali, ma tale uso non sarebbe incluso nello scopo previsto e l’uso ragionevolmente prevedibile dichiarato dal fabbricante. Se la capacità tecnica del prodotto di trattare i dati personali può portare a significativi rischi di cybersicurezza nel caso di un uso improprio ragionevolmente prevedibile, le informazioni e le istruzioni per l’utente possono avere bisogno di includere queste informazioni, conformemente al punto 5 dell’allegato II del CRA. Ad esempio, come indicato nel considerando 55, lo scopo previsto di un prodotto con elementi digitali può richiedere al fabbricante di applicare norme di interoperabilità ampiamente riconosciuti, anche se le sue caratteristiche di sicurezza non sono più considerate di stato dell’arte. Analogamente, un altro atto legislativo dell’Unione impone ai fabbricanti di applicare specifici requisiti di interoperabilità. Se questo è il caso, avendo l’effetto che un requisito essenziale di cybersicurezza non è applicabile a un prodotto con elementi digitali, ma il fabbricante ha identificato i rischi di cybersicurezza in relazione a tale requisito essenziale di cybersicurezza, dovrebbe adottare misure per affrontare tali rischi con altri mezzi, ad esempio limitando lo scopo previsto del prodotto agli ambienti affidabili e/o informando gli utenti su tali rischi. ↗ Copia link alla risposta

Question 34

Quali sono lo scopo previsto e l’uso ragionevolmente prevedibile, e come influiscono sulla valutazione dei rischi di cybersicurezza?

Accepted Answer

Ai sensi dell’articolo 13, paragrafo 2, la valutazione dei rischi per la cybersicurezza è effettuata al fine di ridurre al minimo tali rischi, prevenire incidenti e ridurre al minimo il loro impatto, anche in relazione alla salute e alla sicurezza degli utenti. Inoltre, l’articolo 13, paragrafo 3, precisa che l’analisi dei rischi per la cybersicurezza deve considerare almeno lo scopo previsto e l’uso ragionevolmente prevedibile, nonché le condizioni di utilizzo del prodotto con elementi digitali, come l’ambiente operativo o i beni da proteggere, tenendo conto della durata del tempo che il prodotto dovrebbe essere utilizzato. Come esempio, i fabbricanti di componenti hardware o software utilizzati da molti altri prodotti a valle possono considerare quando lo scopo previsto e l’uso ragionevolmente prevedibile include l’integrazione di tali componenti. In tali casi, il fabbricante deve garantire che i rischi pertinenti siano debitamente trattati (articolo 13, paragrafo 1 e paragrafo 2), e comunicare agli utenti istruzioni chiare, comprensibili, intelligibili e leggibili che consentono l’installazione sicura, il funzionamento e l’uso del prodotto con elementi digitali (come previsto dall’articolo 13, paragrafo 8). L’articolo 3 definisce “destinato” come l’uso per il quale un prodotto con elementi digitali è destinato dal fabbricante, compreso il contesto specifico e le condizioni di utilizzo, come specificato nelle informazioni fornite dal fabbricante nelle istruzioni per l’uso, i materiali e le dichiarazioni promozionali o di vendita, nonché nella documentazione tecnica. Inoltre, «un uso ragionevole prevedibile» è definito all’articolo 3, paragrafo 24, come uso che non è necessariamente lo scopo previsto fornito dal fabbricante nelle istruzioni per l’uso, i materiali e le dichiarazioni promozionali o di vendita, nonché nella documentazione tecnica, ma che è probabile che derivi da comportamenti umani ragionevolmente prevedibili o operazioni tecniche o interazioni. Se pertinente allo scopo previsto e all’uso ragionevolmente prevedibile, il fabbricante dovrebbe anche considerare come l’integrazione a valle e l’uso finale possono influenzare la valutazione dei rischi di cybersicurezza (cioè il contesto specifico e le condizioni di utilizzo). Inoltre, i fabbricanti devono informare i propri utenti, siano essi integratori, proprietari professionisti o operatori, consumatori o altri, attraverso le informazioni e le istruzioni all’utente su eventuali presupposti o requisiti necessari per l’installazione sicura, il funzionamento e l’uso del prodotto con elementi digitali, ai sensi dell’articolo 13. Come indicato nella sezione 2.8 della Guida Blu, i fabbricanti devono considerare le condizioni di utilizzo che possono essere ragionevolmente prevedibili prima di mettere un prodotto sul mercato, in particolare quando tale uso potrebbe derivare da un comportamento umano lecito e facilmente prevedibile. Ciò significa che i fabbricanti devono guardare oltre quello che considerano l’uso previsto di un prodotto e porsi nella prospettiva dell’utente medio di un particolare prodotto e prevedere in che modo considererebbero ragionevolmente l’utilizzo del prodotto. Per esempio, come indicato nella sezione 3.1 della Guida Blu, uno strumento progettato e destinato ad essere utilizzato solo da professionisti (come ad esempio un sensore IoT industriale o una rete privata virtuale), potrebbe eventualmente essere utilizzato anche da non professionisti; di conseguenza, la progettazione e le istruzioni di accompagnamento devono prendere in considerazione questa possibilità. Analogamente, le informazioni necessarie per l’installazione sicura devono ancora essere fornite in modo chiaro, comprensibile, intelligibile e leggibile tenendo conto del pubblico che si prevede effettuerà l’installazione, ai sensi dell’articolo 13, paragrafo 18. Se il prodotto può essere facilmente accessibile ed è probabile che sia utilizzato dai consumatori, il fabbricante dovrebbe prendere in considerazione le esigenze e i rischi di tali consumatori, come ad esempio attraverso informazioni e istruzioni appropriate agli utenti, comprese le istruzioni per l’installazione sicura, il funzionamento e l’uso del prodotto con elementi digitali). Tuttavia, come indicato nella sezione 2.8 della Guida Blu, non tutti i rischi possono essere evitati dalla progettazione del prodotto; pertanto, dovrebbero essere considerate anche le condizioni di distribuzione previste o prevedibili. Se pertinente, la valutazione dei rischi di cybersicurezza dovrebbe tener conto di altre misure che possono essere messe in atto dalla categoria di utenti prevista o ragionevolmente prevedibile (ad esempio professionale). Per esempio, la supervisione e l’assistenza agli utenti interessati devono essere considerate come parte delle condizioni che possono essere ragionevolmente prevedibili per l’installazione e l’utilizzo di prodotti all’interno di determinate impostazioni professionali, come ad esempio un impianto industriale. Come un altro esempio, alcune macchine utensili professionali sono destinate all’uso da parte di lavoratori adeguatamente qualificati e formati sotto la supervisione del loro datore di lavoro; la responsabilità del fabbricante non può essere invocata se tali macchine utensili sono noleggiate da un distributore o da un fornitore terzo di servizi per l’uso da parte di consumatori non qualificati e non addestrati. Inoltre, in alcuni casi può essere ragionevole che il fabbricante consenta attraverso la progettazione del prodotto che l’utente possa modificare le configurazioni del prodotto, rimuovendo le funzionalità di sicurezza o riducendo le misure di sicurezza per garantire la compatibilità con sistemi preesistenti. In tali casi, il fabbricante dovrebbe includere i rischi di cybersicurezza rilevanti nella propria valutazione dei rischi di cybersicurezza, attuare misure specifiche di trattamento che coprono tali rischi, e accompagnare quelle possibilità di utilizzo con informazioni e istruzioni appropriate per l’utente per garantire la distribuzione sicura e che possano essere raggiunti i risultati di sicurezza richiesti. Inoltre, se questa circostanza può portare a significativi rischi per la cybersicurezza, il fabbricante dovrebbe menzionare esplicitamente tali rischi conformemente al punto 5 dell’allegato II del CRA. ↗ Copia link alla risposta

Question 35

Qual è un uso improprio ragionevolmente prevedibile, e come influisce sulla valutazione dei rischi di cybersicurezza?

Accepted Answer

Conformemente all’articolo 13, paragrafo 18, il fabbricante dovrebbe fornire informazioni agli utenti per quanto riguarda le condizioni previste per la distribuzione sicura e l’integrazione del prodotto. Da parte loro, l’utente dovrebbe prendere in considerazione le condizioni legali di utilizzo del prodotto definito dal fabbricante, a condizione che questi siano ragionevoli e appropriati allo scopo previsto e ragionevolmente prevedibile uso, in particolare quando si tratta di utenti poco qualificati o vulnerabili. L’articolo 3 definisce «un uso improprio ragionevolemente prevedibile» come l’uso di un prodotto con elementi digitali in modo che non sia conforme al suo scopo previsto, ma che possa derivare dal comportamento umano ragionevolmente prevedibile o dall’interazione con altri sistemi. Per esempio, se le informazioni e le istruzioni all’utente menzionano che il prodotto deve essere distribuito su una rete sicura, la distribuzione su una rete insicuri potrebbe costituire un uso improprio ragionevolmente prevedibile. Allo stesso modo, anche se alcuni utenti potrebbero aver hackerato i loro dispositivi per il divertimento (o per la ricerca di sicurezza), questo uso non è necessariamente in linea con il fabbricante e quindi costituirebbe una forma di uso improprio. Nota: Come indicato nel considerando 75, gli Stati membri dovrebbero mirare ad affrontare, nella misura possibile, le sfide affrontate dai ricercatori di vulnerabilità, compresa la loro potenziale esposizione alla responsabilità penale, in conformità con il diritto nazionale. Dato che le persone fisiche e giuridiche che ricercano vulnerabilità potrebbero in alcuni Stati membri essere esposte a responsabilità penale e civile, gli Stati membri sono incoraggiati ad adottare linee guida per quanto riguarda la non perseguimento dei ricercatori di sicurezza informatica e l’esenzione dalla responsabilità civile per le loro attività. Inoltre, i fabbricanti assicurano che i prodotti con elementi digitali siano accompagnati dalle informazioni e dalle istruzioni dell’utente di cui all’allegato II, comprese le circostanze note o prevedibili, relative all’uso del prodotto con elementi digitali secondo il suo scopo previsto o in condizioni di uso improprio ragionevolmente prevedibile, che possono portare a significativi rischi di cybersicurezza. I rischi relativi all’abuso ragionevolmente prevedibile devono essere comunicati anche nelle informazioni e nelle istruzioni all’utente. Per esempio, quando le informazioni e le istruzioni per l’utente menzionano che il prodotto deve essere distribuito su una rete sicura, ciò implica che il fabbricante potrebbe non aver coperto alcuni rischi derivanti dall’uso su reti insicure. Il fabbricante dovrebbe quindi informare l’utente ovunque tale uso abusivo ragionevolmente prevedibile possa ancora portare a significativi rischi di cybersicurezza. ↗ Copia link alla risposta

Question 36

In che modo la durata prevista di utilizzo del prodotto incide sulla valutazione dei rischi di cybersicurezza del fabbricante?

Accepted Answer

Al fine di garantire la sicurezza dei prodotti con elementi digitali dopo la loro immissione sul mercato, i fabbricanti dovrebbero determinare il periodo di supporto, che dovrebbe riflettere il tempo in cui il prodotto con elementi digitali dovrebbe essere in uso. Pertanto, conformemente all’articolo 13, paragrafo 3, l’analisi dei rischi per la cybersicurezza da parte del fabbricante tiene conto della durata del tempo che il prodotto dovrebbe essere utilizzato (articolo 13, paragrafo 8). Il fabbricante dovrebbe anche considerare la vita del prodotto nella fase di progettazione e sviluppo, e in particolare dovrebbe preparare il prodotto per garantire che durante tutto il periodo di supporto le vulnerabilità di quel prodotto, compresi i suoi componenti, siano gestite in modo efficace e in conformità con i requisiti essenziali di cybersicurezza di cui alla parte II dell’allegato I. Inoltre, a norma dell’articolo 13, paragrafo 7, la valutazione del rischio è documentata e aggiornata nel corso del periodo di supporto del prodotto. Se la valutazione del rischio si basa sulle informazioni e sulle istruzioni agli utenti per affrontare determinati rischi, tali informazioni e le istruzioni agli utenti devono essere aggiornate di conseguenza. Come esempio, il fabbricante può considerare ragionevoli proiezioni circa i cambiamenti nel panorama delle minacce e come questi potrebbero influenzare la valutazione del rischio durante tutta la durata del prodotto. ↗ Copia link alla risposta

Question 37

Qual è il rapporto tra le norme armonizzate e la valutazione dei rischi di cybersicurezza del fabbricante?

Accepted Answer

Come indicato nella Guida Blu, le norme armonizzate non sostituiscono requisiti essenziali giuridicamente vincolanti. Una specificazione tecnica contenuta in una norma armonizzata non è un’alternativa ad un requisito essenziale o ad un altro requisito giuridico rilevante, ma solo un possibile mezzo tecnico per soddisfarlo. Nella legislazione relativa all’armonizzazione dei rischi, ciò significa in particolare che i fabbricanti, anche quando utilizzano norme armonizzate, i cui riferimenti sono pubblicati nella Gazzetta ufficiale dell’Unione europea (di seguito «GU»), rimangono pienamente responsabili della valutazione di tutti i rischi del loro prodotto al fine di determinare quali requisiti essenziali (o altri) sono rilevanti. Dopo tale valutazione, un fabbricante può quindi scegliere di applicare specifiche tecniche fornite in norme armonizzate i cui riferimenti sono pubblicati nella GU per attuare «misure di riduzione dei rischi» specificate da norme armonizzate. Nella legislazione relativa all’armonizzazione dei rischi, i cui riferimenti sono pubblicati nella GU forniscono più comunemente alcuni mezzi per ridurre o rimuovere i rischi, mentre i fabbricanti rimangono pienamente responsabili della valutazione del rischio per identificare i rischi rilevanti e per identificare i requisiti essenziali pertinenti, al fine di selezionare le norme armonizzate adeguate, i cui riferimenti sono pubblicati nella GU o in altre specifiche. Così, anche quando il fabbricante utilizza una norma armonizzata (dove il suo riferimento è pubblicato nella GU e che mira a coprire alcuni rischi) per soddisfare i requisiti essenziali, la valutazione dei rischi di cybersicurezza deve essere effettuata e il fabbricante deve verificare se la norma armonizzata copre tutti i rischi del prodotto. Conformemente all’articolo 27, quando un fabbricante applica correttamente una norma armonizzata il cui riferimento è pubblicato nella GUEU che copre tutti i rischi relativi al prodotto con elementi digitali, il prodotto beneficia della presunzione di conformità. Nota: Come indicato nella nota 179 della Guida Blu. Come indicato all’articolo 27, paragrafo 1, del CRA e alla sezione 4.1.2.2 della Guida Blu, quando una norma armonizzata copre solo una parte dei requisiti essenziali identificati come pertinenti dai fabbricanti o solo alcuni loro aspetti, essi devono inoltre utilizzare altre specifiche tecniche pertinenti o sviluppare soluzioni in conformità con l’ingegneria generale o le conoscenze ingegneristiche e scientifiche consolidate al fine di soddisfare le requisiti essenziali del CRA. Analogamente, quando i fabbricanti scelgono di non applicare tutte le disposizioni fornite in una norma armonizzata, e che normalmente fornirebbero presunzione di conformità, hanno bisogno, sulla base della propria valutazione dei rischi di cybersicurezza, di indicare nella loro documentazione tecnica come sia conseguita la conformità oppure perché determinati requisiti essenziali non siano pertinenti per il prodotto. La richiesta di normazione del CRA richiede lo sviluppo di una serie di norme armonizzate destinate a fornire informazioni orizzontali o specifiche sui prodotti ai fabbricanti per sostenere la loro conformità al CRA. Si veda anche la sezione 6.10: «Quando saranno disponibili le norme armonizzate a supporto della conformità al CRA?» ↗ Copia link alla risposta

Question 38

Che cosa deve includere il fabbricante, riguardo alla valutazione dei rischi di cybersicurezza, nella documentazione tecnica da tenere a disposizione delle autorità di vigilanza del mercato?

Accepted Answer

L’articolo 13, paragrafo 12 e l’articolo 31 richiedono al fabbricante di redigere una documentazione tecnica contenente informazioni per dimostrare la conformità del prodotto ai requisiti applicabili, indipendentemente dalla procedura di valutazione della conformità. Questa documentazione può essere parte della documentazione del sistema di qualità in cui il fabbricante sceglie una procedura di valutazione della conformità basata su un sistema di qualità, in linea con l’articolo 32. Questo è il caso della conformità basata sulla piena garanzia di qualità basata sul modulo H (parte IV dell’allegato VIII del CRA). La documentazione tecnica deve essere disponibile quando il prodotto è immesso sul mercato, qualunque sia la sua origine geografica o la sua posizione. Ai sensi dell’articolo 13, paragrafo 4, quando immette sul mercato un prodotto con elementi digitali, il fabbricante include la valutazione dei rischi di cybersicurezza nella documentazione tecnica richiesta ai sensi dell’articolo 31 e dell’allegato VII. Dopo l’immissione sul mercato il fabbricante documenta sistematicamente, in modo proporzionato alla natura e ai rischi per la cybersicurezza, rilevanti aspetti di cybersicurezza relativi ai prodotti con elementi digitali, comprese le vulnerabilità di cui diventano consapevoli e le informazioni pertinenti fornite da terzi, e deve, se del caso, aggiornare la valutazione dei rischi di cybersicurezza dei prodotti. In particolare, nell’ambito del requisito di gestione della vulnerabilità nell’allegato I, parte 2, paragrafo 3, il fabbricante deve aggiornare la valutazione del rischio dopo l’applicazione di prove e riesami periodici, laddove le informazioni pertinenti relative alla cybersicurezza del prodotto emergono da tali test e recensioni. Secondo la sezione 4.3 della Guida Blu, nel caso in cui un prodotto sia stato oggetto di riprogettazioni e rivalutazioni della conformità, la documentazione tecnica deve riflettere tutte le versioni del prodotto; descrivendo le modifiche apportate, come possono essere identificate le varie versioni del prodotto e le informazioni sulle varie valutazioni di conformità. Ai sensi dell’articolo 53, ove necessario valutare la conformità dei prodotti con elementi digitali e i processi messi in atto dai loro fabbricanti con i requisiti essenziali di cybersicurezza di cui all’allegato I, le autorità di vigilanza del mercato, su richiesta motivata, sono autorizzate l’accesso ai dati, in una lingua facilmente comprensibile da loro, necessari per valutare la progettazione, lo sviluppo, la produzione e la vulnerabilità di tali prodotti, compresa la relativa documentazione interna del relativo operatore economico. ↗ Copia link alla risposta

Question 39

Quali misure tecniche deve adottare un fabbricante?

Accepted Answer

Il CRA stabilisce una serie di requisiti essenziali di cybersicurezza relativi alle proprietà dei prodotti con elementi digitali. Tali requisiti sono orientati agli obiettivi, tecnologicamente neutri e si applicano orizzontalmente a tutti i prodotti con elementi digitali. La specifica implementazione tecnica dei requisiti essenziali dipende dalla valutazione dei rischi di cybersicurezza che ogni fabbricante è tenuto a prendere in considerazione durante le fasi di pianificazione, progettazione, sviluppo, produzione, consegna e manutenzione del prodotto con elementi digitali, ai sensi dell’articolo 13. Per ulteriori informazioni sulla valutazione dei rischi, si veda la sezione 4.1 approccio basato sul rischio e valutazione dei rischi. Il fabbricante è tenuto a precisare nella sua documentazione tecnica i mezzi utilizzati per garantire che il prodotto sia conforme ai requisiti essenziali di cybersicurezza, comprese le istanze in cui alcuni requisiti essenziali di cybersicurezza non sono applicabili al prodotto con elementi digitali, ai sensi dell’articolo 13, paragrafo 4. Per facilitare la valutazione della conformità ai requisiti essenziali, la Commissione ha adottato una richiesta di normazione rivolta a CEN, CENELEC e ETSI (Organizzazione europea di normalizzazione), chiedendo lo sviluppo di norme armonizzate nei settori tecnici coperti dal CRA. Il richiesta di normazione relativa al CRA chiede, tra l’altro, lo sviluppo di norme armonizzate orizzontali che coprono i requisiti essenziali relativi al prodotto di cui all’allegato I, parte I del CRA, al fine di sostenere: (i) lo sviluppo di ulteriori norme armonizzate verticali granulari per prodotti specifici o tipi di prodotto; e (ii) sostenere i fabbricanti nella definizione e nell’attuazione dei requisiti di sicurezza applicabili ai rispettivi prodotti, in particolare per i prodotti non coperti da norme verticali esistenti o previste. Per ulteriori informazioni, si veda anche la sezione 6.10 Quando saranno pronte le norme armonizzate a sostegno della conformità al CRA? Va notato che l’uso di norme armonizzate è volontario. I fabbricanti possono dimostrare la conformità ai requisiti essenziali tramite altri mezzi tecnici e sono tenuti a documentarli nella loro documentazione tecnica. ↗ Copia link alla risposta

Question 40

Come può un fabbricante garantire che un prodotto sia privo di vulnerabilità sfruttabili note?

Accepted Answer

Sulla base della valutazione dei rischi di cybersicurezza di cui all’articolo 13, paragrafo 2, e, se applicabile, i prodotti con elementi digitali devono essere messi a disposizione sul mercato senza vulnerabilità note sfruttabili (allegato I, requisito essenziale 2, lettera a)). «vulnerabilità» significa debolezza, suscettibilità o difetto di un prodotto con elementi digitali che possono essere sfruttati da una minaccia informatica (articolo 3, paragrafo 40) «vulnerabilità sfruttabile» significa una vulnerabilità che ha il potenziale di essere efficacemente utilizzata da un avversario in condizioni operative pratiche (articolo 3, paragrafo 41) Il CRA non richiede ai fabbricanti di garantire che un prodotto sia libero da tutte le vulnerabilità. Il CRA richiede ai fabbricanti, al momento dell’immissione sul mercato, di garantire che, sulla base della loro valutazione dei rischi di cybersicurezza e, se del caso, il prodotto non contenga le vulnerabilità sfruttabili note. Infatti, non tutte le vulnerabilità sono sfruttabili in condizioni operative pratiche. Alcune vulnerabilità possono essere sfruttate solo in condizioni teoriche (ad esempio in un laboratorio o in una simulazione) e/o non in condizioni che si verificherebbero nell’ambiente operativo di un dato prodotto con elementi digitali. Se una vulnerabilità è sfruttabile deve essere affrontata caso per caso, a seconda delle specifiche condizioni operative e tecniche, tra cui, ad esempio, la misura in cui il codice vulnerabile viene richiamato o caricato quando il prodotto è in uso; il livello e il tipo di accesso richiesto per effettuare lo sfruttamento; se i controlli di compensazione sono già in atto per mitigare lo sfruttamento. Ad esempio, uno smartphone può avere una vulnerabilità che consentirebbe ad un aggressore di bypassare la sicurezza (ad esempio saltare i controlli delle password); ma al fine di raggiungere questo obiettivo, l’attaccante ha bisogno di accesso fisico al dispositivo e manomissione fisica invasiva (ad esempio utilizzando un laser per causare un glitch) per utilizzare l’exploit. Sulla base della sua valutazione del rischio, il fabbricante può concludere che questo non sarebbe considerato una vulnerabilità sfruttabile perché non poteva ragionevolmente essere sfruttata in condizioni operative pratiche. ↗ Copia link alla risposta

Question 41

Come devono i fabbricanti gestire le vulnerabilità sfruttabili note scoperte dopo l’immissione sul mercato di un prodotto ma prima che raggiunga l’utente finale?

Accepted Answer

I prodotti con elementi digitali possono essere immessi sul mercato e entrare nella catena di distribuzione diverso tempo prima che raggiungano il loro utente finale. Questo è spesso il caso, ad esempio, quando un prodotto viene inviato al canale di distribuzione di un fabbricante; o viene offerto per la vendita on-line o attraverso altri mezzi di vendita a distanza e viene trasferito ai fornitori di servizi di logistica per la consegna, raggiungendo l’utente finale giorni o mesi dopo l’immissione sul mercato. Ad esempio, un computer portatile può rimanere sullo scaffale di un negozio di elettronica per qualche tempo prima di raggiungere il suo utente. Nel periodo tra l’immissione sul mercato e la transazione all’utente finale previsto, le vulnerabilità sfruttabili conosciute che interessano quel prodotto possono essere scoperte. Tuttavia, l’obbligo di fornire, sulla base della valutazione del rischio, prodotti privi di vulnerabilità sfruttabili note si applica al momento dell’immissione sul mercato (articolo 13, paragrafo 1). Poiché il prodotto è già stato messo sul mercato, i fabbricanti non sono pertanto tenuti a correggere le vulnerabilità appena scoperte mentre i loro prodotti non hanno ancora raggiunto il loro utente. Tuttavia, poiché il CRA stabilisce anche i requisiti di gestione delle vulnerabilità che si applicano durante il periodo di supporto del prodotto, i fabbricanti devono, in relazione ai rischi posti ai prodotti con elementi digitali, affrontare e correggere le vulnerabilità senza indugio, conformemente all’allegato I, parte II, punto (2). Ad esempio, dato i rischi posti dalle vulnerabilità sfruttabili appena scoperte, il fabbricante del computer portatile stabilisce che un aggiornamento di sicurezza è necessario per affrontare tali vulnerabilità. Il fabbricante può essere tenuto a fornire un aggiornamento di sicurezza per il computer portatile, non appena viene messo in funzione dal suo utente. ↗ Copia link alla risposta

Question 42

Come opera il requisito di configurazione sicura per impostazione predefinita?

Accepted Answer

Sulla base della valutazione dei rischi di cybersicurezza di cui all’articolo 13, paragrafo 2, e se applicabile, i prodotti con elementi digitali devono essere messi a disposizione sul mercato con una configurazione sicura per impostazione predefinita, a meno che non diversamente concordato tra fabbricante e utente commerciale in relazione ad un prodotto su misura con elementi digitali, compresa la possibilità di reimpostare il prodotto al suo stato originale (allegato I, parte I, punto 2, lettera b). I fabbricanti sono tenuti a mettere i prodotti con elementi digitali sul mercato con una configurazione sicura per impostazione predefinita, alla luce dello scopo previsto del prodotto e dell’uso ragionevolmente prevedibile, e sulla base della valutazione dei rischi di cybersicurezza del fabbricante. Quando i fabbricanti immettono sul mercato un componente per l’integrazione in un altro prodotto con elementi digitali, non mantengono il controllo su come il fabbricante di integrazione regola la configurazione del componente. L’obbligo di garantire una configurazione di default sicura, quindi, si applica solo al componente quando viene immesso sul mercato separatamente, e non a come viene configurato o implementato in seguito integrando i fabbricanti. Ad esempio, il fabbricante di una libreria crittografica può essere tenuto, sulla base della sua valutazione del rischio, a immettere tale libreria sul mercato con algoritmi insicuri o deprecati disabilitati per impostazione predefinita, o la validazione del certificato abilitata per impostazione predefinita. Il fabbricante integrante può decidere di modificare alcune di queste impostazioni quando si sviluppa il proprio prodotto con elementi digitali. Il fabbricante della libreria crittografica è responsabile solo della configurazione con cui la libreria viene consegnata e non per le successive modifiche apportate dal suo integratore. Allo stesso modo, il fabbricante di un microcontroller con uno stack di rete integrato può essere tenuto, sulla base della sua valutazione del rischio, di posizionare il microcontrollore sul mercato con le interfacce di rete disabilitate per impostazione predefinita. Il fabbricante integrante può quindi decidere di consentire loro di soddisfare lo scopo previsto del proprio prodotto. Il fabbricante del microcontroller è responsabile solo della configurazione con cui il microcontrollore viene consegnato e non per le successive modifiche apportate dal suo integratore. Per ulteriori informazioni sulle eccezioni alla configurazione di sicurezza per impostazione predefinita, si veda la sezione 4.2.5: Quando è un prodotto “su misura”? Quale documentazione è richiesta in questi casi? Infine, è possibile che questo requisito essenziale non sia applicabile ad alcuni prodotti con elementi digitali. Entry 4.1.3 Un fabbricante deve attuare tutti i requisiti essenziali? fornisce ulteriori indicazioni su questo. ↗ Copia link alla risposta

Question 43

Quando un prodotto è considerato «su misura»? Quale documentazione è richiesta in tali casi?

Accepted Answer

I fabbricanti dovrebbero rendere i loro prodotti con elementi digitali disponibili sul mercato con una configurazione sicura per impostazione predefinita e fornire aggiornamenti di sicurezza agli utenti gratuitamente. I fabbricanti dovrebbero essere in grado di deviare solo dai requisiti essenziali di cybersicurezza in relazione ai prodotti su misura che sono dotati di un particolare scopo per un particolare utente aziendale e dove sia il fabbricante che l’utente hanno esplicitamente concordato un diverso insieme di termini contrattuali (considerando 64). Il CRA stabilisce che i fabbricanti possono deviare da due requisiti essenziali (cioè, sicuri per configurazione predefinita al punto (2.b) dell’allegato I, parte I e fornire aggiornamenti di sicurezza agli utenti gratuitamente al punto (8) dell’allegato I, parte II) in relazione ai prodotti su misura che sono dotati di uno scopo particolare per un determinato utente aziendale e in cui sia il fabbricante che l’utente hanno esplicitamente concordato un diverso insieme di termini contrattuali, come indicato nei punti summenzionati dell’allegato I, parte I. Questo potrebbe essere il caso, ad esempio, per hardware o software su misura progettati per soddisfare le esigenze di un utente aziendale specifico, o prodotti che sono sviluppati per l’integrazione in ambienti altamente controllati di un cliente specifico (ad esempio reti chiuse o ambienti air-gapped) e sono soggetti a specifici termini contrattuali. Un prodotto non è fatto su misura, d’altra parte, quando subisce piccole personalizzazioni prima di essere venduto a un cliente, senza specifiche serie di termini contrattuali o accordi. Questo è il caso, ad esempio, per una piattaforma di gestione delle relazioni con i clienti (CRM) venduta a più aziende, anche se il fabbricante consente alcune personalizzazioni minori; o piattaforme che utilizzano plugin o API da personalizzare, ma sono fondamentalmente lo stesso prodotto per ogni cliente. Ai sensi dell’articolo 31, il fabbricante dovrebbe includere nella sua documentazione tecnica tutti i dati o i dettagli rilevanti per dimostrare che il suo prodotto è conforme ai requisiti essenziali di cybersicurezza, comprese le prove appropriate per dimostrare che il prodotto è su misura. ↗ Copia link alla risposta

Question 44

I fabbricanti devono correggere tutte le vulnerabilità scoperte durante il periodo di supporto?

Accepted Answer

I fabbricanti di prodotti con elementi digitali devono […] in relazione ai rischi posti a prodotti con elementi digitali, indirizzo e vulnerabilità corrette senza indugio, anche fornendo aggiornamenti di sicurezza (allegato I, parte II, punto 2). Il CRA non richiede ai fabbricanti di fornire una patch per tutte le vulnerabilità che vengono scoperte durante il periodo di supporto di un prodotto. Quando si scopre una vulnerabilità, i fabbricanti dovrebbero determinare la sua rilevanza per il loro prodotto, e valutare il rischio risultante, nel quadro della valutazione del rischio del fabbricante. Sulla base del rischio che la vulnerabilità pone, i fabbricanti devono garantire che i rimedi siano messi in atto senza indugio. Il CRA non prescrive quindi che i fabbricanti devono fornire una patch per tutte le vulnerabilità che vengono scoperte durante il periodo di supporto di un prodotto. A seconda del rischio, i rimedi possono assumere forme diverse, tra cui, ma non solo, patch immediate, consulenze su soluzioni di lavoro da integrare successivamente con aggiornamenti software, aggiornamenti ai manuali utente, guida di configurazione per disabilitare le caratteristiche interessate. Ad esempio, un fabbricante di un hub domotico trova una vulnerabilità nel suo prodotto che consente agli aggressori remoti di eseguire codice arbitrario sull’hub; la valutazione del rischio del fabbricante mostra che c’è un alto rischio di compromesso, in quanto l’aggressore potrebbe controllare altri dispositivi collegati. Ad esempio, il fabbricante può prevedere di fornire una patch immediata e una guida adeguata ai suoi utenti. D’altra parte, un fabbricante di un router Wi-Fi trova una vulnerabilità del buffer overflow in una delle librerie software contenute nel firmware del router; la valutazione del rischio del fabbricante, tuttavia, mostra che la vulnerabilità non può essere sfruttata, in quanto le funzioni della libreria non sono mai chiamate nel firmware. Il fabbricante può essere previsto, ad esempio, per documentare la vulnerabilità, ma può decidere di non risolverlo con un aggiornamento dedicato. Il fabbricante può anche essere previsto, ad esempio, di rimuovere la libreria inutilizzata nel suo prossimo rilascio regolare del firmware. Infine, un fabbricante di una stampante laser per ufficio scopre che la scheda madre della stampante ha un’interfaccia di debug che rimane abilitata. Mentre la vulnerabilità potrebbe teoricamente essere sfruttata per bypassare l’autenticazione e iniettare codice dannoso, sfruttando la vulnerabilità richiede l’accesso fisico alla stampante, rompendo il suo sigillo antimanomissione, smontando componenti interni e saldatura alla scheda madre. La valutazione del rischio del fabbricante mostra che la vulnerabilità presenta un rischio molto basso e non ha sfruttabilità nel suo ambiente operativo. Il fabbricante può essere previsto, ad esempio, per documentare la vulnerabilità, aggiornare la sua documentazione tecnica e fornire raccomandazioni adeguate ai suoi utenti. ↗ Copia link alla risposta

Question 45

Il fabbricante deve affrontare e correggere le vulnerabilità di tutte le versioni di un prodotto software?

Accepted Answer

Se un fabbricante ha immesso sul mercato versioni sostanzialmente modificate di un prodotto software, il fabbricante può garantire il rispetto del requisito essenziale di cybersicurezza di cui alla parte II, punto (2), dell’allegato I solo per la versione che ha ultimato sul mercato, a condizione che gli utenti delle versioni precedentemente collocate sul mercato abbiano accesso alla versione ultima posta sul mercato gratuitamente e non incidano costi aggiuntivi per regolare l’ambiente hardware e software in cui utilizzano la versione originale. Il considerando 40 spiega in dettaglio la disposizione dell’articolo 13.10, precisando che i fabbricanti non sono tenuti ad affrontare e correggere le vulnerabilità per tutte le versioni di un prodotto software, se si soddisfano determinati criteri. Nello specifico, “tenendo conto della natura iterativa dello sviluppo del software, i fabbricanti che hanno immesso sul mercato versioni successive di un prodotto software sul mercato a seguito di una successiva modifica sostanziale di tale prodotto dovrebbero essere tenuti a fornire aggiornamenti di sicurezza per il periodo di supporto solo per la versione del prodotto software che hanno ultimato immesso sul mercato. Essi dovrebbero essere in grado di farlo solo se gli utenti delle relative versioni precedenti del prodotto hanno accesso alla versione più recente del prodotto immessa sul mercato gratuitamente e non debbano sostenere costi aggiuntivi per regolare l’hardware o l’ambiente software in cui operano il prodotto. Questo potrebbe, ad esempio, essere il caso in cui un aggiornamento del sistema operativo desktop non richieda nuovo hardware, come un’unità di elaborazione centrale più veloce o più memoria. Tuttavia, il fabbricante dovrebbe continuare a rispettare, per il periodo di supporto, gli altri requisiti di vulnerabilità, come ad esempio avere una politica sulla divulgazione coordinata delle vulnerabilità o misure in atto per facilitare la condivisione di informazioni sulle potenziali vulnerabilità per tutte le versioni successive sostanzialmente modificate del prodotto software immesso sul mercato. I fabbricanti dovrebbero essere in grado di fornire aggiornamenti di sicurezza o funzionalità minori che non costituiscono una modifica sostanziale solo per l’ultima versione o la sottoversione di un prodotto software che non è stato sostanzialmente modificato. Allo stesso tempo, qualora un prodotto hardware, come uno smartphone, non è compatibile con l’ultima versione del sistema operativo originariamente fornita con il prodotto, il fabbricante dovrebbe continuare a fornire aggiornamenti di sicurezza almeno per l’ultima versione compatibile del sistema operativo per il periodo di supporto” (considerando 40). ↗ Copia link alla risposta

Question 46

Il fabbricante è responsabile dell’installazione degli aggiornamenti di sicurezza da parte degli utenti del prodotto?

Accepted Answer

Una delle misure più importanti per gli utenti di prendere al fine di proteggere i loro prodotti con elementi digitali da attacchi informatici è quello di installare gli ultimi aggiornamenti di sicurezza disponibili al più presto possibile. I fabbricanti devono quindi progettare i loro prodotti e mettere in atto processi per garantire che i prodotti con elementi digitali includono funzioni che consentono la notifica, la distribuzione, il download e l’installazione di aggiornamenti di sicurezza automaticamente, in particolare nel caso dei prodotti di consumo. Essi dovrebbero anche fornire la possibilità di approvare il download e l’installazione degli aggiornamenti di sicurezza come un passo finale. Gli utenti dovrebbero mantenere la capacità di disattivare gli aggiornamenti automatici, con un meccanismo chiaro e facile da usare, supportato da chiare istruzioni su come gli utenti possono optare. I requisiti relativi agli aggiornamenti automatici indicati in allegato al presente regolamento non sono applicabili ai prodotti con elementi digitali destinati principalmente ad essere integrati come componenti in altri prodotti. Non si applicano anche a prodotti con elementi digitali per i quali gli utenti non si aspetterebbero ragionevolmente aggiornamenti automatici, compresi i prodotti con elementi digitali destinati ad essere utilizzati nelle reti ICT professionali, e soprattutto in ambienti critici e industriali in cui un aggiornamento automatico potrebbe causare interferenze con le operazioni. Indipendentemente dal fatto che un prodotto con elementi digitali sia progettato per ricevere aggiornamenti automatici o meno, il suo fabbricante dovrebbe informare gli utenti sulle vulnerabilità e rendere gli aggiornamenti di sicurezza disponibili senza indugio (considerando 56) I prodotti con elementi digitali sono messi a disposizione sul mercato solo quando: a) soddisfano i requisiti essenziali di cybersicurezza di cui alla parte I dell’allegato I, purché siano installati, mantenuti, utilizzati per il loro scopo o in condizioni ragionevolmente prevedibili, e, se del caso, siano stati installati i necessari aggiornamenti di sicurezza; e (b) i processi messi in atto dal fabbricante rispettano i requisiti essenziali di cybersicurezza stabiliti nella parte II dell’allegato I. Sulla base della valutazione dei rischi di cybersicurezza di cui all’articolo 13, paragrafo 2, e se applicabile, i prodotti con elementi digitali devono: (c) garantire che le vulnerabilità possano essere affrontate attraverso gli aggiornamenti di sicurezza, compresi, se del caso, gli aggiornamenti di sicurezza automatici che vengono installati in un arco temporale appropriato abilitato come impostazione predefinita, con un meccanismo chiaro e facile da usare, attraverso la notifica degli aggiornamenti disponibili agli utenti, e la possibilità di rinviarli temporaneamente, come previsto dall’allegato I, parte I, punto 2, lettera c). I fabbricanti di prodotti con elementi digitali devono: (7) fornire meccanismi per distribuire in modo sicuro gli aggiornamenti per i prodotti con elementi digitali per garantire che le vulnerabilità siano fissate o mitigate in modo tempestivo e, se applicabile per gli aggiornamenti di sicurezza, in modo automatico (allegato I, parte II, punto (7)). I fabbricanti di prodotti con elementi digitali devono: (8) garantire che, qualora gli aggiornamenti di sicurezza siano disponibili per affrontare i problemi di sicurezza identificati, vengano diffusi senza indugio e, se non diversamente concordati tra un fabbricante e un utente commerciale in relazione ad un prodotto su misura con elementi digitali, gratuiti, accompagnati da messaggi di consulenza che forniscono agli utenti le informazioni pertinenti, anche su eventuali azioni da intraprendere. (Allegato I, parte II, punto (8)). Il CRA stabilisce una serie di meccanismi che richiedono ai fabbricanti di garantire che gli aggiornamenti di sicurezza vengano diffusi senza indugio, che tali aggiornamenti vengano installati automaticamente ove possibile, e che gli utenti di prodotti con elementi digitali siano tenuti debitamente informati. Il CRA riconosce anche che gli aggiornamenti automatici non sono sempre applicabili, e gli utenti dovrebbero anche avere la possibilità di rinviare l’installazione di tali aggiornamenti. Il fabbricante non è responsabile in base al CRA se l’utente non installa aggiornamenti di sicurezza, ad esempio quando gli aggiornamenti non sono installati, perché gli aggiornamenti automatici non sono applicabili o perché l’utente non li installa. ↗ Copia link alla risposta

Question 47

Il fabbricante deve richiamare il prodotto se non può risolvere una vulnerabilità?

Accepted Answer

Dall’immissione sul mercato e per il periodo di supporto, i fabbricanti che conoscono o hanno ragione di credere che il prodotto con elementi digitali o i processi messi in atto dal fabbricante non siano conformi ai requisiti essenziali di cybersicurezza di cui all’allegato I prenderanno immediatamente le misure correttive necessarie per portare il prodotto con elementi digitali o processi del fabbricante in conformità, o per ritirare o richiamare il prodotto, come opportuno (art. 13(21)). Come spiegato nel 4.3.1 I fabbricanti sono tenuti a correggere tutte le vulnerabilità che vengono scoperte durante il periodo di supporto?, il fabbricante deve, in relazione ai rischi posti, di affrontare e correggere le vulnerabilità durante il periodo di supporto. I rimedi appropriati possono assumere forme diverse, comprese le misure di mitigazione. In alcune circostanze, tuttavia, è possibile che una vulnerabilità che presenta un rischio di compromesso molto significativo, in particolare in un prodotto hardware con elementi digitali, non possa essere affrontata e corretta adeguatamente e il prodotto non può essere ricondotto alla conformità. In tali casi, che possono essere casi eccezionali, il fabbricante può essere tenuto a ritirare o a richiamare il prodotto, se del caso. È probabile che, in tali circostanze, siano coinvolte le competenti autorità di vigilanza del mercato e che siano attivate le relative procedure di cui agli articoli da 54 a 58 del CRA. ↗ Copia link alla risposta

Question 48

Come devono i fabbricanti separare gli aggiornamenti di sicurezza dagli aggiornamenti funzionali, in particolare quando un aggiornamento persegue entrambe le finalità?

Accepted Answer

I fabbricanti di prodotti con elementi digitali devono: (2) in relazione ai rischi posti a prodotti con elementi digitali, indirizzi e vulnerabilità corrette senza indugio, anche fornendo aggiornamenti di sicurezza; laddove tecnicamente fattibile, nuovi aggiornamenti di sicurezza devono essere forniti separatamente dagli aggiornamenti di funzionalità (allegato I, parte II, punto 2). Per migliorare la trasparenza dei processi di gestione delle vulnerabilità e per garantire che gli utenti non siano tenuti a installare nuovi aggiornamenti di funzionalità al solo fine di ricevere gli ultimi aggiornamenti di sicurezza, i fabbricanti dovrebbero garantire, laddove tecnicamente fattibile, che i nuovi aggiornamenti di sicurezza siano forniti separatamente dagli aggiornamenti di funzionalità (considerando 57). Il CRA stabilisce che i fabbricanti dovrebbero, se tecnicamente fattibile, fornire nuovi aggiornamenti di sicurezza separatamente dagli aggiornamenti di funzionalità, al fine di garantire che gli aggiornamenti possano essere consegnati in modo tempestivo e che gli utenti non sono tenuti a installare aggiornamenti di funzionalità per poter ricevere gli ultimi aggiornamenti di sicurezza. I fabbricanti che rilasciano un aggiornamento di sicurezza per affrontare una vulnerabilità non sono di bundle che l’aggiornamento con altri aggiornamenti di funzionalità. Ad esempio, un dispositivo domestico intelligente ha una vulnerabilità nel processo di convalida del certificato SSL che consente a un aggressore di eseguire un attacco man-in-the-middle. Per risolvere la vulnerabilità, è sufficiente per il fabbricante di aggiornare la procedura di convalida del certificato SSL. Il fabbricante dovrebbe fornire quell’aggiornamento separatamente, senza bundling la correzione di sicurezza con altri aggiornamenti relativi alle funzionalità. Tuttavia, dove è necessario un aggiornamento di funzionalità per fornire un aggiornamento di sicurezza, i requisiti essenziali non impediscono al fabbricante di fornire un aggiornamento che combina sia la sicurezza che le modifiche di funzionalità. Ad esempio, un lettore PDF ha una vulnerabilità contenuta in un parser formato file obsoleto e che innesca overflow buffer. La correzione richiede la sostituzione del parser formato file con un nuovo parser più sicuro che supporta un comportamento leggermente diverso (ad esempio il controllo del formato più rigoroso), e che può portare a alcuni cambiamenti di funzionalità, perché alcuni file che hanno lavorato prima possono essere rifiutati. Poiché non sarebbe tecnicamente fattibile, il fabbricante non è tenuto a garantire una separazione tra questi tipi di modifiche software. Allo stesso modo, in determinate situazioni, l’aggiornamento della funzionalità può corrispondere all’aggiornamento della sicurezza. Ad esempio, un prodotto con elementi digitali accede alla stessa funzione tramite diverse interfacce (ad esempio interfaccia web, interfaccia app mobile, interfaccia di riga di comando, endpoint API). Se una di queste interfacce contiene una vulnerabilità, il fabbricante può determinare che è necessario disabilitare quell’interfaccia vulnerabile – fornendo così un aggiornamento di funzionalità che è anche un aggiornamento di sicurezza. ↗ Copia link alla risposta

Question 49

Come devono essere affrontate e corrette le vulnerabilità dei componenti integrati?

Accepted Answer

Gli obblighi di gestione delle vulnerabilità stabiliti nel presente regolamento, che i fabbricanti devono rispettare quando immettono un prodotto con elementi digitali sul mercato e per il periodo di supporto, si applicano ai prodotti con elementi digitali nella loro interezza, compresi tutti i componenti integrati. Se, nell’esercizio di dovuta diligenza, il fabbricante del prodotto con elementi digitali identifica una vulnerabilità in un componente, incluso in un componente libero e open source, deve informare la persona o l’entità che produce o mantiene il componente, correggere e porre rimedio alla vulnerabilità, e, se del caso, fornire alla persona o all’entità la correzione di sicurezza applicata (considerando 34). I fabbricanti devono rispettare gli obblighi di gestione delle vulnerabilità per la durata del periodo di supporto, per i loro prodotti nel loro insieme, tra cui la gestione delle vulnerabilità che interessano i loro prodotti che sono contenuti in componenti integrati. Si veda anche la sezione 4.3.1: I fabbricanti sono tenuti a correggere tutte le vulnerabilità che vengono scoperte durante il periodo di supporto? Se il fabbricante di un prodotto ha integrato un componente che è stato immesso sul mercato dopo che il CRA diventa applicabile (cioè il componente è di per sé un prodotto soggetto al CRA), il fabbricante può fare affidamento sulle azioni che il fabbricante del componente è tenuto a intraprendere per rispettare i propri obblighi di gestione delle vulnerabilità. Ad esempio, il fabbricante del componente può essere tenuto a sviluppare un aggiornamento di sicurezza per correggere una vulnerabilità nel componente. Il fabbricante integrante è ancora tenuto ad adempiere ai suoi obblighi di gestione delle vulnerabilità per il suo prodotto, ad esempio mantenendo gli utenti informati, fornendo misure di mitigazione, aggiornando la documentazione; ma i suoi obblighi di gestione delle vulnerabilità sono facilitati dagli obblighi corrispondenti del fabbricante del componente. Se il fabbricante ha integrato un componente che non è stato immesso sul mercato (o che è stato immesso sul mercato prima dell’applicazione del CRA), la persona o l’entità che ha sviluppato il componente non è soggetta agli obblighi di gestione delle vulnerabilità rispetto al CRA. Il fabbricante integrante è tuttavia tenuto a garantire che il suo prodotto sia nel suo complesso conforme ai requisiti di gestione della vulnerabilità. Se la persona o l’entità che ha sviluppato il componente non supporta il fabbricante nell’affrontare e correggere le vulnerabilità, il fabbricante integrante dovrebbe affrontare la vulnerabilità tramite altri mezzi, ad esempio disabilitando le funzioni compromesse; spegnendo il componente interessato; sviluppando da sé una patch (ad esempio, quando il componente è open source). Ai sensi dell’articolo 13, paragrafo 6, quando il fabbricante integrante sviluppa una patch per un componente, deve condividerla con la persona o l’entità che mantiene il componente. ↗ Copia link alla risposta

Question 50

In che modo la fine del periodo di supporto di un componente integrato incide sulla conformità del prodotto al CRA?

Accepted Answer

Al momento della determinazione del periodo di supporto, i fabbricanti possono anche tener conto dei periodi di supporto dei prodotti con elementi digitali che offrono una funzionalità analoga immessa sul mercato da altri fabbricanti, della disponibilità dell’ambiente operativo, dei periodi di supporto dei componenti integrati che forniscono funzioni di base e provengono da terzi […] (Articolo 13.8) I fabbricanti devono rispettare gli obblighi di gestione delle vulnerabilità per l’intera durata del periodo di supporto dei propri prodotti, considerati nel loro complesso e comprensivi di tutti i componenti integrati. Possono tuttavia fare affidamento sugli obblighi di gestione delle vulnerabilità cui sono soggetti i fabbricanti dei componenti, come illustrato nella sezione 4.3.6: «Come devono essere affrontate e corrette le vulnerabilità dei componenti integrati?» Il periodo di supporto dei componenti integrati è uno degli elementi di cui i fabbricanti possono tenere conto nel determinare il periodo di supporto del proprio prodotto, affinché possano beneficiare del periodo di supporto dei componenti chiave per affrontare e correggere le vulnerabilità del prodotto. Si veda anche la sezione 4.5, «Periodo di supporto». Tuttavia, si può verificare che un prodotto con un periodo di supporto attivo contenga una vulnerabilità in un componente integrato che non è più coperto dal periodo di supporto di tale componente, e che la vulnerabilità non può essere affrontata e corretta adeguatamente attraverso varie forme di misure di mitigazione (si veda anche la sezione 4.3.1: I fabbricanti sono tenuti a correggere tutte le vulnerabilità che vengono scoperte durante il periodo di supporto?). In tal caso, il fabbricante del prodotto è tenuto a correggere la vulnerabilità tramite altri mezzi, ad esempio spegnendo il componente integrato o sviluppando una patch autonomamente. ↗ Copia link alla risposta

Question 51

Che cosa prescrive il CRA quando si integrano componenti?

Accepted Answer

Quando immettono sul mercato un prodotto con elementi digitali, i fabbricanti devono assicurarsi che sia stato progettato, sviluppato e prodotto in conformità con i requisiti essenziali di cybersicurezza di cui alla parte I dell’allegato I (articolo 13, paragrafo 1) Ai fini del rispetto del paragrafo 1, i fabbricanti esercitano la debita diligenza quando si integrano componenti provenienti da terzi in modo che tali componenti non compromettano la cybersicurezza del prodotto con elementi digitali, anche quando si integrano componenti di software libero e open source che non sono stati resi disponibili sul mercato nel corso di un’attività commerciale (articolo 13, paragrafo 5) Quando si integrano componenti provenienti da terze parti in prodotti con elementi digitali durante la fase di progettazione e sviluppo, i fabbricanti dovrebbero, al fine di garantire che i prodotti siano progettati, sviluppati e prodotti in conformità con i requisiti essenziali di cybersicurezza stabiliti nel presente regolamento, esercitare la dovuta diligenza rispetto a tali componenti, compresi componenti software libero e open source che non sono stati resi disponibili sul mercato. Il livello appropriato di dovuta diligenza dipende dalla natura e dal livello di rischio di cybersicurezza associato a un dato componente, e deve, a tal fine, tener conto di una o più delle seguenti azioni: verificare, come applicabile, che il fabbricante di un componente abbia dimostrato la conformità al presente regolamento, anche controllando se il componente già reca la marcatura CE; verificare che un componente riceva aggiornamenti regolari di sicurezza, ad esempio controllando la cronologia degli aggiornamenti di sicurezza; verificare che un componente sia privo di vulnerabilità registrate nel database europeo di vulnerabilità stabilito ai sensi dell’articolo 12, paragrafo 2 della direttiva (UE) 2022/2555 o di altri database di vulnerabilità pubblicamente accessibili; o effettuare ulteriori test di sicurezza […] (considerando 34) Immediatamente dopo il periodo transitorio per l’applicazione del presente regolamento, un fabbricante di un prodotto con elementi digitali che integra uno o più componenti provenienti da terzi che sono anche soggetti al presente regolamento potrebbe non essere in grado di verificare, nell’ambito del suo obbligo di dovuta diligenza, che i fabbricanti di tali componenti abbiano dimostrato la conformità al presente regolamento controllando, ad esempio, se i componenti già recano la marcatura CE. Questo può essere il caso in cui i componenti sono stati integrati prima che il presente regolamento diventi applicabile ai fabbricanti di tali componenti. In tal caso, un fabbricante che integra tali componenti dovrebbe esercitare la dovuta diligenza attraverso altri mezzi (considerando 35) Al fine di garantire che il loro prodotto con elementi digitali soddisfi i requisiti essenziali del CRA, i fabbricanti devono esercitare la dovuta diligenza quando integrano componenti di terze parti nei loro prodotti. I fabbricanti possono integrare diversi tipi di componenti, compresi quelli che sono privi di marcatura CE (ad esempio componenti liberi e open source che non rientrano nell’ambito di applicazione del CRA, componenti immessi sul mercato prima che il CRA si applichi, o componenti che non sono stati immessi sul mercato), ma devono assicurarsi che tali componenti non compromettano la cybersicurezza dei loro prodotti con elementi digitali. Quando si integrano componenti che recano la marcatura CE, i fabbricanti sono in grado di fare affidamento sulla dichiarazione di conformità dell’UE del componente e sulla documentazione di accompagnamento per dimostrare la conformità del proprio prodotto al CRA. Il livello appropriato di dovuta diligenza dipende dalla natura e dal livello del rischio di cybersicurezza di un dato componente – si veda anche la sezione 4.4.2 Qual è il livello appropriato di dovuta diligenza? ↗ Copia link alla risposta

Question 52

Qual è il livello appropriato di dovuta diligenza?

Accepted Answer

Il livello appropriato di dovuta diligenza dipende dalla natura e dal livello del rischio di cybersicurezza di un dato componente ed è finalizzato a garantire che i componenti che sono integrati non compromettano la cybersicurezza del prodotto del fabbricante con elementi digitali. La valutazione del rischio del prodotto con elementi digitali informa anche il livello appropriato di dovuta diligenza. Se un componente o un prodotto è associato a più rischi, le azioni che un fabbricante dovrebbe mettere in atto durante l’esercizio della dovuta diligenza dovrebbero essere più estese che per un componente o un prodotto associato a meno rischi. In linea con il considerando 34, esempi di una o più azioni che i fabbricanti possono intraprendere includono: verificare se il componente rechi già la marcatura CE; verificare che un componente riceva aggiornamenti regolari di sicurezza, come ad esempio controllando la sua cronologia degli aggiornamenti di sicurezza; verificare nella banca dati europea di vulnerabilità stabilita ai sensi dell’articolo 12, paragrafo 2 della direttiva (UE) 2022/2555 o altri database di vulnerabilità pubblicamente accessibili, le vulnerabilità applicabili a un componente e la progettazione, lo sviluppo e la produzione del prodotto con elementi digitali che integrano il componente in modo tale che queste vulnerabilità non compromettano la cybersicurezza del prodotto con elementi digitali; eseguire ulteriori test di sicurezza, come test di fuzz, test di penetrazione, analisi del firmware, analisi del canale laterale, esercizi di red-team, analisi del traffico di rete, spoofing del sensore. Ulteriori esempi di azioni che i fabbricanti possono intraprendere includono: l’analisi della composizione del software sui componenti; il sandboxing o l’isolamento di componenti altamente critici; quando disponibile, la revisione del SBOM di tale componente; il controllo del periodo di supporto del componente; la verifica che lo scopo previsto del componente sia adatto all’uso previsto dal fabbricante che lo integra; valutare la postura di sicurezza del fabbricante del componente. ↗ Copia link alla risposta

Question 53

Per esercitare la dovuta diligenza, un fabbricante deve integrare esclusivamente componenti recanti la marcatura CE?

Accepted Answer

In linea con l’articolo 13, paragrafo 5, i fabbricanti possono integrare vari tipi di componenti, compresi i componenti che non sono stati immessi sul mercato o che sono stati immessi sul mercato prima dell’applicazione del CRA, a condizione che esercitino la dovuta diligenza per garantire che il componente non comprometta la cybersicurezza del proprio prodotto con elementi digitali. Il fabbricante non ha bisogno di rendere tali componenti conformi dei requisiti essenziali di cui all’allegato I, parte I, prima di integrarli. Nota: i fabbricanti di tali componenti sono tenuti a garantire che siano conformi al CRA, se li immettono sul mercato. Tuttavia, il fabbricante deve garantire che i propri prodotti con elementi digitali siano sicuri e soddisfino i requisiti essenziali del CRA, e la dovuta diligenza è un obbligo fondamentale per soddisfare tali requisiti. Il fabbricante è inoltre tenuto a rispettare gli obblighi di gestione delle vulnerabilità dell’allegato I, parte II, per tutta la durata del periodo di supporto, per i propri prodotti. L’integrazione dei componenti che recano la marcatura CE può semplificare determinati obblighi (ad esempio, si veda la sezione 4.3.6: Come dovrebbero essere le vulnerabilità nei componenti integrati affrontate e corrette?) ma ciò non è richiesto dal CRA. ↗ Copia link alla risposta

Question 54

Come devono i fabbricanti esercitare la dovuta diligenza riguardo ai componenti open source non soggetti al CRA?

Accepted Answer

I fabbricanti sono autorizzati a integrare componenti open source che non rientrano nell’ambito di applicazione del CRA (cioè perché non sono messi a disposizione sul mercato nel corso di un’attività commerciale), così come componenti open source che vengono pubblicati da un responsabile di software open source. Come spiegato in 4.4.2 Qual è il livello appropriato di dovuta diligenza?, il livello appropriato di dovuta diligenza dipende dalla natura e dal livello di rischio di cybersicurezza di un determinato componente open source. La Commissione ha il potere di stabilire programmi di attestazione di sicurezza volontaria che possono essere utilizzati per valutare la conformità dei componenti liberi e open source con il CRA. Se disponibili, tali programmi di attestazione faciliterebbero l’obbligo di dovuta diligenza dei fabbricanti. ↗ Copia link alla risposta

Question 55

Quali criteri deve considerare il fabbricante nel determinare il periodo di supporto di un prodotto?

Accepted Answer

I fabbricanti determinano il periodo di supporto in modo che rifletta la durata del tempo durante il quale il prodotto dovrebbe essere in uso, tenendo conto, in particolare, delle ragionevoli aspettative degli utenti, della natura del prodotto, compreso il suo scopo previsto, nonché del relativo diritto dell’Unione che determina la durata dei prodotti con elementi digitali. Nel determinare il periodo di supporto, i fabbricanti possono anche tener conto dei periodi di supporto dei prodotti con elementi digitali che offrono funzionalità analoghe immesse sul mercato da altri fabbricanti, della disponibilità dell’ambiente operativo, dei periodi di supporto dei componenti integrati che forniscono funzioni di base e provengono da terzi, nonché delle linee guida pertinenti fornite dal gruppo di cooperazione amministrativa dedicato (ADCO) stabilito ai sensi dell’articolo 52 e della Commissione. Le questioni da prendere in considerazione al fine di determinare il periodo di supporto sono considerate in modo da garantire la proporzionalità (articolo 13, paragrafo 8, secondo comma). I fabbricanti sono tenuti a determinare il periodo di supporto in modo che rifletta la durata del tempo durante il quale si prevede di essere in uso, tenendo conto, in particolare: la natura del prodotto, compreso il suo scopo previsto; un altro atto legislativo dell’Unione che determina la durata dei prodotti con elementi digitali. Altri fattori rilevanti che i fabbricanti possono prendere in considerazione includono: il periodo di supporto di prodotti simili immessi sul mercato da altri fabbricati; la disponibilità dell’ambiente operativo; il periodo di supporto dei componenti integrati di terze parti che forniscono funzioni di base; la guida pertinente fornita dal CRA ADCO. Tutti questi fattori devono essere presi in considerazione in modo da garantire la proporzionalità nella determinazione del periodo di supporto. Pertanto, i fabbricanti non sono tenuti a impostare semplicemente i periodi di supporto che corrispondono al tempo di utilizzo previsto (a meno che il tempo di utilizzo previsto sia inferiore a cinque anni, come discusso nella voce 4.5.2 Esiste un periodo di supporto minimo?). Ai sensi dell’articolo 13, paragrafo 8, un fabbricante dovrebbe includere nella sua documentazione tecnica le informazioni che sono state prese in considerazione per determinare il periodo di supporto di un prodotto con elementi digitali. ↗ Copia link alla risposta

Question 56

C’è un periodo di supporto minimo?

Accepted Answer

Fatto salvo il secondo comma, il periodo di supporto è di almeno cinque anni. Se il prodotto con elementi digitali è destinato ad essere utilizzato per meno di cinque anni, il periodo di supporto corrisponde al tempo di utilizzo previsto (articolo 13, paragrafo 8, terzo comma). Il periodo di supporto per il quale il fabbricante garantisce l’effettiva gestione delle vulnerabilità non dovrebbe essere inferiore a cinque anni, a meno che la durata del prodotto con elementi digitali sia inferiore a cinque anni, in tal caso il fabbricante dovrebbe garantire la gestione della vulnerabilità per quella vita. Se il tempo in cui il prodotto con elementi digitali è ragionevolmente previsto per essere in uso è più lungo di cinque anni, come spesso accade per componenti hardware come schede madri o microprocessori, dispositivi di rete come router, modem o switch, così come software, come sistemi operativi o strumenti di videoediting, i fabbricanti dovrebbero quindi garantire periodi di supporto più lunghi. In particolare, i prodotti con elementi digitali destinati all’uso in ambienti industriali, come i sistemi di controllo industriale, sono spesso in uso per periodi di tempo notevolmente più lunghi. Un fabbricante dovrebbe essere in grado di definire un periodo di supporto inferiore a cinque anni soltanto quando Ciò è giustificato dalla natura del prodotto con elementi digitali interessato. Quando tale prodotto è destinato a essere utilizzato per meno di cinque anni, il periodo di supporto dovrebbe corrispondere al tempo di utilizzo previsto. Per esempio, la durata di un’applicazione di tracciamento dei contatti destinata all’uso durante una pandemia potrebbe essere limitata alla durata della pandemia. Inoltre, alcune applicazioni software possono per natura essere rese disponibili solo sulla base di un modello di abbonamento, in particolare quando l’applicazione non è disponibile per l’utente e di conseguenza non è più in uso una volta che l’abbonamento scade (considerando 60) Il periodo di supporto deve essere fissato ad almeno cinque anni, ma tale durata non è sufficiente quando i prodotti con elementi digitali sono ragionevolmente previsti per essere in uso per più di cinque anni. In tali circostanze, i fabbricanti dovrebbero prendere in considerazione tutti i fattori rilevanti (cfr. voce 4.5.1 Quali criteri dovrebbero prendere in considerazione il fabbricante quando si determina il periodo di supporto del prodotto?) che possono comportare la necessità di fornire un periodo di supporto più lungo di cinque anni. Un periodo di supporto di meno di cinque anni è giustificato solo in situazioni in cui la durata del prodotto con elementi digitali è inferiore a cinque anni. In questi casi, il periodo di supporto corrisponde al tempo di utilizzo previsto, senza tener conto degli altri criteri di cui all’articolo 13, paragrafo 8. Questo è il caso per i prodotti che soddisfano uno scopo molto specifico (ad esempio un’app di contatto che deve essere utilizzata durante una pandemia), ma anche per alcune applicazioni software che possono, per natura, essere rese disponibili solo sulla base di un modello di abbonamento, in particolare quando l’applicazione non è disponibile per l’utente una volta che l’abbonamento scade. Ad esempio, alcuni software antivirus aziendali funzionano solo per gli utenti con un abbonamento attivo, in quanto gli utenti si affidano alla disponibilità di definizioni antivirus aggiornate, e non è più accessibile quando tale abbonamento scade. Allo stesso modo, determinati software liberi e open source che vengono messo sul mercato possono essere monetizzati dal relativo fabbricante solo attraverso la vendita di servizi di supporto a pagamento offerti su base di abbonamento. Pertanto, proprio perché libero e open source, il software può rimanere in uso dopo che il suo utente smette di pagare per i servizi di supporto; in tale circostanza, il fabbricante è tenuto a garantire un periodo di supporto pari alla durata dell’abbonamento attivo. ↗ Copia link alla risposta

Question 57

Può un fabbricante continuare a vendere prodotti senza un periodo di supporto?

Accepted Answer

I fabbricanti devono impostare il periodo di supporto per tutti i prodotti con elementi digitali che sono stati immessi sul mercato dopo l’11 dicembre 2027. Tali prodotti possono continuare a essere resi disponibili sul mercato dopo la scadenza del loro periodo di supporto. Tuttavia, per le unità di quel prodotto che sono nuovamente immesse sul mercato, i fabbricanti sono tenuti a fissare il periodo di supporto. Ad esempio, un fabbricante produce 10.000 unità identiche dello stesso modello o serie di prodotti hardware e le immette sul mercato nel gennaio 2028, con un periodo di supporto di cinque anni (cioè fino al gennaio 2033). Un distributore riesce a vendere solo una parte di tali unità prima della fine del periodo di supporto. Il distributore può continuare a rendere disponibili tali unità anche dopo il gennaio 2033. Il 1° gennaio 2030, lo stesso fabbricante produce ulteriori 5.000 unità identiche di quello stesso modello o serie di prodotti hardware e le immette sul mercato. Il fabbricante è tenuto a fissare un periodo di supporto per tali unità, conformemente all’articolo 13, paragrafo 8 del CRA. ↗ Copia link alla risposta

Question 58

Come può un fabbricante venire a conoscenza di una vulnerabilità sfruttata attivamente o di un incidente grave?

Accepted Answer

Il CRA non specifica come un fabbricante sia a conoscenza di una vulnerabilità attivamente sfruttata o di un grave incidente, ma piuttosto impone l’obbligo di notifica ai sensi dell’articolo 14 una volta che ne viene a conoscenza. I paragrafi qui sotto forniscono alcuni esempi su come un fabbricante può diventare a conoscenza di tali vulnerabilità o incidenti, attraverso una varietà di attività e canali. Va notato che ciò non implica che il fabbricante sia tenuto a svolgere tali attività o a monitorare tali canali per rispettare gli obblighi di segnalazione. Nota: Tuttavia, l’allegato I, parte II richiede al fabbricante di avere, tra l’altro, un unico punto di contatto in cui le vulnerabilità possono essere segnalate, per mettere in atto e far rispettare una politica coordinata di divulgazione delle vulnerabilità e adottare misure per facilitare la condivisione delle informazioni sulle potenziali vulnerabilità. Ad esempio, un fabbricante può diventare consapevole perché un cliente o un’organizzazione partner lo informano di attività o compromessi insoliti, fornendo al fabbricante prove affidabili che una vulnerabilità attivamente sfruttata è contenuta nel suo prodotto (o il fabbricante raccoglie prove affidabili che confermano la sua esistenza). Un fabbricante può anche diventare a conoscenza tramite segnalazioni di threat intelligence, ad esempio, i ricercatori di sicurezza o le imprese di cybersicurezza pubblicano rapporti che dettagliano una vulnerabilità zero-day (cioè una vulnerabilità per la quale non è ancora disponibile una patch o un aggiornamento della sicurezza) nel prodotto del fabbricante utilizzato in attacchi mirati. Le agenzie di cybersicurezza governative possono anche informare il fabbricante, avendo rilevato lo sfruttamento di una vulnerabilità attraverso i loro sistemi di monitoraggio. Gli hacker etici possono anche segnalare una vulnerabilità che viene già sfruttata in contesti reali. Inoltre, il fabbricante può anche diventare consapevole tramite monitoraggio interno, attività di scansione o telemetria. Ad esempio, il sistema di telemetria del fabbricante o un honeypot (cioè un meccanismo di sicurezza utilizzato per attirare i criminali informatici lontano da obiettivi legittimi) indica lo sfruttamento di una vulnerabilità precedentemente sconosciuta nel prodotto del fabbricante, o il team di sicurezza del fabbricante monitora i forum del dark web e trova prove che gli hacker hanno sfruttato con successo una vulnerabilità nel prodotto del fabbricante. ↗ Copia link alla risposta

Question 59

Un fabbricante deve segnalare vulnerabilità zero-day?

Accepted Answer

«vulnerabilità sfruttata in modo attivo» significa una vulnerabilità per la quale c’è una prova affidabile che un soggetto malintenzionato l’ha sfruttata in un sistema senza permesso del proprietario del sistema (articolo 3, paragrafo 42) Le vulnerabilità attivamente sfruttate riguardano casi in cui un fabbricante stabilisce che una violazione della sicurezza che interessa i suoi utenti o qualsiasi altra persona fisica o giuridica ha provocato un soggetto malintenzionato abbia sfruttato un difetto in uno dei prodotti con elementi digitali resi disponibili sul mercato dal fabbricante. Esempi di tali vulnerabilità potrebbero essere debolezze nelle funzioni di identificazione e autenticazione di un prodotto. Vulnerabilità che vengono scoperte senza intenti dannosi nell’ambito di attività svolte in buona fede di prova, indagine, correzione o divulgazione per promuovere la sicurezza del proprietario del sistema e dei suoi utenti non devono essere soggette a notifica obbligatoria (considerando 68) Le vulnerabilità per le quali una patch o un aggiornamento di sicurezza non sono ancora disponibili (le cosiddette “vulnerabilità zero-day”) sono soggette all’obbligo di segnalazione conformemente all’articolo 14, quando il fabbricante ha prove affidabili che un soggetto malintenzionato ha sfruttato tale vulnerabilità. Ad esempio, una vulnerabilità zero-day scoperta da hacker etici, per cui non vi è alcuna prova di sfruttamento dannoso precedente, e che viene comunicata al fabbricante del prodotto come parte del suo programma di bug-bounty (si veda il considerando 76) non è una vulnerabilità sfruttata attivamente soggetta a segnalazione obbligatoria. Allo stesso modo, una vulnerabilità zero-day scoperta da un laboratorio di valutazione della cybersicurezza che esegue test per conto del fabbricante, e per cui non c’è alcuna prova di sfruttamento dannoso precedente, non è una vulnerabilità sfruttata attivamente soggetta a segnalazione obbligatoria. I fabbricanti possono ancora notificare tali vulnerabilità su base volontaria, conformemente all’articolo 15. ↗ Copia link alla risposta

Question 60

Un fabbricante deve segnalare vulnerabilità sfruttate attivamente o incidenti gravi relativi a prodotti immessi sul mercato prima dell’applicazione del CRA?

Accepted Answer

In deroga al paragrafo 2 del presente articolo, gli obblighi di cui all’articolo 14 si applicano a tutti i prodotti con elementi digitali che rientrano nel campo di applicazione del presente regolamento che sono stati immessi sul mercato prima dell’11 dicembre 2027 (articolo 69, paragrafo 3). Gli obblighi di segnalazione iniziano ad applicarsi a partire dall’11 settembre 2026. I fabbricanti sono tenuti a rispettare l’articolo 14, e in particolare l’obbligo di notificare vulnerabilità attivamente sfruttate e gravi incidenti che hanno un impatto sulla sicurezza del prodotto per tutti i prodotti con elementi digitali rientranti nell’ambito di applicazione del CRA, compresi i prodotti che sono stati immessi sul mercato prima dell’11 dicembre 2027. Se il prodotto è stato messo sul mercato prima dell’11 dicembre 2027, i fabbricanti potrebbero non essere in grado di indagare tali vulnerabilità, ad esempio perché lo strumento di scansione o l’esecuzione di vecchie versioni del software potrebbe non esistere più, gli ambienti di compilazione per il vecchio codice possono essere impossibili da ricreare, le dipendenze possono essere non disponibili o incompatibili con i sistemi moderni, il personale con la conoscenza di vecchie basi di codice potrebbe non essere più disponibile. Per tali prodotti, i fabbricanti sono tenuti a notificare la vulnerabilità o l’incidente, ma non sono tenuti dal CRA a rispettare altri obblighi, ad esempio in relazione alla gestione della vulnerabilità. Inoltre, l’obbligo di notifica si applica quando si diventa consapevoli dopo l’entrata in applicazione dei requisiti di segnalazione (si veda anche la sezione 5.1 Come può un fabbricante diventare consapevole di una vulnerabilità attivamente sfruttata o di un grave incidente?). Tuttavia, l’articolo 14 richiede al fabbricante di informare gli utenti colpiti del prodotto con elementi digitali, e, se del caso, tutti gli utenti, di tali vulnerabilità o incidenti. Se il fabbricante decide di non informare gli utenti del prodotto con elementi digitali in modo tempestivo, i CSIRT che ricevono la notifica possono fornire tali informazioni agli utenti quando considerati proporzionati e necessari per prevenire o mitigare l’impatto di tale vulnerabilità o incidente. ↗ Copia link alla risposta

Question 61

Se un componente di terzi contiene una vulnerabilità sfruttata attivamente, tutti i fabbricanti che lo integrano devono notificarla?

Accepted Answer

«Prodotto con elementi digitali» significa un prodotto software o hardware e le sue soluzioni di trattamento remoto dei dati, compresi i componenti software o hardware che vengono immessi sul mercato separatamente (articolo 3, paragrafo 10) Il fabbricante deve notificare qualsiasi vulnerabilità attivamente sfruttata contenuta nel prodotto con elementi digitali di cui è a conoscenza (articolo 14, paragrafo 1) I fabbricanti devono notificare le vulnerabilità sfruttate attivamente per garantire che i CSIRT designati come coordinatori e ENISA, abbiano un’adeguata panoramica di tali vulnerabilità e siano forniti delle informazioni necessarie per assolvere i loro compiti come indicato nella direttiva (UE) 2022/2555 e aumentare il livello complessivo di cybersicurezza di entità essenziali e importanti di cui all’articolo 3 di tale direttiva, nonché per garantire l’efficace funzionamento delle autorità di vigilanza del mercato. Poiché la maggior parte dei prodotti con elementi digitali sono commercializzati in tutto il mercato interno, qualsiasi vulnerabilità sfruttata in un prodotto con elementi digitali dovrebbe essere considerata una minaccia per il funzionamento del mercato interno (considerando 66) I fabbricanti sono tenuti a notificare qualsiasi vulnerabilità attivamente sfruttata contenuta nel proprio prodotto con elementi digitali. Dove il prodotto con elementi digitali contiene una vulnerabilità attivamente sfruttata derivante da un componente integrato, il fabbricante del prodotto con elementi digitali è tenuto a notificare tale vulnerabilità. Il fabbricante del componente integrato è inoltre tenuto a notificarlo, se tale componente è stato immesso sul mercato. Se il fabbricante di un prodotto con elementi digitali è consapevole che un componente integrato contiene una vulnerabilità, ma che la vulnerabilità non può essere sfruttata nel suo prodotto con elementi digitali, che la vulnerabilità non è attivamente sfruttata, e quindi non è soggetta a segnalazione obbligatoria. I fabbricanti possono ancora notificare tale vulnerabilità su base volontaria, conformemente all’articolo 15, e sono tenuti a segnalare la vulnerabilità alla persona o all’entità che produce o mantiene il componente, conformemente all’articolo 13, paragrafo 6. Ciò consente ai CSIRT di ricevere la notifica ed ENISA di avere una panoramica del paesaggio di sicurezza nel mercato interno e di valutare il livello di criticità e di penetrazione del mercato delle vulnerabilità attivamente sfruttate. ↗ Copia link alla risposta

Question 62

Cos’è il modulo A? Come funziona? Quali attività di valutazione della conformità sono previste per l’autovalutazione?

Accepted Answer

Il modulo A, definito nella parte I dell’allegato VIII, è una procedura di valutazione della conformità in cui il fabbricante verifica che il prodotto con elementi digitali sia conforme ai requisiti essenziali del CRA e dichiara la conformità alla sua esclusiva responsabilità. Nessun organismo notificato partecipa a questa procedura. Le seguenti categorie di prodotti sono autorizzate ad utilizzare il modulo A: Tutti i prodotti con elementi digitali che non hanno la funzionalità di base di una categoria di prodotti importanti o critici («categoria di default»). Prodotti importanti con elementi digitali della classe I, se una norma armonizzata è stata applicata ai sensi dell’articolo 32, paragrafo 2; Prodotti importanti con elementi digitali di classe I o II, se sono software libero e open source a condizione che la documentazione tecnica sia resa disponibile al pubblico, conformemente all’articolo 32, paragrafo 5. Il fabbricante deve svolgere le seguenti attività: Implementare le misure necessarie di mitigazione della cybersicurezza nel prodotto a seguito della valutazione del rischio descritta nella sezione 4.1 approccio basato sul rischio e valutazione dei rischi. Verificare (tramite prove o altri meccanismi) che il prodotto sia conforme ai pertinenti requisiti essenziali del CRA. Ove applicabile, si veda anche la sezione 6.5 Quale metodologia di valutazione deve applicare un fabbricante? Elaborare la documentazione tecnica. Si veda anche la sezione 6.6 Che cos’è la documentazione tecnica? Una volta che il fabbricante è in grado di dimostrare che il prodotto con elementi digitali sia conforme ai requisiti essenziali del CRA, apporre la marcatura CE (si veda la sezione 6.7 Qual è la marcatura CE?), redige e firma una dichiarazione di conformità (si veda la sezione 6.8 Qual è la dichiarazione di conformità?). Assicurarsi che la produzione delle diverse unità del prodotto con elementi digitali non alteri il rispetto dei requisiti essenziali del CRA. ↗ Copia link alla risposta

Question 63

Cos’è il modulo B+C? Come funziona?

Accepted Answer

Il modulo B+C, indicato nelle parti II e III dell’allegato VIII, è una procedura di valutazione della conformità in cui il fabbricante verifica che il prodotto con elementi digitali sia conforme ai requisiti essenziali del CRA, un organismo notificato esamina la progettazione e lo sviluppo del prodotto e il fabbricante ne dichiara la conformità. Il fabbricante può intraprendere una procedura di valutazione della conformità basata sul modulo B+C per tutte le categorie di prodotti coperti dal CRA. I moduli B+C o H sono obbligatori nei seguenti casi: Prodotti importanti con elementi digitali di classe I se una norma armonizzata non è stata applicata, conformemente all’articolo 32, paragrafo 2. Prodotti importanti della classe II. Prodotti critici, salvo che l’uso di un sistema europeo di certificazione della cybersicurezza sia reso obbligatorio in futuro conformemente all’articolo 8, paragrafo 1. Un organismo notificato partecipa a questa procedura ed esamina l’intero prodotto e tutti i requisiti essenziali rilevanti nei termini descritti di seguito. Il fabbricante e l’organismo notificato devono svolgere le seguenti attività: Il fabbricante attua le necessarie misure di mitigazione della cybersicurezza nel prodotto a seguito della valutazione del rischio descritta nella sezione 4.1 approccio basato sul rischio e valutazione dei rischi. Il fabbricante testa il prodotto al fine di verificare che sia conforme ai requisiti essenziali rilevanti del CRA. Per ulteriori informazioni, si veda la sezione 6.5 Quale metodologia di valutazione deve applicare un fabbricante? Il fabbricante elabora la documentazione tecnica. Per ulteriori informazioni, si veda la sezione 6.6: Qual è la documentazione tecnica? L’organismo notificato valuta la progettazione del prodotto sulla base della documentazione tecnica e di uno o più campioni. Oltre alla valutazione documentale, esegue le prove necessarie direttamente o tramite un laboratorio esterno; il fabbricante può dover partecipare a tali prove. Se conclude che il prodotto è conforme al CRA, rilascia un certificato di esame UE del tipo valido per il periodo da esso stabilito. Nota: Conformemente all’articolo 32, paragrafo 5, i fabbricanti mantengono la possibilità di utilizzare il modulo A anche nel caso di un prodotto importante con elementi digitali di classe I o II se il loro prodotto si qualifica come software libero e open source e la documentazione tecnica è resa disponibile al pubblico. Una volta che il fabbricante ottiene il certificato di tipo UE, appone la marcatura CE (si veda la sezione 6.7 Qual è la marcatura CE?), redige e firma una dichiarazione di conformità (cfr. sezione 6.8 Qual è la dichiarazione di conformità?). Il fabbricante assicura che la produzione delle diverse unità del prodotto non altera il rispetto dei requisiti essenziali del CRA, come previsto al punto 2 del modulo C. La fase di produzione non viene valutata dall’organismo notificato. In altre parole, il fabbricante non può giustificare che un prodotto il cui progetto è conforme al CRA non sia, nella pratica, conforme a causa di un difetto del processo di produzione. Le modifiche sostanziali del prodotto richiedono una nuova valutazione da parte dello stesso o di un organismo notificato diverso, che potrebbe portare a una potenziale revisione del certificato di tipo UE rilasciato. Altre modifiche che non pregiudicano il rispetto dei requisiti del CRA non sono soggette a rivalutazione da parte dell’organismo notificato. Inoltre, conformemente al punto 8 del modulo B, l’organismo notificato deve effettuare controlli periodici per garantire che i processi di gestione delle vulnerabilità siano attuati correttamente. Le informazioni sui certificati di tipo UE e le loro revisioni devono essere condivise con altri organismi notificati e con le autorità di notifica, secondo il punto 9 del modulo B. ↗ Copia link alla risposta

Question 64

Cos’è il modulo H? Come funziona?

Accepted Answer

Il modulo H, definito nella parte IV dell’allegato VIII, è una procedura di valutazione della conformità in cui il fabbricante implementa un sistema di controllo di qualità completo che garantisce che i prodotti soggetti a questo sistema rispettino i requisiti essenziali del CRA sia nelle fasi di progettazione che di produzione. Un organismo notificato valuta le prestazioni complessive del sistema di controllo della qualità, compresi i test periodici e i controlli. Il fabbricante dichiara il rispetto dei requisiti del CRA prima di mettere i prodotti sul mercato. Solo un organismo notificato partecipa a questa procedura ed esamina l’intero sistema di controllo della qualità nei termini descritti di seguito. Questo modulo potrebbe essere particolarmente considerato dai fabbricanti che immettono sul mercato numerosi tipi di prodotto o prodotti soggetti a frequenti aggiornamenti, in quanto razionalizza le relative procedure di valutazione della conformità per ogni prodotto nuovo o sostanzialmente modificato. Il fabbricante e l’organismo notificato devono svolgere le seguenti attività: Il fabbricante implementa un sistema di controllo di qualità completo che copre un determinato insieme di prodotti e tutte le fasi di produzione rilevanti, dalla progettazione alla produzione. Il sistema può essere basato su norme internazionali (ad esempio, serie ISO 9000 che copre le specificità del CRA). Il fatto che il fabbricante sia certificato secondo la norma ISO 9000 non lo autorizza automaticamente a svolgere attività di valutazione della conformità nell’ambito del modulo H, in quanto è necessario il coinvolgimento di un organismo notificato secondo il CRA. L’organismo notificato valuta il sistema di controllo della qualità nel suo complesso, tra cui: tra gli altri, la progettazione tecnica dei prodotti coperti, le norme o le specifiche da applicare (in particolare, come è garantito il rispetto dei requisiti essenziali del CRA), i test da eseguire e il monitoraggio del sistema complessivo. L’organismo notificato valuta l’intero processo di fabbricazione. Il fabbricante, sulla base del sistema di controllo della qualità, attua le misure necessarie di mitigazione della cybersicurezza nel prodotto a seguito della valutazione del rischio descritta nella sezione 4.1 Che cosa prescrive il CRA per la valutazione dei rischi di cybersicurezza del fabbricante?. Il fabbricante, sulla base del sistema di controllo della qualità, verifica che il prodotto sia conforme ai requisiti essenziali pertinenti del CRA. Per ulteriori informazioni, si veda la sezione 6.5 Quale metodologia di valutazione deve applicare un fabbricante? Il fabbricante, sulla base del sistema di controllo della qualità, elabora la documentazione tecnica. Per ulteriori informazioni, si veda la sezione 6.6 Qual è la documentazione tecnica? Il fabbricante appone la marcatura CE (si veda la sezione 6.7 Che cos’è la marcatura CE?) insieme al numero NANDO dell’organismo notificato, redige e firma una dichiarazione di conformità (cfr. sezione 6.8 Qual è la dichiarazione di conformità?). Il fabbricante, sulla base del sistema di controllo della qualità, assicura che la produzione delle diverse unità del prodotto non altera il rispetto dei requisiti essenziali del CRA. Il fabbricante può estendere la portata del sistema di qualità descritto a prodotti nuovi o sostanzialmente modificati. Il sistema di qualità deve essere aggiornato al fine di documentare correttamente il nuovo campo di applicazione, e potrebbe essere necessario applicare nuove norme o eseguire nuove prove. Tuttavia, questa estensione è soggetta a una nuova valutazione da parte dello stesso organismo notificato che ha eseguito la valutazione originale. In ogni caso, e come indicato sopra, il modulo H fornisce un quadro più versatile e flessibile rispetto al modulo B+C. Pertanto, l’inclusione di nuovi prodotti costituisce una maggiore semplificazione del processo, dal momento che l’organismo notificato dovrà solo valutare le eventuali nuove norme o prove applicabili ai nuovi prodotti. ↗ Copia link alla risposta

Il CRA, spiegatodomanda per domanda.

Autorità e organismi

Obblighi di segnalazione

Applicazione generale