Cos'è il Cyber Resilience Act e chi deve conformarsi
Il Cyber Resilience Act (Regolamento UE 2024/2847) è il primo regolamento europeo che impone requisiti di cybersecurity obbligatori per tutti i "prodotti con elementi digitali" venduti nel mercato UE, dal software ai dispositivi IoT/OT industriali, marcatura CE compresa.
A differenza della NIS2, che regola chi opera infrastrutture critiche, il CRA regola la filiera dei produttori: fabbricanti, importatori e distributori devono garantire sicurezza fin dalla progettazione (security-by-design), gestione delle vulnerabilità per tutto il ciclo di vita del prodotto e trasparenza, con dichiarazione di conformità e SBOM disponibile alle autorità.
Il regolamento è entrato in vigore a fine 2024; gli obblighi di segnalazione - vulnerabilità attivamente sfruttate e incidenti gravi entro 24 ore a ENISA - si applicano da settembre 2026, mentre il pieno regime di conformità, con marcatura CE e documentazione tecnica completa, decorre da dicembre 2027.
Per chi opera reti OT/IoT industriali, anche senza produrre direttamente: bisogna verificare che i fornitori dei dispositivi installati rispettino gli obblighi di gestione delle vulnerabilità e di aggiornamento sicurezza, perché il rischio di prodotti non conformi si riflette direttamente sulla superficie di attacco della propria rete.
CRA
Cyber Resilience Act (Reg. UE 2024/2847)
Regolamento UE che impone requisiti di cybersecurity ai produttori, importatori e distributori di prodotti con elementi digitali immessi sul mercato europeo. Pieno effetto dall'11/12/2027. Tocca direttamente OEM, system integrator e fornitori di componenti OT/IoT.
- 01Security by design lungo l'intero ciclo di vita del prodotto
- 02Vulnerability handling e disclosure coordinata
- 03Gestione delle componenti software, incluso SBOM
- 04Notifica di vulnerabilità sfruttate attivamente entro 24h
- 05Aggiornamenti di sicurezza durante il periodo di supporto dichiarato
Per asset owner industriali, MON5 fornisce visibilità sui prodotti CRA-relevant installati in impianto: firmware, versioni, vulnerabilità note, esposizione di rete. Ti permette di verificare che i fornitori stiano rispettando gli obblighi di vulnerability handling e di gestire l'inventario di software/firmware come richiesto dai requisiti di supply chain.
- →Inventario firmware e versioni per dispositivi OT/IoT
- →Correlazione CVE su componenti installati
- →EPSS scoring per prioritizzare patching
- →Evidenza dell'esposizione di rete dei prodotti CRA-relevant
- →Audit trail per verificare la responsiveness dei fornitori
- Prodotto con elementi digitali
- Qualsiasi hardware o software, o loro combinazione, con una connessione logica o fisica a una rete o a un dispositivo, che rientra nell'ambito di applicazione del CRA (esclusi alcuni settori già regolati, come dispositivi medici o automotive).
- Security-by-design
- Principio per cui la sicurezza va progettata nel prodotto fin dall'inizio del ciclo di sviluppo, non aggiunta a posteriori: gestione della superficie di attacco, hardening di default, minimizzazione dei privilegi.
- SBOM (Software Bill of Materials)
- Elenco strutturato dei componenti software - incluse librerie open source e dipendenze di terze parti - che compongono un prodotto, richiesto dal CRA per la gestione delle vulnerabilità della supply chain.
- Vulnerabilità attivamente sfruttata
- Vulnerabilità per cui esiste evidenza credibile di exploitation in corso; il CRA impone la notifica a ENISA entro 24 ore dalla conoscenza da parte del fabbricante.
- Periodo di supporto
- Durata durante la quale il fabbricante si impegna a fornire aggiornamenti di sicurezza per il prodotto, dichiarata e comunicata all'utente al momento della vendita.
- Marcatura CE (ambito CRA)
- Dichiarazione con cui il fabbricante attesta la conformità del prodotto ai requisiti essenziali di cybersecurity del regolamento, condizione per la commercializzazione nel mercato UE a partire dal 2027.
Il Cyber Resilience Act riguarda i prodotti installati negli impianti OT?+
Sì. Il CRA si applica ai prodotti con elementi digitali: PLC, HMI, gateway industriali, sensori smart e dispositivi con firmware embedded installati in produzione o connessi a reti aziendali.
Come si gestisce la conformità CRA su firmware e dispositivi legacy?+
MON5 identifica tutti i prodotti CRA-relevant in impianto, ne mappa versioni firmware, vulnerabilità note (CVE) ed esposizione di rete, facilitando la gestione del ciclo di vita e le segnalazioni obbligatorie.
Entro quando le aziende devono adeguarsi al Cyber Resilience Act?+
Il CRA è entrato in vigore nel 2024. Gli obblighi principali si applicano progressivamente fino al 2027. Le aziende devono avviare subito il censimento dei prodotti con elementi digitali e la valutazione delle vulnerabilità.
Chi è responsabile della conformità CRA: produttore, importatore o distributore?+
Il CRA distribuisce obblighi lungo la filiera: il fabbricante è il responsabile principale (progettazione sicura, gestione vulnerabilità, documentazione), ma importatori e distributori devono verificare la conformità del prodotto prima di metterlo sul mercato e segnalare non conformità note.
Cosa succede se una vulnerabilità viene sfruttata attivamente su un prodotto CRA-relevant?+
Il fabbricante deve notificarla a ENISA entro 24 ore dalla conoscenza (early warning), con notifica intermedia entro 72 ore e report finale entro 14 giorni dalla disponibilità della correzione.
Il CRA si applica anche al software open source?+
I componenti open source usati all'interno di un prodotto commerciale rientrano nel perimetro tramite il produttore che li integra, con obbligo di SBOM. Progetti open source stand-alone, senza sviluppo commerciale, sono generalmente esclusi, salvo eccezioni.
Quali sanzioni prevede il CRA per la non conformità?+
Fino a 15 milioni di euro o il 2,5% del fatturato globale annuo per le violazioni più gravi dei requisiti essenziali di cybersecurity, con sanzioni minori per gli obblighi documentali e di notifica.
Il CRA riguarda solo i nuovi prodotti o anche quelli già installati?+
Si applica ai prodotti immessi sul mercato dopo l'entrata in vigore dei requisiti. Per i dispositivi OT legacy già installati l'impatto è indiretto: bisogna verificare se il fornitore continuerà a supportarli e gestire il rischio nel frattempo con visibilità su vulnerabilità e versioni firmware.
Capiamo insieme cosa ti serve davvero.
Mostraci il perimetro OT e i requisiti normativi da coprire: ti diciamo cosa MON5 documenta direttamente, cosa richiede attività complementare, e da quale livello partire - senza vendite forzate.