Atto sulla resilienza informatica dell'UE (EU CRA). Dichiarazione del cliente

Il EU Cyber Resilience Act (EU CRA) è concepito per migliorare la sicurezza dei prodotti digitali, inclusi software e dispositivi connessi. L'Atto stabilisce regole chiare e coerenti che le aziende devono seguire nella realizzazione di questi prodotti. Questa normativa obbligatoria riduce i rischi richiedendo ai produttori di integrare la sicurezza nei loro prodotti e di risolvere tempestivamente eventuali vulnerabilità di cybersicurezza individuate sul campo. L'obiettivo è creare un ambiente digitale più sicuro per tutti, incoraggiando la disponibilità di prodotti "secure by default". L'EU CRA richiede ai produttori di immettere sul mercato dell'Unione europea prodotti conformi a partire dall'11 dicembre 2027. I produttori sono inoltre tenuti a segnalare gli incidenti gravi e le vulnerabilità sfruttate attivamente alle competenti autorità nazionali o ai Computer Security Incident Response Teams (CSIRTs) a partire dall'11 settembre 2026.

L'EU CRA impone che i Prodotti con Elementi Digitali (PDE), che si connettono o interagiscono con altri dispositivi o reti, soddisfino i requisiti essenziali di cybersicurezza nella progettazione, nello sviluppo e nella produzione. L'Atto richiede inoltre la gestione delle vulnerabilità לאורך l'intero ciclo di vita del prodotto. La descrizione seguente fornisce una panoramica dei principali obblighi previsti dall'EU CR.

Il CRA dell'UE classifica i PDE in quattro gruppi con diversi livelli di valutazione della conformità: "Common", "Important Class I", "Important Class II" e "Critical". I PDE "Important" e "Critical" sono elencati negli allegati III e IV. I PDE "Important" (ad es. firewall) e "Critical" (ad es. Hardware Security Module, smartcard) forniscono funzioni chiave di cybersecurity o sono essenziali per soggetti chiave o catene di fornitura nell'UE. Richiedono la conformità a standard armonizzati e la certificazione da parte di terzi.

I prodotti sono elencati negli allegati III o IV solo se le loro funzioni principali corrispondono ai tipi specificati; i prodotti combinati, come i macchinari, non ereditano la classificazione di criticità. Nonostante le differenze nelle valutazioni di conformità, i requisiti fondamentali di cybersecurity per le caratteristiche del prodotto rimangono coerenti in tutte le categorie.