Per anni la domanda di sicurezza informatica è stata sempre rivolta all’organizzazione:
“Abbiamo adottato misure di sicurezza sufficienti?”.
Il Cyber Resilience Act (CRA) amplia l’obiettivo. D’ora in poi, la domanda riguarda anche il prodotto:
“Il software o il dispositivo che sviluppiamo, distribuiamo o commercializziamo è stato progettato per essere sicuro e lo rimarrà per tutta la sua durata?
Non si tratta di una sfumatura di poco conto. Si tratta di un cambiamento di paradigma che riguarda produttori, sviluppatori, distributori e fornitori di tecnologia in tutta Europa.
Che cos’è esattamente il CRA
Il Cyber Resilience Act è un regolamento europeo che stabilisce requisiti obbligatori di cybersecurity per qualsiasi prodotto con elementi digitali commercializzato nell’Unione Europea.
La loro logica è chiara: troppi prodotti arrivano sul mercato con vulnerabilità note, senza aggiornamenti programmati e senza un processo formale di gestione degli incidenti. Il CRA vuole cambiare questa situazione.
A tal fine, introduce concetti che finora erano raccomandazioni o buone pratiche e li trasforma in obblighi:
- Security by Design: la sicurezza non viene aggiunta alla fine, ma viene pianificata fin dall’inizio.
- Security by Default: la configurazione iniziale deve essere sicura, senza che l’utente debba fare nulla.
- Gestione continua delle vulnerabilità: identificare, dare priorità, rimediare e documentare l’intero ciclo di vita del prodotto.
- Obblighi di notifica: se rilevi una vulnerabilità attivamente sfruttata, hai 24 ore di tempo per emettere un avviso preventivo.
- Trasparenza sul supporto: devi indicare chiaramente per quanto tempo il prodotto riceverà gli aggiornamenti di sicurezza.
Non si tratta di superare un audit una tantum. Il CRA rende la sicurezza un processo vivo e dimostrabile.
Chi è interessato: più di quanto si possa pensare
Questo è l’aspetto che sorprende molte organizzazioni. Il CRA non riguarda solo i produttori di hardware o le grandi piattaforme. Colpisce anche:
- Software aziendale e applicazioni SaaS
- Dispositivi IoT e hardware connesso
- Applicazioni mobili
- Piattaforme cloud
- Sistemi industriali connessi
Questo vale non solo per gli sviluppatori, ma anche per chi distribuisce o importa prodotti digitali in Europa.
Se la tua azienda sviluppa software, vende licenze, offre servizi in modalità SaaS o integra prodotti di terze parti nelle tue soluzioni, probabilmente il CRA si applica a te.
Il calendario: meno tempo di quanto sembri
La piena attuazione del regolamento avverrà nel dicembre 2027, ma c’è una data precedente che non va persa di vista:
11 settembre 2026 – Entrano in vigore gli obblighi di segnalazione delle vulnerabilità sfruttate attivamente e degli incidenti gravi.
Questo in poco più di un anno. E preparare processi di notifica solidi che funzionino entro 24 ore non è qualcosa che si costruisce in poche settimane.
Le tre implicazioni che cambiano la vita di tutti i giorni
1. Sviluppare software non è più sufficiente: devi dimostrarlo.
Il CRA non chiede se il tuo prodotto è sicuro. Ti chiede se puoi dimostrarlo. Ciò significa disporre di documentazione tecnica, registri di vulnerabilità, cronologia degli aggiornamenti, processi formalizzati di risposta agli incidenti… e poterli presentare a un’autorità di regolamentazione o a un cliente in qualsiasi momento.
2. La catena di fornitura diventa una sua responsabilità
Una vulnerabilità può essere introdotta attraverso una libreria open source, un’API di terze parti, un componente SaaS incorporato o un fornitore di terze parti. Il CRA estende la responsabilità oltre il tuo codice. Se il tuo prodotto incorpora componenti di terze parti, devi conoscere il rischio che ciascuna di esse comporta.
3. I tempi di risposta si riducono drasticamente.
24 ore per emettere un avviso preventivo di una vulnerabilità attivamente sfruttata. Se il tuo processo di gestione degli incidenti si basa su e-mail, chiamate e fogli di calcolo, questa scadenza potrebbe diventare impossibile da rispettare.
Quali sono le capacità che devi avere (o costruire)?
Il CRA non prescrive strumenti specifici, ma chiarisce quali sono i processi da attuare. Nella nostra esperienza di lavoro con le organizzazioni tecnologiche, questi sono gli elementi fondamentali:
Gestione dei rischi e degli asset Inventario aggiornato dei prodotti e dei componenti, identificazione delle minacce, valutazione dell’impatto e monitoraggio del rischio residuo. Senza questo, non puoi sapere quali vulnerabilità ti riguardano e con quale urgenza. –> Risk Manager
Gestione della catena di fornitura Approvazione dei fornitori, valutazioni regolari, questionari sulla sicurezza, prove documentate. Un fornitore non valutato è un rischio non misurato. –> Manager di terze parti
Gestione delle vulnerabilità Identificazione, definizione delle priorità, rimedio e mantenimento di uno storico verificabile. L’ente regolatore può richiedere tale cronologia. –> Gestore degli incidenti
Gestione degli incidenti Registrazione, classificazione, assegnazione di responsabilità, piani di risposta e tracciabilità. Non come un documento in un cassetto, ma come un processo attivo che opera sotto pressione. –> Responsabile degli incidenti
Documentazione tecnica e politiche Politiche, procedure, registri, accettazioni, prove. La documentazione non è burocrazia: è la prova che stai facendo le cose per bene. –> Policy Manager.
Comunicare la sicurezza ai clienti Sempre più clienti chiedono come gestisci la sicurezza prima di firmare un contratto. Avere una risposta chiara, centralizzata e aggiornata – certificazioni, politiche, prove – può fare la differenza in un processo aziendale. –> Trust Center
Il CRA non è solo un costo di conformità
Visto dall’esterno, il CRA può sembrare solo un altro onere normativo. Ma c’è un altro modo per leggerlo.
Le organizzazioni che sono in grado di dimostrare di gestire la sicurezza dei prodotti in modo rigoroso – con processi documentati, tempi di risposta rapidi e trasparenza nei confronti dei clienti – avranno un vantaggio reale rispetto ai concorrenti che continuano ad affidarsi a processi informali.
In un mercato in cui la fiducia digitale è sempre più un criterio d’acquisto, la conformità al CRA può diventare un’opportunità di business.
La questione non è solo se sarai in regola con il CRA. Si tratta di capire se sarai in grado di dimostrarlo efficacemente quando qualcuno te lo chiederà.
In ithikios abbiamo sviluppato diversi moduli per aiutarti a rispettare il CRA e a dimostrare la conformità con il Trust Center, l’Incident Manager, il Third Party Manager, il Risk Manager e il Policy Manager.
