Preparazione alla segnalazione ai sensi dell'articolo 14 della CRA

Prepararsi prima di una notifica

Prima che si verifichi un incidente, il fabbricante dovrebbe sapere quali prodotti rientrano nell’ambito di applicazione, chi può inviare le notifiche, quale CSIRT coordinatore le riceve e in quali Stati membri sono stati forniti i prodotti.

CSIRT coordinatore

La notifica deve essere inviata tramite il punto di accesso elettronico per le notifiche del CSIRT designato come coordinatore dello Stato membro in cui i fabbricanti hanno la sede principale nell’Unione e deve essere accessibile contemporaneamente all’ENISA.

Regolamento (UE) 2024/2847, articolo 14(7)

Per un fabbricante dell’UE, la sede principale è lo Stato membro in cui vengono prese principalmente le decisioni sulla cibersicurezza del prodotto. Se non è possibile determinarla, si ricorre allo Stato membro in cui il fabbricante ha la propria sede nell’Unione con il maggior numero di dipendenti.

Per un fabbricante senza sede principale nell’Unione, l’articolo 14(7) richiede di determinare lo Stato membro del CSIRT coordinatore nel seguente ordine, utilizzando le informazioni disponibili al fabbricante:

1. Lo Stato membro in cui è stabilito il rappresentante autorizzato che opera per il maggior numero di prodotti di quel fabbricante.
2. Lo Stato membro in cui è stabilito l’importatore che immette sul mercato il maggior numero di prodotti di quel fabbricante.
3. Lo Stato membro in cui è stabilito il distributore che mette a disposizione sul mercato il maggior numero di prodotti di quel fabbricante.
4. Lo Stato membro in cui si trova il maggior numero di utenti dei prodotti di quel fabbricante.

Prodotti forniti per Stato membro

La segnalazione iniziale entro 24 ore richiede di indicare gli Stati membri in cui il fabbricante sa che il prodotto interessato è stato messo a disposizione. La SRP inoltra inoltre le informazioni agli altri CSIRT degli Stati membri in cui il prodotto è disponibile.

• vendite dirette e canali di distribuzione nell’UE;
• mercati online, app store e canali di download utilizzati dagli utenti dell’UE;
• importatori e distributori che immettono o mettono a disposizione il prodotto in determinati Stati membri;
• versioni del prodotto, release del firmware, funzioni che dipendono dal cloud o varianti del modello che incidono sulla notifica.

Preparazione dei dati per la notifica

L’ENISA descrive la SRP come un punto di accesso unico. Il fabbricante invia la notifica una sola volta e la piattaforma la inoltra al CSIRT coordinatore e all’ENISA. La notifica continua tuttavia a dipendere dalla disponibilità dei dati interni sul prodotto e sulla sicurezza.

• chi è autorizzato a inviare la notifica;
• quale prodotto, versione, componente o funzione del servizio è interessato;
• se l’evento è considerato una vulnerabilità attivamente sfruttata o un incidente grave;
• che cosa è noto, che cosa è ancora oggetto di indagine e quali misure di mitigazione sono disponibili;
• quali utenti o Stati membri potrebbero essere interessati;
• in che modo il fabbricante informerà gli utenti interessati quando lo richiede l’articolo 14.

Riconoscere gli eventi soggetti a notifica

I criteri che rendono obbligatoria una notifica sono illustrati in Segnalazione delle vulnerabilità. Il fabbricante deve riconoscere tali eventi abbastanza rapidamente da rispettare i termini di 24 e 72 ore.