Valutazione della conformità ai sensi della legge sulla ciberresilienza dell'UE
Sytance · Aggiornato
La valutazione della conformità prevista dal CRA è la procedura giuridica che dimostra che un prodotto rientrante nell’ambito di applicazione e i processi del fabbricante soddisfano l’allegato I. La categoria del prodotto determina quali procedure di valutazione sono disponibili o obbligatorie.
Oggetto della valutazione
Il fabbricante effettua una valutazione della conformità del prodotto con elementi digitali e dei processi da esso predisposti per determinare se sono soddisfatti i requisiti essenziali di cibersicurezza di cui all’allegato I.
Regolamento (UE) 2024/2847, articolo 32, paragrafo 1
L’articolo 32 riguarda entrambi gli aspetti dell’allegato I. Il prodotto deve soddisfare i requisiti di cibersicurezza dei prodotti della parte I. I processi del fabbricante per la gestione delle vulnerabilità devono soddisfare la parte II.
Una valutazione positiva supporta la documentazione tecnica, la dichiarazione UE di conformità e la marcatura CE. Non modifica la categoria del prodotto, che determina le procedure di valutazione disponibili.
Procedure di valutazione della conformità
L’articolo 32 individua quattro procedure. Quella corretta dipende principalmente dalla categoria del prodotto, dall’uso di norme armonizzate o specifiche comuni e dalla possibilità di applicare un pertinente sistema di certificazione della cibersicurezza.
Modulo A
Controllo interno della produzione. Il fabbricante valuta il prodotto e dichiara la conformità sotto la propria responsabilità.
Modulo B più modulo C
Un organismo notificato esamina il tipo. Il fabbricante controlla poi la produzione rispetto a tale tipo.
Modulo H
Garanzia qualità totale. Un organismo notificato valuta il sistema di qualità del fabbricante per i prodotti rientranti nell’ambito di applicazione.
Certificazione della cibersicurezza
È possibile utilizzare un sistema europeo di certificazione della cibersicurezza applicabile quando l’articolo 27 o l’articolo 8 rende disponibile tale procedura.
Classificazione e scelta della procedura
I prodotti predefiniti possono ricorrere al controllo interno. Per i prodotti importanti e critici si applicano procedure di valutazione più rigorose, compresi i prodotti di classe I i cui requisiti applicabili non sono interamente coperti dalle norme pertinenti, dalle specifiche comuni o dalla certificazione.
I prodotti predefiniti possono utilizzare le procedure di cui all’articolo 32, paragrafo 1, incluso il modulo A. Il fabbricante può comunque scegliere una procedura più rigorosa.
I prodotti di classe I possono restare soggetti all’articolo 32, paragrafo 1, solo per i requisiti coperti dalle norme armonizzate applicate, dalle specifiche comuni o da una certificazione con un livello di garanzia almeno sostanziale. Per gli altri requisiti occorre il modulo B più C o il modulo H.
I prodotti di classe II ricorrono al modulo B più C, al modulo H o a un sistema europeo di certificazione della cibersicurezza applicabile con un livello di garanzia almeno sostanziale.
I prodotti critici dell’allegato IV devono essere certificati ai sensi dell’articolo 8, paragrafo 1, quando si applica tale procedura. Se le condizioni dell’articolo 8, paragrafo 1, non sono soddisfatte, seguono le procedure per i prodotti di classe II previste dall’articolo 32, paragrafo 3.
Il software libero e open source importante di cui all’allegato III può utilizzare le procedure dell’articolo 32, paragrafo 1, se la documentazione tecnica prevista dall’articolo 31 è pubblica quando il prodotto è immesso sul mercato.
Norme e certificazione
L’articolo 27 spiega in che modo le norme, le specifiche comuni e la certificazione della cibersicurezza possono sostenere la conformità. Sono strumenti distinti e non producono tutti gli stessi effetti giuridici.
- Una norma armonizzata conferisce una presunzione di conformità soltanto per i requisiti dell’allegato I coperti dal riferimento della norma pubblicato.
- Anche una specifica comune può creare una presunzione di conformità per i requisiti che copre.
- Un certificato europeo di cibersicurezza può creare una presunzione di conformità per i requisiti coperti.
- Un certificato specificato da un atto delegato ai sensi dell’articolo 27, paragrafo 9, con un livello di garanzia almeno sostanziale, può eliminare la necessità di una valutazione di terza parte per i requisiti corrispondenti.
Documentazione, dichiarazione e marcatura CE
Prima di immettere il prodotto sul mercato, il fabbricante redige la documentazione tecnica e la dichiarazione UE di conformità. La dichiarazione conferma che sono stati soddisfatti i requisiti applicabili dell’allegato I. La documentazione è aggiornata, se del caso, durante il periodo di supporto.
- La documentazione tecnica contiene i dati o i dettagli utilizzati per dimostrare che il prodotto e i processi soddisfano l’allegato I.
- La dichiarazione UE di conformità segue la struttura del modello dell’allegato V oppure, quando si utilizza tale procedura, quella semplificata dell’allegato VI.
- La marcatura CE è apposta prima che il prodotto sia immesso sul mercato; per il software può figurare sulla dichiarazione o sul sito web che accompagna il prodotto software.
- Se si utilizza il modulo H, la marcatura CE è seguita dal numero di identificazione dell’organismo notificato.