Requisiti essenziali di cybersicurezza della CRA
Sytance · Aggiornato
L’allegato I stabilisce i requisiti di base del CRA per i prodotti con elementi digitali che rientrano nel suo ambito di applicazione. La parte I descrive le caratteristiche di cibersicurezza del prodotto stesso. La parte II descrive il processo del fabbricante per la gestione delle vulnerabilità durante il periodo di supporto.
Struttura dell’allegato I
L’allegato I comprende due parti. La parte I riguarda il prodotto. La parte II riguarda il processo del fabbricante per la gestione delle vulnerabilità. L’articolo 6 le collega: un prodotto può essere immesso sul mercato soltanto se soddisfa i requisiti applicabili della parte I e i processi del fabbricante soddisfano la parte II.
Parte I: caratteristiche del prodotto
Configurazione sicura predefinita, dati protetti, accesso controllato, funzioni resilienti, capacità di aggiornamento, monitoraggio delle attività e rimozione sicura di dati e impostazioni.
Parte II: gestione delle vulnerabilità
Processi per individuare, documentare, correggere, divulgare e comunicare le vulnerabilità del prodotto e dei suoi componenti.
L’articolo 13 impone al fabbricante di valutare i rischi di cibersicurezza. Tale valutazione determina come si applicano al prodotto i requisiti della parte I.
Parte I: caratteristiche di cibersicurezza del prodotto
La parte I inizia con il risultato complessivo richiesto al prodotto e poi elenca le caratteristiche di sicurezza che si applicano in base alla valutazione dei rischi di cibersicurezza e, quando pertinente. L’elenco è ampio perché il CRA copre molti tipi di software, hardware, componenti e trattamenti di dati a distanza che supportano le funzioni del prodotto.
I prodotti con elementi digitali sono progettati, sviluppati e fabbricati in modo da garantire un livello adeguato di cibersicurezza in base ai rischi.
Regolamento (UE) 2024/2847, allegato I, parte I, punto 1
Un’app per consumatori, una VPN industriale e un componente hardware riutilizzabile possono presentare rischi diversi anche quando un requisito è formulato con le stesse parole. La valutazione dei rischi spiega come i requisiti della parte I si applicano al prodotto e perché un requisito non è applicabile, se questa è la conclusione del fabbricante.
La parte I chiede principalmente se il prodotto può:
- essere immesso sul mercato senza vulnerabilità note e sfruttabili e con una configurazione sicura predefinita;
- affrontare le vulnerabilità tramite aggiornamenti di sicurezza, compresi quelli automatici quando sono adatti al prodotto;
- proteggere l’accesso, la riservatezza, l’integrità, la disponibilità, i comandi, i programmi, la configurazione e i dati trattati;
- limitare le superfici di attacco e ridurre l’impatto di un incidente;
- registrare e monitorare le attività di sicurezza pertinenti con un meccanismo che consenta all’utente di rinunciare;
- consentire agli utenti di rimuovere in sicurezza dati e impostazioni e di trasferire i dati in modo sicuro, se il trasferimento è supportato.
Si tratta di caratteristiche del prodotto, non di un modello di attuazione unico. Lo stesso requisito può comportare scelte tecniche diverse per un dispositivo per consumatori, un prodotto di rete professionale, un SDK o un firmware destinato all’integrazione in altri prodotti.
Parte II: gestione delle vulnerabilità
La parte II riguarda il processo del fabbricante. Si applica quando il prodotto viene immesso sul mercato e per tutto il periodo di supporto. Copre anche le vulnerabilità dei componenti contenuti nel prodotto, quindi sono importanti sia la visibilità dei componenti sia la comunicazione con i fornitori.
Il fabbricante deve individuare e documentare le vulnerabilità e i componenti. L’allegato I include espressamente una distinta base del software (SBOM) in un formato leggibile dalla macchina e di uso comune, che copra almeno le dipendenze di primo livello.
Le vulnerabilità devono essere affrontate e corrette senza indugio in relazione ai rischi che pongono per il prodotto. Ove tecnicamente possibile, gli aggiornamenti di sicurezza dovrebbero essere separati da quelli funzionali.
La parte II richiede una politica coordinata di divulgazione delle vulnerabilità e un indirizzo di contatto per le segnalazioni. L’articolo 13 richiede inoltre ai fabbricanti di informare la persona o l’entità che gestisce un componente integrato quando individuano una vulnerabilità in tale componente.
I meccanismi di aggiornamento devono distribuire le correzioni in modo sicuro e tempestivo. Quando sono disponibili aggiornamenti di sicurezza, devono essere diffusi senza indugio, normalmente a titolo gratuito e accompagnati da informazioni che aiutino gli utenti ad agire.
Norme ed evidenze
Le norme armonizzate possono supportare una presunzione di conformità soltanto quando il riferimento pertinente è pubblicato nella Gazzetta ufficiale dell’Unione europea. Progetti, mappature e norme settoriali possono comunque fornire evidenze utili, ma non sostituiscono la valutazione dei rischi specifica del prodotto richiesta dall’articolo 13.
La richiesta di normazione M/606 della Commissione per il CRA chiede alle organizzazioni europee di normazione di elaborare norme orizzontali e verticali. Le FAQ di attuazione descrivono i risultati orizzontali per il quadro dei prodotti basato sul rischio, le caratteristiche dei prodotti di cui alla parte I e la gestione delle vulnerabilità di cui alla parte II, oltre a norme verticali per le categorie di prodotti importanti e critici.
La documentazione tecnica dovrebbe spiegare come le norme selezionate o altre misure tecniche affrontano i rischi individuati per il prodotto. Dovrebbe poi mostrare quali caratteristiche del prodotto e quali processi di gestione delle vulnerabilità attuano tali misure.
Consultate prEN 40000-1-4 Materiali pubblici per il materiale pubblico aggiornato sul progetto di norma generica sui requisiti di sicurezza previsto, e prEN 40000-1-3 Gestione delle vulnerabilità per la versione corrente del progetto sulla gestione delle vulnerabilità.