Categorie di prodotti importanti e critici della CRA
Sytance · Aggiornato
I prodotti importanti e critici sono prodotti rientranti nell’ambito del CRA la cui funzionalità principale corrisponde a una categoria dell’allegato III o IV. Il regolamento di esecuzione (UE) 2025/2392 della Commissione fornisce le descrizioni tecniche utilizzate per interpretare i nomi di tali categorie.
Descrizioni tecniche del regolamento 2025/2392
Entro l’11 dicembre 2025 la Commissione adotta un atto di esecuzione che specifica la descrizione tecnica delle categorie di prodotti con elementi digitali delle classi I e II di cui all’allegato III e la descrizione tecnica delle categorie di prodotti con elementi digitali di cui all’allegato IV. Tale atto di esecuzione è adottato secondo la procedura d’esame di cui all’articolo 62(2).
Regolamento (UE) 2024/2847, articolo 7(4)
Il regolamento 2025/2392 è l’atto di esecuzione in questione. Non sostituisce gli allegati III o IV. Spiega il significato tecnico dei nomi delle categorie, affinché lo stesso prodotto sia classificato in modo coerente in tutta l’UE.
Le descrizioni tecniche e la loro interpretazione sono illustrate in Descrizioni tecniche del regolamento 2025/2392.
Funzionalità principale
Le FAQ della Commissione sono esplicite: il fabbricante deve considerare la funzionalità principale del prodotto. Una funzione presente nel prodotto non è sufficiente. Un prodotto con un’altra finalità principale non è classificato come importante o critico solo perché include, incorpora o può riprodurre una funzione elencata.
Componente integrato in un prodotto
Un browser integrato non trasforma da solo un’app di notizie in un prodotto browser.
Hardware di sicurezza integrato in un dispositivo
Un elemento sicuro integrato in un portatile non trasforma da solo il portatile in un prodotto con elemento sicuro.
Funzionalità simile
Un software SOAR può svolgere attività simili a quelle di un SIEM senza avere un SIEM come funzionalità principale.
Prodotti importanti
L’allegato III suddivide i prodotti importanti nelle classi I e II. La classe II è quella più rigorosa. L’elenco seguente riporta i nomi delle categorie; le descrizioni tecniche sono contenute nel regolamento 2025/2392.
L’allegato III elenca le seguenti categorie di classe I:
- Sistemi di gestione delle identità e software e hardware per la gestione degli accessi privilegiati, compresi i lettori di autenticazione e controllo degli accessi, inclusi i lettori biometrici
- Browser autonomi e integrati
- Gestori di password
- Software che ricerca, rimuove o mette in quarantena software dannoso
- Prodotti con elementi digitali aventi la funzione di rete privata virtuale (VPN)
- Sistemi di gestione della rete
- Sistemi di gestione delle informazioni e degli eventi di sicurezza (SIEM)
- Boot manager
- Infrastrutture a chiave pubblica e software per l’emissione di certificati digitali
- Interfacce di rete fisiche e virtuali
- Sistemi operativi
- Router, modem destinati alla connessione a Internet e switch
- Microprocessori con funzionalità relative alla sicurezza
- Microcontrollori con funzionalità relative alla sicurezza
- Circuiti integrati specifici per applicazione (ASIC) e dispositivi logici programmabili sul campo (FPGA) con funzionalità relative alla sicurezza
- Assistenti virtuali general purpose per la smart home
- Prodotti per la smart home con funzionalità di sicurezza, inclusi serrature intelligenti, telecamere di sicurezza, sistemi di monitoraggio dei bambini e sistemi di allarme
- Giocattoli connessi a Internet disciplinati dalla direttiva 2009/48/CE del Parlamento europeo e del Consiglio che presentano funzionalità di interazione sociale (ad esempio, parlano o riprendono immagini) o di tracciamento della posizione
- Prodotti indossabili personali destinati a essere indossati o collocati sul corpo umano, con finalità di monitoraggio della salute (ad esempio il tracciamento), ai quali non si applicano il regolamento (UE) 2017/745 o il regolamento (UE) 2017/746 del Parlamento europeo e del Consiglio, oppure prodotti indossabili personali destinati all’uso da parte di bambini e a loro beneficio
L’allegato III elenca le seguenti categorie di classe II:
- Hypervisor e sistemi di runtime dei container che supportano l’esecuzione virtualizzata di sistemi operativi e ambienti analoghi
- Firewall, sistemi di rilevamento e sistemi di prevenzione delle intrusioni
- Microprocessori resistenti alle manomissioni
- Microcontrollori resistenti alle manomissioni
Prodotti critici
L’allegato IV è più breve dell’allegato III. Comprende prodotti con un ruolo di sicurezza particolarmente concentrato, come hardware resistente alle manomissioni, gateway per contatori intelligenti, smart card ed elementi sicuri.
- Dispositivi hardware con box di sicurezza
- Gateway per contatori intelligenti all’interno dei sistemi di misurazione intelligenti di cui all’articolo 2(23) della direttiva (UE) 2019/944 del Parlamento europeo e del Consiglio e altri dispositivi destinati a finalità di sicurezza avanzata, compresa l’elaborazione crittografica sicura
- Smart card o dispositivi analoghi, compresi gli elementi sicuri
Effetti della categoria
La categoria del prodotto determina quali procedure di valutazione possono essere utilizzate per dimostrare la conformità all’allegato I. Non determina se il prodotto rientra nell’ambito di applicazione e non sostituisce la valutazione dei rischi di cibersicurezza.
- I prodotti importanti di classe I possono ricorrere al controllo interno solo per i requisiti coperti da norme armonizzate applicate, specifiche comuni o un sistema di certificazione applicabile; in caso contrario è necessaria una procedura più rigorosa.
- I prodotti importanti di classe II utilizzano il modulo B più il modulo C, il modulo H oppure un sistema europeo di certificazione della cibersicurezza applicabile.
- I prodotti critici utilizzano la certificazione a norma dell’articolo 8(1) quando si attiva tale procedura; altrimenti seguono le procedure previste per i prodotti di classe II dall’articolo 32(3).
- Il software libero e open source importante di cui all’allegato III può utilizzare le procedure dell’articolo 32(1) se la documentazione tecnica prevista dall’articolo 31 è pubblica quando il prodotto viene immesso sul mercato.
I dettagli delle procedure sono illustrati in Valutazione della conformità.