CRA dell'UE: prEN 40000-1-2, principi di ciberresilienza
Sytance · Aggiornato
Questa pagina illustra il testo sottoposto a inchiesta nell’ottobre 2025 della norma orizzontale prEN 40000-1-2:2025, progetto di norma sui principi di ciberresilienza. Descrive le attività del ciclo di vita basate sui rischi a supporto della parte I dell’allegato I, in particolare la progettazione, lo sviluppo e la produzione di prodotti con un livello di cibersicurezza adeguato ai rischi.
Stato del progetto di norma
Il testo esaminato in questa pagina è stato sottoposto a inchiesta nell’ottobre 2025. Si tratta di una spiegazione riferita a una versione specifica del progetto, non di un’affermazione che l’inchiesta sia ancora aperta o che questo sia il testo più recente. I requisiti possono cambiare nelle versioni successive. Il progetto non crea una presunzione di conformità al CRA.
La voce 1 di M/606 richiede una norma europea sulla progettazione, lo sviluppo e la produzione di prodotti con elementi digitali affinché garantiscano un livello adeguato di cibersicurezza in base ai rischi. Il termine previsto da M/606 per questa voce è il 30 agosto 2026.
Rapporto con l’allegato I
I prodotti con elementi digitali sono progettati, sviluppati e fabbricati in modo da garantire un livello adeguato di cibersicurezza in base ai rischi.
Regolamento (UE) 2024/2847, allegato I, parte I, punto 1
prEN 40000-1-2 è la norma più direttamente collegata a questo requisito generale della parte I. È una norma di processo e del ciclo di vita. Non sostituisce i requisiti più specifici di sicurezza del prodotto di cui ai punti da 2(a) a 2(m) della parte I dell’allegato I e non è la norma sulla gestione delle vulnerabilità.
Principi di cibersicurezza
La clausola 5 del progetto dell’ottobre 2025 descrive quattro principi per la pianificazione, la progettazione, l’attuazione, la produzione e la manutenzione del prodotto: approccio basato sul rischio, sicurezza integrata nella progettazione, sicurezza predefinita e trasparenza.
Approccio basato sul rischio
Le misure di sicurezza sono selezionate e riesaminate in base ai rischi del prodotto, alla finalità prevista e all’uso ragionevolmente prevedibile.
Sicurezza integrata nella progettazione
La cibersicurezza è integrata nella progettazione e nello sviluppo del prodotto, anziché essere aggiunta dopo che il prodotto è stato completato.
Sicurezza predefinita
Il prodotto parte da una configurazione sicura adeguata alla finalità prevista e all’ambiente operativo.
Trasparenza
I portatori di interesse pertinenti ricevono informazioni di cibersicurezza accessibili e utilizzabili per contribuire al raggiungimento e al mantenimento della sicurezza del prodotto (clausola 5.5).
Struttura della gestione dei rischi
Il progetto considera la gestione dei rischi un’attività ricorrente del prodotto, non un modulo da compilare una sola volta. Prima si definisce il contesto del prodotto, perché lo stesso software o hardware può generare rischi diversi in contesti d’uso differenti.
Il contesto descrive il prodotto, la finalità prevista, gli utenti attesi, l’ambiente operativo, gli asset, le interfacce, le dipendenze e le ipotesi sul ciclo di vita.
Il metodo definisce come identificare, stimare, valutare, trattare, accettare, comunicare, monitorare e registrare i rischi.
La valutazione individua gli asset, gli obiettivi di cibersicurezza, le minacce e i livelli di rischio. Il trattamento seleziona le misure e le decisioni sul rischio residuo.
Le attività sui rischi proseguono quando cambiano il prodotto, il contesto delle minacce, i componenti, le ipotesi di supporto o il contesto di distribuzione.
Attività del ciclo di vita
Il progetto traduce poi i principi in attività del ciclo di vita. Queste attività possono adattarsi a diversi modelli di sviluppo; l’importante è pianificare, svolgere, verificare e mantenere aggiornate le attività di sicurezza.
- pianificazione della cibersicurezza del prodotto;
- requisiti di cibersicurezza del prodotto;
- architettura e progettazione della cibersicurezza;
- attuazione sicura;
- verifica e convalida della cibersicurezza;
- produzione e distribuzione sicure;
- gestione dei problemi di cibersicurezza;
- monitoraggio del prodotto;
- pianificazione della dismissione sicura;
- gestione della cibersicurezza dei componenti di terzi.
Confini con altre norme
prEN 40000-1-2 è la norma sui principi e sulla gestione dei rischi nel ciclo di vita. La gestione delle vulnerabilità rientra in prEN 40000-1-3 Gestione delle vulnerabilità. Le norme specifiche per i prodotti possono aggiungere requisiti per categoria per browser, router, firewall, elementi sicuri e altri prodotti importanti o critici.
Il programma di normazione del CRA è illustrato in Norme e norme armonizzate.
Fonti
- Regolamento (UE) 2024/2847, allegato I, parte I
- Decisione di esecuzione C(2025) 618 della Commissione, richiesta M/606
- Voce del progetto BSI per prEN 40000-1-2:2025 (testo sottoposto a inchiesta nell’ottobre 2025, clausole da 5 a 7)
- Registrazione del webinar CEN-CENELEC sulla gestione delle identità e degli accessi privilegiati (materiale di contesto, non il progetto sui principi)
- Voce dell’edizione DIN Media: versione tedesca e inglese prEN 40000-1-2:2025, progetto DIN EN 40000-1-2:2026-03