Classificazione dei prodotti ai sensi della legge sulla ciberresilienza dell'UE
Sytance · Aggiornato
La classificazione ai sensi del CRA è la categoria assegnata a un prodotto con elementi digitali che rientra nell’ambito di applicazione. Il prodotto resta nella categoria residuale, salvo che la sua funzionalità principale corrisponda a una categoria di prodotti importanti dell’allegato III o a una categoria di prodotti critici dell’allegato IV.
Esiti della classificazione
La classificazione viene dopo la verifica dell’ambito di applicazione. Occorre prima stabilire se il prodotto è un prodotto con elementi digitali messo a disposizione sul mercato dell’UE e non escluso dall’articolo 2. Poi si classifica il prodotto in base alla categoria del CRA corrispondente alla sua funzionalità principale.
Categoria residuale
La categoria residuale per i prodotti rientranti nell’ambito di applicazione che non presentano la funzionalità principale di una categoria dell’allegato III o IV.
Prodotti importanti di classe I
Le categorie di classe I dell’allegato III sono prodotti importanti. Il CRA le distingue dalla classe II.
Prodotti importanti di classe II
I prodotti di classe II dell’allegato III sono prodotti importanti soggetti a procedure di valutazione della conformità più rigorose.
Prodotti critici
Le categorie dell’allegato IV sono prodotti critici. Costituiscono un elenco distinto dai prodotti importanti dell’allegato III.
Funzionalità principale
I prodotti con elementi digitali la cui funzionalità principale corrisponde a una categoria di prodotti di cui all’allegato III sono considerati prodotti con elementi digitali importanti e sono soggetti alle procedure di valutazione della conformità di cui all’articolo 32(2) e (3). L’integrazione di un prodotto con elementi digitali la cui funzionalità principale corrisponde a una categoria di prodotti di cui all’allegato III non rende di per sé il prodotto in cui è integrato soggetto alle procedure di valutazione della conformità di cui all’articolo 32(2) e (3).
Regolamento (UE) 2024/2847, articolo 7(1)
Gli articoli 7 e 8 adottano lo stesso criterio: il prodotto deve avere la funzionalità principale di una categoria elencata. La valutazione riguarda ciò che il prodotto nel suo complesso è destinato a fare quando viene immesso sul mercato. Non è sufficiente che includa una funzione, una libreria, un semiconduttore o un modulo che, da solo, potrebbe rientrare in una categoria elencata.
Questo criterio vale in entrambe le direzioni. Le funzioni aggiuntive non impediscono di classificare un prodotto come importante se la sua funzione principale continua a corrispondere a una categoria dell’allegato III. Un router può includere funzioni firewall e restare classificato in base alla propria funzionalità principale di router. Un prodotto con una finalità principale diversa, invece, non diventa un prodotto elencato solo perché è in grado di svolgere alcune delle stesse attività.
Componenti integrati
Un’app di notizie non diventa un prodotto browser solo perché incorpora un componente browser. Un portatile non diventa un prodotto con elemento sicuro solo perché contiene un elemento sicuro.
Funzioni sovrapposte
Un software SOAR può svolgere funzioni simili a quelle di un SIEM, ma secondo le FAQ della Commissione in genere resta fuori dalla categoria SIEM quando la sua funzionalità principale è diversa.
Prodotti importanti dell’allegato III
L’allegato III elenca i prodotti importanti con elementi digitali e li suddivide nelle classi I e II. Il regolamento 2025/2392 fornisce la descrizione tecnica di ogni categoria elencata. L’esito è una decisione di categoria, non una classificazione generale di tutti i rischi di cibersicurezza.
Classe I
Prodotti importanti che possono ancora ricorrere al controllo interno quando si applicano le norme pertinenti, le specifiche comuni o la procedura di certificazione.
Classe II
Prodotti importanti che devono seguire procedure di valutazione della conformità più rigorose.
Prodotti critici dell’allegato IV
L’allegato IV elenca i prodotti critici con elementi digitali. L’elenco è più ristretto di quello dell’allegato III e si concentra sui prodotti con funzioni di box di sicurezza, gateway per contatori intelligenti, elaborazione crittografica sicura, smart card o elemento sicuro. Per questi prodotti l’articolo 8 può rendere pertinente la certificazione mediante atto delegato.
Riferimento alle descrizioni tecniche
Il regolamento di esecuzione (UE) 2025/2392 della Commissione fornisce descrizioni tecniche delle categorie degli allegati III e IV; le regole dettagliate di interpretazione e le descrizioni complete sono illustrate in Descrizioni tecniche del regolamento 2025/2392.
Classificazione e valutazione della conformità
La classificazione non dimostra la conformità all’allegato I. Indica al fabbricante quale procedura prevista dall’articolo 32 può essere disponibile o obbligatoria. Le procedure sono illustrate in Valutazione della conformità.
Classificazione e valutazione dei rischi
Le FAQ della Commissione distinguono la classificazione dalla valutazione dei rischi di cibersicurezza del fabbricante. Anche i prodotti residuali, importanti e critici richiedono un’applicazione basata sul rischio dei requisiti dell’allegato I.
Due prodotti possono avere la stessa classificazione e richiedere comunque misure di sicurezza diverse perché differiscono per finalità prevista, uso ragionevolmente prevedibile e condizioni d’uso. La classificazione determina la procedura di valutazione della conformità; la valutazione dei rischi spiega come il prodotto e i processi del fabbricante soddisfano i requisiti del CRA per quel prodotto.