Descrizioni tecniche del regolamento 2025/2392 per le categorie di prodotti della CRA
Sytance · Aggiornato
Il regolamento 2025/2392 spiega il significato tecnico dei nomi delle categorie di prodotti importanti e critici. Non sostituisce gli allegati III o IV. Aiuta a stabilire se la funzionalità principale di un prodotto corrisponde a una di tali categorie.
Descrizioni tecniche
1. La descrizione tecnica delle categorie di prodotti con elementi digitali delle classi I e II elencate nell’allegato III del regolamento (UE) 2024/2847 è quella di cui all’allegato I del presente regolamento. 2. La descrizione tecnica delle categorie di prodotti con elementi digitali elencate nell’allegato IV del regolamento (UE) 2024/2847 è quella di cui all’allegato II del presente regolamento.
Regolamento di esecuzione (UE) 2025/2392 della Commissione, articolo 2
Il regolamento è un atto di esecuzione adottato a norma dell’articolo 7(4) del CRA. Spiega il significato tecnico di ciascuna categoria. Non aggiunge una nuova classe di prodotti e non determina da solo la procedura di valutazione della conformità.
Funzionalità principale
A norma dell’articolo 7(1) e dell’articolo 8(1) del regolamento (UE) 2024/2847, la funzionalità principale di un prodotto con elementi digitali determina se tale prodotto soddisfa la descrizione tecnica di una categoria di prodotti con elementi digitali importanti o critici e, di conseguenza, quali procedure di valutazione della conformità sono applicabili.
Regolamento di esecuzione (UE) 2025/2392 della Commissione, considerando 2
La funzionalità principale è la funzione principale del prodotto così come viene immesso sul mercato. Un prodotto può contenere caratteristiche di un’altra categoria senza diventare un prodotto di tale categoria. Vale anche il contrario: le funzioni aggiuntive non escludono un prodotto da una categoria se la sua funzione principale continua a corrispondere alla descrizione.
Browser integrato
Un’app di notizie non è un prodotto browser solo perché integra un browser.
Router con funzioni firewall
Un router può mantenere la propria funzionalità principale di router anche se include funzioni firewall.
Smartphone con più funzioni
Uno smartphone, in genere, non è classificato come sistema operativo o gestore di password solo perché include tali funzioni.
Descrizioni dei prodotti importanti di classe I
L’allegato I del regolamento 2025/2392 fornisce le descrizioni tecniche delle categorie di classe I elencate nell’allegato III del CRA.
I sistemi di gestione delle identità sono prodotti con elementi digitali che forniscono meccanismi di autenticazione o autorizzazione e che possono anche fornire meccanismi per la gestione del ciclo di vita delle credenziali di identità di persone fisiche, persone giuridiche, dispositivi o sistemi, ad esempio registrazione dell’identità, provisioning, manutenzione e cancellazione. Tali sistemi comprendono sistemi di gestione degli accessi che controllano l’accesso di persone fisiche, persone giuridiche, dispositivi o sistemi a risorse digitali o luoghi fisici.
Il software di gestione degli accessi privilegiati è un sistema di gestione degli accessi che controlla e monitora i diritti di accesso ai sistemi IT o OT e alle informazioni sensibili all’interno di un’organizzazione, compresi i sistemi che applicano politiche differenziate di controllo degli accessi per gli utenti privilegiati.
La categoria comprende, a titolo esemplificativo ma non esaustivo, lettori di autenticazione e controllo degli accessi, lettori biometrici, software single sign-on, software di gestione delle identità federate, software per password monouso, dispositivi hardware di autenticazione come generatori di numeri di autenticazione delle transazioni (TAN), software di autenticazione e software di autenticazione a più fattori.
Prodotti software con elementi digitali che consentono agli utenti finali di accedere a contenuti e servizi web ospitati su server connessi a reti come Internet, visualizzarli e interagirvi. In genere includono un motore del browser per interpretare e visualizzare contenuti scritti in un linguaggio di markup (ad esempio HTML), supportano protocolli web (ad esempio HTTP e HTTPS), consentono l’esecuzione di script e la gestione degli input degli utenti e memorizzano dati temporanei o persistenti provenienti dai siti web (cookie).
La categoria comprende, a titolo esemplificativo ma non esaustivo, applicazioni autonome che svolgono le funzioni di browser, browser integrati destinati all’integrazione in un altro sistema o applicazione e browser con integrazione di agenti IA.
Prodotti con elementi digitali che memorizzano password localmente su un dispositivo o su un server remoto, comprese funzioni quali la generazione e la condivisione di password e l’integrazione con applicazioni locali o di terzi per il loro utilizzo.
La categoria comprende, a titolo esemplificativo ma non esaustivo, gestori di password locali, gestori forniti come estensioni del browser, gestori di password aziendali e gestori basati su hardware.
Prodotti software con elementi digitali, normalmente denominati antivirus o antimalware, che rilevano o ricercano software o codice dannoso sui dispositivi oppure lo rimuovono o lo mettono in quarantena al fine di mantenere l’integrità, la riservatezza o la disponibilità dei dispositivi.
Ai fini di questa categoria, per software dannoso si intende un software contenente caratteristiche o capacità malevole che possono causare danni diretti o indiretti all’utente e/o al sistema informatico, come virus, worm, ransomware, spyware e trojan.
La categoria comprende, a titolo esemplificativo ma non esaustivo, software che rileva o ricerca software dannoso in tempo reale o manualmente, strumenti di rilevamento di rootkit e dischi di ripristino con funzionalità principale di ricerca, rimozione o messa in quarantena del software dannoso.
Prodotti con elementi digitali che stabiliscono un tunnel logico cifrato costruito usando le risorse di sistema di una rete fisica o virtuale.
La categoria comprende, a titolo esemplificativo ma non esaustivo, client, server e gateway di rete privata virtuale.
Prodotti con elementi digitali che gestiscono elementi di rete connessi, quali server, router, switch, workstation, stampanti o dispositivi mobili, monitorandoli e controllandone le operazioni e la configurazione di rete.
La categoria comprende, a titolo esemplificativo ma non esaustivo, sistemi di gestione end-to-end e sistemi dedicati alla gestione della configurazione, come i controller per il software-defined networking.
Prodotti con elementi digitali che raccolgono dati da più fonti, li analizzano e correlano e li presentano sotto forma di informazioni utilizzabili per finalità di sicurezza, ad esempio il rilevamento di minacce e incidenti, l’analisi forense o la conformità.
Prodotti software con elementi digitali che gestiscono l’avvio iniziale del sistema dopo l’accensione o il riavvio, inizializzando l’hardware, caricando o trasferendo il controllo all’ambiente del sistema operativo o alle risorse di sistema e selezionando le opzioni di avvio.
La categoria comprende, a titolo esemplificativo ma non esaustivo, firmware UEFI e boot loader a stadio singolo o multiplo.
Prodotti con elementi digitali utilizzati nell’ambito di un’infrastruttura a chiave pubblica (PKI) che gestiscono la convalida, la creazione, l’emissione, la distribuzione, la pubblicazione dello stato, il rinnovo o la revoca di certificati digitali, oppure la generazione, la memorizzazione, la custodia, lo scambio, la distruzione o la rotazione delle chiavi crittografiche associate a tali certificati.
La categoria comprende, a titolo esemplificativo ma non esaustivo, sistemi di gestione delle chiavi, sistemi di gestione dei certificati digitali, responder del protocollo online per lo stato dei certificati e soluzioni PKI integrate.
Le interfacce di rete fisiche sono prodotti con elementi digitali che collegano direttamente un dispositivo a una rete tramite un’interfaccia di programmazione delle applicazioni (API) fornita dai driver dell’interfaccia, operano in genere al livello di collegamento dati e dispongono di adattatori hardware ai mezzi di trasmissione con il firmware corrispondente, operanti in genere al livello fisico e di collegamento dati.
Le interfacce di rete virtuali sono prodotti con elementi digitali che collegano direttamente o indirettamente un dispositivo a una rete tramite un’API che emula quella dei driver delle interfacce di rete fisiche, operando in genere al livello di collegamento dati.
La categoria comprende, a titolo esemplificativo ma non esaustivo, schede, controller e adattatori di interfaccia di rete cablati e wireless, ad esempio per Wi-Fi, Ethernet, IrDA, USB, Bluetooth, NearLink, Zigbee o bus di campo, nonché prodotti autonomi interamente virtuali, come schede di interfaccia di rete virtuali, interfacce di rete per container e interfacce VPN.
Prodotti software con elementi digitali che forniscono un’interfaccia astratta dell’hardware sottostante e controllano l’esecuzione del software e che possono offrire servizi quali gestione e configurazione delle risorse informatiche, pianificazione, controllo dell’input/output, gestione dei dati e un’interfaccia tramite cui le applicazioni interagiscono con le risorse di sistema e le periferiche.
La categoria comprende, a titolo esemplificativo ma non esaustivo, sistemi operativi in tempo reale e sistemi operativi generici e specializzati.
I router sono prodotti con elementi digitali che stabiliscono e controllano il flusso di dati tra reti diverse selezionando percorsi mediante meccanismi e algoritmi di protocolli di routing, operando in genere al livello di rete.
La categoria comprende, a titolo esemplificativo ma non esaustivo, router cablati e wireless, router virtuali e router con o senza modem.
I modem destinati alla connessione a Internet sono prodotti hardware con elementi digitali che utilizzano tecniche di modulazione e demodulazione digitale per convertire segnali analogici in segnali digitali, e viceversa, per comunicazioni basate su IP.
La categoria comprende, a titolo esemplificativo ma non esaustivo, modem in fibra, modem DSL (Digital Subscriber Line), modem via cavo (DOCSIS), modem satellitari e modem cellulari.
Gli switch sono prodotti con elementi digitali che forniscono connettività tra dispositivi in rete mediante meccanismi di inoltro dei pacchetti e dispongono di un piano di gestione, attuato in genere al livello di collegamento dati o di rete.
La categoria comprende, a titolo esemplificativo ma non esaustivo, switch gestiti, switch intelligenti, switch multilivello, switch di sicurezza virtuali, switch programmabili per il software-defined networking e bridge, come i punti di accesso wireless.
Prodotti con elementi digitali costituiti da circuiti integrati che svolgono funzioni di elaborazione centrale basandosi su memoria e periferiche esterne, compresi microcodice e altro firmware di basso livello. Forniscono inoltre funzionalità relative alla sicurezza, quali cifratura, autenticazione, memorizzazione sicura delle chiavi, generazione di numeri casuali, ambiente di esecuzione fidato o altri meccanismi di protezione basati su hardware, volti a proteggere prodotti, reti o servizi ulteriori rispetto al microprocessore stesso, ad esempio catena di avvio sicuro, virtualizzazione o interfacce di comunicazione sicure.
Prodotti con elementi digitali costituiti da circuiti integrati che svolgono funzioni di elaborazione centrale e integrano memoria che consente di programmare il microcontrollore, generalmente insieme ad altre periferiche, compresi microcodice e altro firmware di basso livello. Forniscono inoltre funzionalità relative alla sicurezza, quali cifratura, autenticazione, memorizzazione sicura delle chiavi, generazione di numeri casuali, ambiente di esecuzione fidato o altri meccanismi di protezione basati su hardware, volti a proteggere prodotti, reti o servizi ulteriori rispetto al microcontrollore stesso, ad esempio catena di avvio sicuro, virtualizzazione o interfacce di comunicazione sicure.
I circuiti integrati specifici per applicazione (ASIC) con funzionalità relative alla sicurezza sono prodotti con elementi digitali costituiti da circuiti integrati interamente o parzialmente progettati su misura per svolgere una funzione specifica o implementare un’applicazione specifica, compresi microcodice e altro firmware di basso livello. Forniscono inoltre funzionalità relative alla sicurezza, quali cifratura, autenticazione, memorizzazione sicura delle chiavi, generazione di numeri casuali, ambiente di esecuzione fidato o altri meccanismi di protezione basati su hardware, volti a proteggere prodotti, reti o servizi ulteriori rispetto all’ASIC stesso, ad esempio catena di avvio sicuro, virtualizzazione o interfacce di comunicazione sicure.
I dispositivi logici programmabili sul campo (FPGA) con funzionalità relative alla sicurezza sono prodotti con elementi digitali costituiti da circuiti integrati caratterizzati da una matrice di blocchi logici configurabili, progettati per essere riprogrammati dopo la fabbricazione al fine di svolgere una funzione specifica o implementare un’applicazione specifica, compresi microcodice e altro firmware di basso livello. Forniscono inoltre funzionalità relative alla sicurezza, quali cifratura, autenticazione, memorizzazione sicura delle chiavi, generazione di numeri casuali, ambiente di esecuzione fidato o altri meccanismi di protezione basati su hardware, volti a proteggere prodotti, reti o servizi ulteriori rispetto all’FPGA stesso, ad esempio catena di avvio sicuro, virtualizzazione o interfacce di comunicazione sicure.
Prodotti con elementi digitali che comunicano tramite Internet pubblico, direttamente o attraverso altre apparecchiature, elaborano richieste, attività o domande basate su prompt in linguaggio naturale, ad esempio input audio o scritto, e in risposta consentono di accedere ad altri servizi o di controllare le funzioni di dispositivi connessi in ambienti residenziali.
La categoria comprende, a titolo esemplificativo ma non esaustivo, altoparlanti intelligenti con assistente virtuale integrato e assistenti virtuali autonomi che soddisfano questa descrizione.
Prodotti con elementi digitali che proteggono la sicurezza fisica dei consumatori in un ambiente residenziale e che possono essere controllati o gestiti a distanza da altri sistemi, nonché hardware e software che controllano centralmente tali prodotti.
La categoria comprende, a titolo esemplificativo ma non esaustivo, dispositivi intelligenti di chiusura delle porte, sistemi di monitoraggio dei bambini, sistemi di allarme e telecamere di sicurezza domestica.
I giocattoli connessi a Internet con funzioni di interazione sociale sono prodotti con elementi digitali disciplinati dalla direttiva 2009/48/CE, comunicano tramite Internet pubblico, direttamente o mediante altre apparecchiature, e incorporano tecnologie che consentono comunicazioni in ingresso e in uscita, ad esempio tastiera, microfono, altoparlante o telecamera.
I giocattoli connessi a Internet con funzioni di tracciamento della posizione sono prodotti con elementi digitali disciplinati dalla direttiva 2009/48/CE, comunicano tramite Internet pubblico, direttamente o mediante altre apparecchiature, e dispongono di tecnologie che consentono di tracciare o dedurre la posizione geografica del giocattolo o del suo utente. Se il giocattolo rileva soltanto la prossimità dell’utente o di altri giocattoli tramite tecnologie di rilevamento, non è considerato dotato di funzioni di tracciamento della posizione.
I prodotti indossabili personali destinati a essere indossati o collocati sul corpo umano con finalità di monitoraggio della salute sono prodotti con elementi digitali indossati direttamente sul corpo o tramite indumenti o accessori, in grado di rilevare e trattare regolarmente o continuativamente informazioni, compresi parametri corporei, pertinenti alla salute dell’utente, esclusi i prodotti che rientrano nell’ambito di applicazione del regolamento (UE) 2017/745 o del regolamento (UE) 2017/746.
La categoria comprende, a titolo esemplificativo ma non esaustivo, fitness tracker, smartwatch, gioielli intelligenti, indumenti intelligenti e abbigliamento sportivo che soddisfano questa descrizione.
I prodotti indossabili personali destinati all’uso da parte di bambini e a loro beneficio sono prodotti con elementi digitali indossabili o collocabili sul corpo, direttamente o tramite indumenti o accessori, di persone di età inferiore a 14 anni.
La categoria comprende, a titolo esemplificativo ma non esaustivo, dispositivi indossabili per la sicurezza dei bambini.
Descrizioni dei prodotti importanti di classe II
La classe II resta una categoria di prodotti importanti, ma i relativi requisiti di valutazione della conformità sono più rigorosi di quelli della classe I.
Gli hypervisor sono prodotti software con elementi digitali che astraggono e/o allocano risorse informatiche e consentono l’esecuzione, la gestione e l’orchestrazione di macchine virtuali logicamente separate tra loro e/o dall’hardware fisico. Possono essere eseguiti direttamente sull’hardware (bare metal), sopra un sistema operativo o all’interno di un’altra macchina virtuale (virtualizzazione annidata).
Ai fini di questa categoria, una macchina virtuale è una separazione logica definita via software di un ambiente informatico, che comprende un insieme virtualizzato di risorse hardware (ad esempio CPU, memoria, archiviazione e interfacce di rete) e ospita in genere un proprio sistema operativo.
La categoria comprende, a titolo esemplificativo ma non esaustivo, hypervisor di tipo 1 (bare metal), di tipo 2 (ospitati su un sistema operativo) e ibridi.
I sistemi di runtime dei container sono prodotti software con elementi digitali che gestiscono l’esecuzione e il ciclo di vita di container eseguiti come processi isolati su un unico sistema operativo host, allocano risorse e consentono la gestione e l’orchestrazione dei singoli container.
Ai fini di questa categoria, un container è un ambiente di esecuzione basato su software che racchiude uno o più componenti software e le relative dipendenze in un unico pacchetto, consentendone l’esecuzione indipendente e coerente.
I firewall sono prodotti con elementi digitali che proteggono una rete o un sistema connesso da accessi non autorizzati monitorando e limitando il traffico di comunicazione dei dati in entrata e in uscita.
La categoria comprende, a titolo esemplificativo ma non esaustivo, firewall di rete e firewall applicativi, come web application firewall, filtri e gateway antispam.
I sistemi di rilevamento delle intrusioni sono prodotti con elementi digitali che monitorano il traffico dopo il suo ingresso nell’ambiente di rete per individuare attività sospette e rilevare o identificare tentativi di intrusione, intrusioni in corso o intrusioni avvenute su una rete o un sistema connesso.
La categoria comprende, a titolo esemplificativo ma non esaustivo, sistemi di rilevamento delle intrusioni basati sulla rete e sistemi basati sull’host.
I sistemi di prevenzione delle intrusioni sono prodotti con elementi digitali costituiti da un sistema di rilevamento delle intrusioni che risponde attivamente a un’intrusione in una rete o in un sistema connesso.
La categoria comprende, a titolo esemplificativo ma non esaustivo, sistemi di prevenzione delle intrusioni basati sulla rete e sistemi basati sull’host.
Prodotti con elementi digitali costituiti da microprocessori dotati delle funzionalità relative alla sicurezza di cui alla tabella «Class I», punto 13, del presente allegato, comprese rilevazione, resistenza o risposta alle manomissioni, e progettati inoltre per fornire una protezione di livello AVA_VAN 2 o 3, come stabilito nei Common Criteria e nella Common Evaluation Methodology.
Prodotti con elementi digitali costituiti da microcontrollori dotati delle funzionalità relative alla sicurezza di cui alla tabella «Class I», punto 14, del presente allegato, comprese rilevazione, resistenza o risposta alle manomissioni, e progettati inoltre per fornire una protezione di livello AVA_VAN 2 o 3, come stabilito nei Common Criteria e nella Common Evaluation Methodology.
Descrizioni dei prodotti critici
L’allegato II del regolamento 2025/2392 fornisce le descrizioni tecniche delle categorie di prodotti critici elencate nell’allegato IV del CRA.
Prodotti hardware con elementi digitali che memorizzano, elaborano o gestiscono in sicurezza dati sensibili o svolgono operazioni crittografiche e sono costituiti da più componenti distinti, con un involucro fisico hardware che fornisce rilevazione, resistenza o risposta alle manomissioni come contromisure contro attacchi fisici.
La categoria comprende, a titolo esemplificativo ma non esaustivo, terminali di pagamento fisici, moduli di sicurezza hardware che generano e gestiscono elementi crittografici e tachigrafi che soddisfano la descrizione precedente.
I gateway per contatori intelligenti sono prodotti con elementi digitali che controllano la comunicazione tra i componenti dei sistemi di misurazione intelligenti di cui all’articolo 2(23) della direttiva (UE) 2019/944, o collegati a tali sistemi, e terze parti autorizzate, come i fornitori di servizi pubblici. Raccolgono, elaborano e memorizzano dati di misurazione o personali, proteggono dati e flussi informativi supportando esigenze crittografiche specifiche, come cifratura e decifratura dei dati, integrano funzionalità firewall e consentono di controllare altri dispositivi.
La categoria comprende, a titolo esemplificativo ma non esaustivo, gateway per contatori intelligenti relativi a sistemi di misurazione dell’elettricità di cui all’articolo 2(23) della direttiva (UE) 2019/944. Può comprendere anche gateway utilizzati in altri sistemi di misurazione intelligente dei consumi di energia, ad esempio gas o calore, purché soddisfino questa descrizione.
Gli elementi sicuri sono microcontrollori o microprocessori con funzionalità relative alla sicurezza, comprese rilevazione, resistenza o risposta alle manomissioni. In genere memorizzano, elaborano o gestiscono operazioni crittografiche o dati sensibili, come credenziali di identità o di pagamento. Sono progettati per fornire una protezione almeno di livello AVA_VAN.4, come stabilito nei Common Criteria o nella Common Evaluation Methodology. Possono essere chip di silicio discreti oppure integrati in system-on-chip (SoC). Possono includere un ambiente applicativo o un sistema operativo e una o più applicazioni.
La categoria comprende, a titolo esemplificativo ma non esaustivo, Trusted Platform Module (TPM) e Universal Integrated Circuit Card (UICC) integrate.
Le smart card o i dispositivi analoghi sono elementi sicuri integrati in un materiale di supporto, ad esempio plastica o legno, a forma di carta, oppure elementi sicuri integrati in materiali di supporto di altre forme.
La categoria comprende, a titolo esemplificativo ma non esaustivo, documenti d’identità e di viaggio, smart card per firme qualificate, UICC sostituibili, carte di pagamento fisiche, tessere fisiche di controllo degli accessi, carte tachigrafiche digitali o braccialetti con elementi sicuri di pagamento integrati.
Esempi di confini
Gli esempi dei considerando rimandano tutti alla stessa regola. La classificazione segue la funzionalità principale del prodotto, non ogni componente o capacità contenuta nel prodotto.
Componente integrato
Un componente può essere rilevante per la sicurezza, ma non classifica automaticamente il prodotto che lo contiene.
Funzionalità simile
Un prodotto in grado di svolgere alcune attività simili a quelle di un SIEM non è un SIEM se la sua funzionalità principale è diversa.
Funzione aggiuntiva
Un prodotto non perde la propria categoria solo perché svolge funzioni aggiuntive non comprese nella descrizione.
Effetti sulla classificazione
La descrizione tecnica incide sulla classificazione. La classificazione incide poi sulla procedura di valutazione della conformità. I dettagli delle procedure sono riportati in Valutazione della conformità.
La classificazione complessiva del prodotto è illustrata in Classificazione dei prodotti.